vncサーバの使用ポートって?

質問

RedHat9
eth0(192.168.0.1)
|
(192.168.0.2)
Win2k

に

http://www.vector.co.jp/soft/dl/win95/net/se324464.html
Win2k側からwin32用VNCビューワ(NSLキー対応)
Win2k側からwin32用VNCサーバ(NSLキー対応)

****://jaist.dl.sourceforge.net/sourceforge/vnc-tight/tightvnc-1.2.9-1.src.rpm
を夫々インストールして、

Win2k→Redhat9
と(ファイアウォールをスルーにして)アクセス出来ました。

でもファイアウォールを掛けるとアクセス出来ません。

/sbin/iptables -A INPUT -p tcp -s 192.168.0.0 -m multiport --dports 5950,5951,5952,5953 -i eth0 -j ACCEPT
/sbin/iptables -A OUTPUT -p tcp ! --syn -m state --state ESTABLISHED -d 192.168.0.0 -m multiport --sports 5950,5951,5952,5953 -o eth0 -j ACCEPT

という風にフィルタリングしているのですが何か間違っていますでしょうか?

回答No.2

xjd · ベストアンサー

netstatコマンドを実行すると、LISTENモードのポート一覧を出力できますので、
VNCサーバの起動前・起動後のポート一覧をdiffで差分すれば、VNCサーバがどのポート番号を
開いているかすぐにわかります。

＞＞
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address　　　　　 Foreign Address　　　　 State
tcp　　　　0　　　0 *:smux　　　　　　　　　*:*　　　　　　　　　　 LISTEN
tcp　　　　0　　　0 *:587　　　　　　　　　 *:*　　　　　　　　　　 LISTEN
tcp　　　　0　　　0 *:pop3　　　　　　　　　*:*　　　　　　　　　　 LISTEN
＜＜
Active Internet connections (servers and established)
Proto Recv-Q Send-Q Local Address　　　　　 Foreign Address　　　　 State
tcp　　　　0　　　0 *:smux　　　　　　　　　*:*　　　　　　　　　　 LISTEN
tcp　　　　0　　　0 *:587　　　　　　　　　 *:*　　　　　　　　　　 LISTEN
tcp　　　　0　　　0 *:5901　　　　　　　　　*:*　　　　　　　　　　 LISTEN
tcp　　　　0　　　0 *:pop3　　　　　　　　　*:*　　　　　　　　　　 LISTEN

これは、うちのサーバの場合で、vncサーバは5901番であることが確認できます。

あとは、iptablesでINPUT/OUTPUTのルールを設定するだけ。
iptablesは、いろいろなオプションをいきなり指定せず、シンプルな設定から
始めるのがうまくいくコツです。

# 信頼できるネットワークからのVNCサーバへの接続を許可
iptables -A INPUT -i $WANPORT -p tcp -m state --state NEW -s $TRUSTWAN --dport　5901 -j ACCEPT

# 接続済みの入力の許可
iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

# 接続済みの入力の許可
iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

また、vncサーバが、tcpwrapperを見ているのなら、
/etc/hosts.allow
でvncサーバへの接続を許可する必要があります。

お礼

有難うございます。
お陰さまで助かりました。

補足

有難うございます。

> netstatコマンドを実行すると、LISTENモードのポート一覧を出力できますので、
> VNCサーバの起動前・起動後のポート一覧をdiffで差分すれば、VNCサーバがど
> のポート番号を
> 開いているかすぐにわかります。
# netstat > /home/netstat0.txt
warning, got bogus unix line.
となってしまいました。
うーん、難しいんですね。

> あとは、iptablesでINPUT/OUTPUTのルールを設定するだけ。
> iptablesは、いろいろなオプションをいきなり指定せず、シンプルな設定から
> 始めるのがうまくいくコツです。
> # 信頼できるネットワークからのVNCサーバへの接続を許可
> iptables -A INPUT -i $WANPORT -p tcp -m state --state NEW -s
> $TRUSTWAN --dport　5901 -j ACCEPT
NEW…新しいコネクションを作るパケットにマッチ

> # 接続済みの入力の許可
> iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
> # 接続済みの入力の許可
> iptables -A OUTPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
RELATED…コネクションに関連するパケットにマッチ
ですね。勉強になります。

> また、vncサーバが、tcpwrapperを見ているのなら、
> /etc/hosts.allow
> でvncサーバへの接続を許可する必要があります。
有難うございます。

回答No.1

asuca

5900+ディスプレイ番号のポートを使用しますので5900から6000あたりを解放すればいいかと思います。

お礼

有難うございます。
お陰さまで助かりました。

補足

有難うございます。

> 5900+ディスプレイ番号のポートを使用しますので5900から6000あたりを解放すれば
> いいかと思います。
5901、5902を開けて上手くいきました。