iptablesについて

質問

先ほど、質問しようとしたのですが、制限が800文字だったため、書き込めませんでした。要点だけ。
fedora3でiptablesを使用しています。INPUT,FORWARD,OUTPUT全てDROPに設定し、ssh,http,smtp,pop3,imapを許可しています。
外部からはサーバにアクセス出来ます。しかし、内部からは接続できません。OUTPUTだけをACCEPTにすると内部から外部にアクセス出来ます。
HTTPでは
探索中: www.google.co.jp を最初に探します
探索中: www.google.co.jp
HTTP で www.google.co.jp に接続中
警告!: リモートホストに接続できません。
lynx: スタートファイルにアクセスできません http://www.google.co.jp/
となり、SMTPでは
postfix/smtp[3818]: connect to mx2.mail.yahoo.co.jp[203.216.227.209]: Connection timed out (port 25)
となります。内部から外部への接続は何か適当なポートを使用しているのでしょうか？（問い返し等）

回答No.1

anmochi · ベストアンサー

内部からは接続できませんというのは、内部から外部へ接続する時だね。

> 内部から外部への接続は何か適当なポートを使用しているのでしょうか？
その通り。サーバー機だろうがなんだろうが、ぐーぐるを見に行く時は1024番以上のポートを使っている。

外→中を考える。
１．こっちがサーバの通信は、80や22の通信だけを通過させて、後は拒否すべきだ。
２．こっちがクライアントの通信は、1024以上のポートを使っているので、そこをあけておかなければならない。でも、１のルールではじかれる。

中→外を考える。
３．こっちがサーバの場合は、既に１で通信が確立しているもののみなので、わざわざフィルタする必要はない。
４．こっちがクライアントの場合は、1024以上のポートを使うのだが、中で生成されたパケットをフィルタする事はあまり考えられない。

つまり、元々中→外のルールはほとんど要らない訳だ。
ときに、１番と２番の矛盾を解決する方法だが、これはポート番号ベースのフィルタでは対応できない。以下、１番と２番で、こっちのポート番号がサービスしていないポート番号だった時のお話。
１．こっちがサーバの場合。そんな通信はありえない(こっちがサーバなら、該当サービスのポート番号でフィルタを解除しているはず)のでフィルタする。
２．こっちがクライアントの場合は、必ずサーバからのレスポンス。つまりTCPで言えば、TCP通信が確立しているもののみ。
以上の事より、
ａ．INPUTチェインは、開くポートと「ESTABLISH」パケットのみを通す。
ｂ．OUTPUTチェインは、必要が無い限りフィルタしない。
というのが、サーバとしての基本的な設定だ。

お礼

なるほど、そうなんですか(^^;)
もしものことを考えて（ウイルス等）他人のPCを攻撃してしまわないように、OUTPUTも閉じようかと思ってこういった設定にしました。INPUTもESTABLISH以外ははたき落とさないと駄目なんですね・・・
参考になりました。ありがとうございました。