Armadilloフォーラム

ファイアウォールの設定について

製品
Armadillo-440

o-m

2019年7月18日 14時19分

現在、microSD上のdebianのfirewallの設定を行っています。
「apt-get install iptables」を行った後、「aptitude install iptables-persistent」を実行し、/etc/iptables以下のファイルを変更しています。
debianの公式サイトのフォーマットに従って、以下のようなrule.v4とrule.v6に変更しました。(参照サイト:https://wiki.debian.org/iptables)

rule.v4

*filter
 
# Allows all loopback (lo0) traffic and drop all traffic to 127/8 that doesn't use lo0
-A INPUT -i lo -j ACCEPT
-A INPUT ! -i lo -d 127.0.0.0/8 -j REJECT
 
# Accepts all established inbound connections
-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
 
# Allows all outbound traffic
# You could modify this to only allow certain traffic
-A OUTPUT -j ACCEPT
 
# Allows HTTP and HTTPS connections from anywhere (the normal ports for websites)
-A INPUT -p tcp --dport 80 -j ACCEPT
-A INPUT -p tcp --dport 443 -j ACCEPT
 
# Allows SSH connections 
# The --dport number is the same as in /etc/ssh/sshd_config
-A INPUT -p tcp -m state --state NEW --dport 22 -j ACCEPT
 
# Now you should read up on iptables rules and consider whether ssh access 
# for everyone is really desired. Most likely you will only allow access from certain IPs.
 
# Allow ping
#  note that blocking other types of icmp packets is considered a bad idea by some
#  remove -m icmp --icmp-type 8 from this line to allow all kinds of icmp:
#  https://security.stackexchange.com/questions/22711
-A INPUT -p icmp -m icmp --icmp-type 8 -j ACCEPT
 
# log iptables denied calls (access via 'dmesg' command)
-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied: " --log-level 7
 
# Reject all other inbound - default deny unless explicitly allowed policy:
-A INPUT -j REJECT
-A FORWARD -j REJECT
 
COMMIT

rule.v6

*filter
:INPUT DROP [0:0]
:FORWARD DROP [0:0]
:OUTPUT DROP [0:0]
COMMIT

その後「/etc/init.d/iptables-persistent restart」を実行し、設定を反映しようとするとエラーが発生します。

以下の部分が原因でエラーが発生するようです。
・-A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
・-A INPUT -p tcp -m state --state NEW --dport 22 -j ACCEPT
・-A INPUT -m limit --limit 5/min -j LOG --log-prefix "iptables denied: " --log-level 7

microSD上のdebianではiptablesの拡張オプションを使用できないのでしょうか。
もし使用できるのならばやり方を教えて頂きたいです。
使用しているデバイスはArmadillo-440の液晶モデルです。

ご回答よろしくお願いいたします。

コメント

at_makoto.sato

2019年7月18日 16時57分

佐藤です。

以下のカーネルのコンフィギュレーションを変更して再ビルドするとよいかと思います。

-> Networking support
 -> Networking options
  -> Network packet filtering framework (Netfilter)
   -> Core Netfilter Configuration
    -> Netfilter Xtables support (required for ip_tables)
    <*> LOG target support
    <*> "limit" match support
    <*> "state" match support

カーネルのコンフィギュレーションの変更方法やビルド方法については以下のマニュアルが参考になるかと思います。
https://manual.atmark-techno.com/armadillo-4x0/armadillo-400_series_sof…

o-m

2019年7月19日 9時29分

佐藤様

ご回答ありがとうございます。

> 以下のカーネルのコンフィギュレーションを変更して再ビルドするとよいかと思います。
>
>

> -> Networking support
>  -> Networking options
>   -> Network packet filtering framework (Netfilter)
>    -> Core Netfilter Configuration
>     -> Netfilter Xtables support (required for ip_tables)
>     <*> LOG target support
>     <*> "limit" match support
>     <*> "state" match support
>

>

上記の通りに設定したところ、ファイアウォールの設定をすることが無事できました。