Firewall+IP masquerading on GNU/Linux (Vine2.5)

Introduction

1. Security
2. flexibility (workstation をたすのに IP をいちいち当局からもらう必要がない．)
3. IP address 浪費の防止．
4. 専用の router に比べての firewall ruleset の変更のしやすさ．
5. 消費電力は専用の router の方が低いと思われがちであるが, モニター無しで稼働させるのでむしろ GNU/Linux WS の方が低いようである． (Linux Journal 参照)

参考文献：

• Networking
• TTCP/IP パケットの取捨選択 (iptables)

準備

1. Vine Linux 2.5 を install. Vine 2.5 を含め，最近の GNU/Linux の distribution は通常の firewall 構築のために kernel rebuild する必要はまずない．
2. まず NIC (ネットワークカード) 二枚 と HUB を用意． (私の場合は Corega の 1,000 円程度の NIC 二枚と 3,000 円程度の 8port hub)
3. NIC は kudzu が自動認識するのでいじる必要なし．
4. firewall なので setup より iptables は boot 時にスタートするようにして余計なサービスを皆ストップ． 当然，login も text mode. (http, かな漢字変換，autofs, 等全て要らない．)
5. ifcfg-eth0 を ifcfg-eth1 にコピーして eth1 を設定． IPADDR を internal IP address private address, 10.x.x.x, 192.168.0.x 等々を使う, GW を eth0 の external IP address にする，という点だけ変更． 後は同じ．(BCAST を設定していればそれも直す．)
   # /etc/init.d/network start
   で設定を反映させる． (ここでは明らかなように eth0 を外の network につなげて eth1 を internal network につなげている．これが普通だと思う．)

   2 枚目の NIC の設定については Firewall/IP Masquerading 関係の書類に書いていないことが多いので忘れないように．

全体のイメージ図

    outside network
           ^	      
           |	      	
           |eth0 external IP (global)
        --------      		     
       |firewall|  <- running GNU/Linux with iptables
       	--------		     
           |eth1 internal IP (private)
       	   |		
        --------      	
       |  hub   |	
       	-------- 	
       |    |    |	
      ---  ---  ---                               
     |WS1||WS2||WS3| ...        
      ---  --- 	---

IP Masquerading

チェック

1. まず IP masquerading ができていることを check: 例えば外の site へ ssh. w で firwall の site から ssh している 事になっていることを確認． (ping は通常の設定で packet filtering で落ちている可能性があるので注意．)
2. iptables -L で rule のチェック．

Firewall Ruleset の詳細

1. IP Masquerading (NAT) をして firewall 内の host の外向けのデータを外へ．

         % iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to [IP external]
         

   以下の command も必要かも知れない．

         % echo 1 > /proc/sys/net/ipv4/ip_forward
         

2. Redhat 系では firewall rule は

         % iptables-save > /etc/sysconfig/iptables
         

   で reboot 時に iptables が読み込んでくれるはずである．

考察／感想