- PR -

RedHat7.2でポートフォワーディング

1
投稿者投稿内容
McLaren
ぬし
会議室デビュー日: 2002/01/15
投稿数: 784
お住まい・勤務地: 東京
投稿日時: 2002-06-10 09:33
　お世話になります。
インターネットから内部サーバーへのコネクション要求をフォワーディングしたいと思います。

[例]
真中のファイヤーウォールマシン（RedHat7.2）のポート番号25のSMTPポートを目的地とするリモートからのTCPコネクションを、マスカレードされたIPアドレス10.1.1.2を持つ内部のメールサーバーにフォワードしたいと思います。
========================================================
　[　A　]
　　｜
　　｜
　　｜211.x.x.3(eth2)
＋--＋--＋
｜　　　　｜10.1.1.1(eth0)
｜　　　　＋----------[Redhat7.2(メールサーバー)]10.1.1.2
｜　　　　｜
＋--＋--＋
　　｜192.168.10.1(eth1)
　　｜
[Win98]192.168.10.2

========================================================

昨年の8月に出版された本に

「内部のマスカレードされたマシン上で動作しているサーバーに、外部からの着信コネクションを有効にする実験的なカーネルコードが提供されています。この機能は、マスカレーディングモジュールサポートとipportfw masqサポートをカーネル内にコンパイルすることで有効になります。これらの実験的機能には、ipmasqadmというサードパーティー製のアプリケーションが必要です。ipmasqadmはLinuxディストリビューションは含まれていませんのでインターネットからダウンロードしなければなりません。」

とありました。

　現在、RedHat7.2を使用しているのですが、まだなおサードパーティに頼らざるを得ないのでしょうか。また、このようにDMZを構成する例は多いと思うのですが、通常、皆様はどのような手段を用いられるのでしょうか。ご教授願います。


McLaren
ぬし
会議室デビュー日: 2002/01/15
投稿数: 784
お住まい・勤務地: 東京
投稿日時: 2002-06-10 10:39
　しかも、ipmasqadmはどこで探しても最終的にデッドリンクになっていて、手に入りません。何か意図的にサイトが削除されているような気がするのですが。。
yoka
常連さん
会議室デビュー日: 2002/04/09
投稿数: 29
投稿日時: 2002-06-10 10:39
RedHat7.2(kernel2.4.x) であれば ipchains+ipmasqadm ではなく、iptables を利用するのが一般的ではないでしょうか
適切なルーティングが設定されていれば、ファイアウォールマシンで以下のように iptables を設定すればよいかと思います。

iptables -A PREROUTING -t nat -p tcp --dport 25 -j DNAT --to 10.1.1.2:25

詳しくは JF のドキュメントや＠ITさんの記事を参照してください。(「宛先NAT」のあたりに書いてあります)
http://www.linux.or.jp/JF/JFdocs/NAT-HOWTO.txt
http://www.atmarkit.co.jp/flinux/rensai/security04/security04a.html
McLaren
ぬし
会議室デビュー日: 2002/01/15
投稿数: 784
お住まい・勤務地: 東京
投稿日時: 2002-06-10 10:45
　ご返答ありがとうございました。
ipchainsではこのような設定はできないのでしょうか。。
ふじい
大ベテラン
会議室デビュー日: 2002/05/07
投稿数: 123
お住まい・勤務地: 東京
投稿日時: 2002-06-10 13:52
こんにちは、藤井です。

できません。

あと気になったのですが、「まだなおサードパーティに頼らざるを得ないのでしょうか」という感想は持たないほうがいいですよ。

そこに記述されている書籍の書き方が悪いのですが、こういう感想を持たせるような記述の仕方ってまずいと思います。

Linuxの世界においてカーネル以外は全部サードパーティー製の気がするんですが。

本題に戻しますが、
http://www.linux.or.jp/JF/JFdocs/packet-filtering-HOWTO-8.html
のように、いずれはサポートされなくなります。

また、外側からのNATもipmasqm使わないといけないし、これから勉強するとか、特に理由がないならiptablesの方をお勧めします。


# 最近こういう話題多いですね。はやってるのでしょうか？ (^-^;
McLaren
ぬし
会議室デビュー日: 2002/01/15
投稿数: 784
お住まい・勤務地: 東京
投稿日時: 2002-06-10 13:55
なるほど、参考になりました。
ありがとうございます。
1

スキルアップ／キャリアアップ（JOB@IT）