IptablesとNetfilterアーキテクチャの詳細

https://www.digitalocean.com/community/tutorials/what-is-a-firewall-and-how-does-it-work [ファイアウォール]は、サーバーとインフラストラクチャを保護するために構成できる重要なツールです。 Linuxエコシステムでは、「+ iptables 」は、カーネルの「 netfilter +」パケットフィルタリングフレームワークと連動する、広く使用されているファイアウォールツールです。 これらのシステムのアーキテクチャを理解していないユーザーや管理者にとって、信頼性の高いファイアウォールポリシーの作成は、構文が難しいだけでなく、フレームワークに存在する相互に関連する部分が多いため、困難な場合があります。

このガイドでは、独自のファイアウォールポリシーを構築する必要があるユーザーにとってよりわかりやすいものにすることを目的として、 `+ iptables `アーキテクチャに飛び込みます。 ` iptables `が ` netfilter +`とどのように相互作用し、さまざまなコンポーネントがどのように適合して包括的なフィルタリングおよびマングリングシステムを提供するかについて説明します。

Linuxで最も一般的に使用される基本的なファイアウォールソフトウェアは、「+ iptables 」と呼ばれます。 ` iptables`ファイアウォールは、Linuxカーネルネットワーキングスタックのパケットフィルタリングフックと対話することで機能します。 これらのカーネルフックは、「+ netfilter +」フレームワークとして知られています。

ネットワークシステム（着信または発信）に入るすべてのパケットは、スタックを通過するときにこれらのフックをトリガーし、これらのフックに登録するプログラムがキーポイントでトラフィックと対話できるようにします。 `+ iptables +`に関連付けられたカーネルモジュールは、トラフィックがファイアウォールルールで定められた条件に適合することを保証するために、これらのフックに登録します。

プログラムが登録できる5つの `+ netfilter +`フックがあります。 パケットがスタックを通過すると、これらのフックに登録されたカーネルモジュールがトリガーされます。 パケットがトリガーするフックは、パケットが着信か発信か、パケットの宛先、およびパケットが前の時点でドロップまたは拒否されたかによって異なります。

次のフックは、ネットワークスタック内の明確に定義されたさまざまなポイントを表しています。

これらのフックに登録するカーネルモジュールは、フックがトリガーされたときに呼び出される順序を決定するのに役立つ優先順位番号を提供する必要があります。 これにより、複数のモジュール（または同じモジュールの複数のインスタンス）を決定論的な順序で各フックに接続する手段が提供されます。 各モジュールは順番に呼び出され、処理後に「+ netfilter +」フレームワークに決定を返します。これは、パケットで何をすべきかを示します。

`+ iptables `ファイアウォールは、テーブルを使用してルールを整理します。 これらのテーブルは、使用される決定のタイプに従ってルールを分類します。 例えば、ルールがネットワークアドレス変換を扱う場合、それは ` nat `テーブルに入れられます。 ルールを使用してパケットの宛先への継続を許可するかどうかを決定する場合、おそらく「 filter +」テーブルに追加されます。

各 `+ iptables `テーブル内で、ルールは個別の「チェーン」内でさらに整理されます。 テーブルはそれらが保持するルールの一般的な目的によって定義されますが、組み込みのチェーンはそれらをトリガーする ` netfilter +`フックを表します。 チェーンは基本的に、ルールが評価される時期を決定します。

ご覧のとおり、組み込みチェーンの名前は、関連する `+ netfilter +`フックの名前を反映しています。

チェーンを使用すると、管理者はパケットの配信パスのどこでルールを評価するかを制御できます。 各テーブルには複数のチェーンがあるため、処理の複数のポイントでテーブルの影響を与えることができます。 特定のタイプの決定はネットワークスタックの特定のポイントでのみ意味があるため、すべてのテーブルには各カーネルフックに登録されたチェーンがありません。

5つの「+ netfilter 」カーネルフックしかないため、複数のテーブルからのチェーンが各フックに登録されます。 たとえば、3つのテーブルには ` PREROUTING `チェーンがあります。 これらのチェーンが関連する「 NF_IP_PRE_ROUTING 」フックに登録されると、各テーブルの「 PREROUTING 」チェーンが呼び出される順序を決定する優先順位が指定されます。 最も優先度の高い「 PREROUTING 」チェーン内の各ルールは、次の「 PREROUTING +」チェーンに移動する前に順番に評価されます。 すぐに各チェーンの特定の順序を見ていきます。

少し戻って、 `+ iptables +`が提供するさまざまなテーブルを見てみましょう。 これらは、パケットを評価するための、関心領域ごとに整理された個別のルールセットを表します。

テーブルとチェーンについて個別に説明しました。 各テーブルで利用可能なチェーンを調べてみましょう。 この議論では、同じフックに登録されたチェーンの評価順序についてのさらなる議論が暗示されています。 3つのテーブルに `+ PREROUTING +`チェーンがある場合、どの順序で評価されますか？

次の表は、左から右に読むときに各 `+ iptables `テーブル内で利用できるチェーンを示しています。 たとえば、 ` raw `テーブルには ` PREROUTING `チェーンと ` OUTPUT `チェーンの両方があることがわかります。 上から下に読むと、関連する ` netfilter +`フックがトリガーされたときに各チェーンが呼び出される順序も表示されます。

いくつかのことに注意してください。 以下の表現では、 `+ nat `テーブルは、 ` DNAT `操作（パケットの宛先アドレスを変更するもの）と ` SNAT +`操作（ソースアドレスを変更するもの）に分割されて表示されます。より明確に注文する。 また、ルーティングの決定が行われ、接続追跡が有効になっているポイントを表す行を含めて、発生しているプロセスのより全体的なビューを提供します。

パケットが `+ netfilter +`フックをトリガーすると、関連するチェーンが上から下の表にリストされているように処理されます。 パケットがトリガーするフック（列）は、着信パケットであるか発信パケットであるか、行われるルーティングの決定、およびパケットがフィルター基準を通過するかどうかによって異なります。

特定のイベントにより、処理中にテーブルのチェーンがスキップされます。 たとえば、接続の最初のパケットのみがNATルールに対して評価されます。 最初のパケットに対して行われた「+ nat +」の決定は、追加の評価なしで接続内の後続のすべてのパケットに適用されます。 NATされた接続に対する応答には、正しくルーティングするために逆NATルールが自動的に適用されます。

ルールは、特定のテーブルの特定のチェーン内に配置されます。 各チェーンが呼び出されると、問題のパケットはチェーン内の各ルールに対して順番にチェックされます。 各ルールには、一致するコンポーネントとアクションコンポーネントがあります。

終了しないターゲットの特別なクラスであるジャンプターゲットに言及する必要があります。 ジャンプターゲットは、追加の処理のために評価を別のチェーンに移動するアクションです。 私たちは、それらを呼び出す `+ netfilter `フックに密接に結び付けられている組み込みチェーンについてかなり話してきました。 ただし、 ` iptables +`を使用すると、管理者は組織的な目的で独自のチェーンを作成することもできます。

ルールは、組み込みチェーンに配置できるのと同じ方法で、ユーザー定義チェーンに配置できます。 違いは、ルールから「ジャンプ」することによってのみユーザー定義チェーンに到達できることです（それらは `+ netfilter +`フックに登録されていません）。

ユーザー定義チェーンは、それらを呼び出したチェーンの単純な拡張として機能します。 たとえば、ユーザー定義チェーンでは、ルールリストの最後に到達した場合、または一致するルールによって「+ RETURN +」ターゲットがアクティブになった場合、評価は呼び出しチェーンに戻ります。 評価は、追加のユーザー定義チェーンにジャンプすることもできます。

このコンストラクトにより、組織を強化し、より堅牢な分岐に必要なフレームワークを提供します。

`+ raw `テーブルと接続状態の一致基準について説明したときに、 ` netfilter `フレームワークの上に実装された接続追跡システムを導入しました。 接続の追跡により、「 iptables 」は進行中の接続のコンテキストで表示されるパケットについて決定を下すことができます。 接続追跡システムは、「 iptables +」に「ステートフル」操作を実行するために必要な機能を提供します。

接続追跡は、パケットがネットワークスタックに入るとすぐに適用されます。 `+ raw +`テーブルチェーンといくつかの基本的な健全性チェックは、パケットを接続に関連付ける前にパケットで実行される唯一のロジックです。

システムは各パケットを一連の既存の接続と照合します。 必要に応じて、ストア内の接続の状態を更新し、必要に応じてシステムに新しい接続を追加します。 `+ raw `チェーンの1つで ` NOTRACK +`ターゲットでマークされたパケットは、接続追跡ルーチンをバイパスします。

`+ netfilter `パケットフィルタリングフレームワークと ` iptables `ファイアウォールは、Linuxサーバー上のほとんどのファイアウォールソリューションの基盤です。 ` netfilter `カーネルフックは、ネットワークスタックに十分近いため、システムで処理されるパケットを強力に制御できます。 ` iptables +`ファイアウォールはこれらの機能を活用して、ポリシー要件をカーネルに伝える柔軟で拡張可能な方法を提供します。 これらの構成要素がどのように組み合わされるかを学習することにより、それらを活用してサーバー環境を制御および保護できます。

効果的な「+ iptables +」ポリシーを選択する方法について詳しく知りたい場合は、https：//www.digitalocean.com/community/tutorials/how-to-choose-an-effective-firewall-policy-to-をチェックしてくださいサーバーを保護する[このガイド]。

これらのガイドは、 `+ iptables +`ファイアウォールルールの実装を開始するのに役立ちます。