クライアントＰＣの名前解決ができない

shigiogさんの書き込み (2004-06-02 22:50) より:

引用:
この辺は，本当は /etc/modules.conf に書いたほうが smart かと．

そうします。smartとう意味はきちんと動作させる。メンテナンスがしやすい。
つまり，管理しやすい書き方ということでしょうか。linuxの設定ファイルの
役割もろくに知らないので...とほほ...勉強しときます。

私個人としましては,もっとすっきりとした，かっこいいルールにしたいのです。
（贅沢な注文かな？）

/etc/modules.conf に書いた方が「格好良い」と思われます．
post-install ip_conntrack /sbin/modprobe ip_conntrack_ftp
post-install iptable_nat /sbin/modprobe ip_nat_ftp
とか書いてあげると良いかもしれません．

script の最後の
/sbin/iptables-save > /etc/sysconfig/iptables
は script に含めない方が宜しいでしょう．

NetBIOS まわりの port を 明示的に drop しておくと，不愉快な logging をしなくなってくれるんじゃ無かったかと．
====================================================================
気になるのは ftp 周り．modules 浮かべてるわけですが，data port が 20/tcp 固定ですよね．Windows の IIS の ftp service って high port 使うんではなかったでしたっけ？そういう場合のための設定の仕方も Internet で見かけたと思います．

shigiogさんの書き込み (2004-06-04 15:42) より:

さて、自分ではうまく設定できたと思っていたのですがクライアントPCの電源を切って数十分ほどたって再びクライアントPCの電源を入れると、な、な、なんとLANに入れません、もちろん、インターネットもダメ。"ping 192.168.0.1"とすると「...unreachable」だったと思うけど、ようするにサーバーPCに到達できない。というメッセージが表示されます。さっきまでは、ちゃんとつながっていたのに？？？？？？
で、冷静につながっていたときの状況を振り返ってみました。まず、すべてのルールをACCEPTにしておいて、つながることを確かめたあと、このルールを適応して、saveしたことを思い出しました。(ポリシーがDROPになるのでOKと判断した)
私の分析＞一度接続が確立すると、私の設定を適応しても、問題なくつながる。さらに、クライアントPCをシャットダウンしても、短い時間(正確な時間は分からないが２、３分間くらい)なら次に起動してもちゃんとつながるので、この設定が正しいと思ってしまった。しかし、シャットダウン後、長時間放置したあとで起動するとつながらない。設定を見直すと$FW_IN(eth1)側の設定がほとんどないことに気づく。

私の対策＞クライアントPCからのpingが飛ばないということは$FW_INに対するINPUT,OUTOPUT,FORWARDの設定が必要と考え(無い知恵を絞り切り)いろいろ試した結果、下記のようなルールを追加しました。
%%%%%%%%%%%%%%% 追加したルール %%%%%%%%%%%%%%%%%%%%%%%%%%
$IPTABLES -A FORWARD -i $FW_IN -p icmp -j ACCEPT
$IPTABLES -A INPUT -i $FW_IN -p icmp -j ACCEPT
$IPTABLES -A OUTPUT -o $FW_IN -p icmp -j ACCEPT

##$FW_INの許可
$IPTABLES -A INPUT -i $FW_IN -j ACCEPT
$IPTABLES -A OUTPUT -o $FW_IN -j ACCEPT
$IPTABLES -A FORWARD -i $FW_IN -j ACCEPT

ここまで %%%%%%%%%%%%%%%%%%%%%%%%%%
しかし、$FW_INの許可 はちょっと問題があるような、つまり、出入り通過すべてOKなのが心配です。が、今の私の知識ではこれがやっとです。もうちょっと勉強してかっちょよくしたいです。

このルールでは数時間後にクライアントPCを起動しても普通にLANやインターネットに入れます。が、問題点もさっき見付かりました。あるホームページからは音声ファイルをロードできません。http://www.hungryforwords.com/Hungryforwords/Sound/Obunsha/eng/s602.wav
というやつです。エラーメッセージはhttp 404 - file not foundです。
これも、数日前まではごく普通にロードしてちゃんと聴けていたのですが。
なんでも、一発でうまく行くわけ無いですよね。(httpに関するルールに問題あり？)
がんばります。

今週末は、telenet、ftp、ウェブ、メール、DNSサーバーをinstallしてみます。
どこまでできるか楽しみです。

firewall そのものへの icmp は受け付けないほうがよろしいのではないかと．

firewall に daemon を浮かべるのでしょうか？であれば，危険ではないかと．
firewall それ自体は「通信を制御するだけ」として，それ以外の役割を宛がわないほうが「強固」と言えます．浮かべた daemon の脆弱性をもろに引き受けますから．

shigiogさんの書き込み (2004-06-09 15:21) より:

引用:
firewall に daemon を浮かべるのでしょうか？であれば，危険ではないかと． firewall それ自体は「通信を制御するだけ」として，それ以外の役割を宛がわないほうが「強固」と言えます．浮かべた daemon の脆弱性をもろに引き受けますから．

私が今，参考にしている本「自宅サーバー構築 linux7.2 /ラトルズ社」(基本設定はすべてこの本の通り)にはファイアーウォールのことにはあまり触れられていませんで，とにかくwwwやftpやメールサーバーなどを１台のＰＣで構築できると書いてあります。(私は，サーバーの構築がファイアーウォールとどれだけ密接に関係しているか理解できていませんでした。ＰＣ１台あれば何でもＯＫと思っておりました。)
お恥ずかしい話ですが，kaz様の前述のアドバイスの意味があまり理解でいないでおりました。で，インターネットでサーバーの構築を調べているうちに，要は，ファイアーウォール用のＰＣとサーバー用のＰＣを分けておくことがセキュリティ上安全であるということが判明しました。が，さらにもう一台のＰＣを用意するには経済的にも物理的にも，技術的にもちょっとばかり壁がありまして，一応，危険を承知の上で，１台のＰＣでサーバーを立てようと考えております。で，できるだけ，早い時期にあと１台ＰＣを手に入れて堅牢なサーバーに仕上げていきたいと考えております。