X
トップページ⇒Linux
103コメント41KB
GNU/Linux とネットワーク/セキュリティ
0001login:Penguin
垢版 |
2006/06/20(火) 00:50:49ID:TOCwtSsF
Unix 系 OS にとってネットワーク/セキュリティ知識は必須ではないかと思い
またそういったスレッドが見当たらないので建てました。

基礎的なネットワーク知識、セキュリティ
それらを実現するサービス

kernel 再構築によるセキュリティ確保など

関連団体などの情報も必須でしょう。

私のお薦め
初心者向け Network 講座
定番ですが
Roads to Node
http://www5e.biglobe.ne.jp/~aji/
フラッシュなどを用いて視覚的に解説がなされています
また読みものとしても面白いです。

みなさんも情報提供していただけませんか？

#蛇足ー個人の尊厳こそ Freedom
0003login:Penguin
垢版 |
2006/06/20(火) 10:03:34ID:inE/6ivp
GNUが付くとDebianスレの派生かと思う
0004login:Penguin
垢版 |
2006/06/21(水) 19:27:47ID:/uqjxurW
どこで質問しようかとスレ一覧眺めてたら、ちょうどこんなスレが出来てた。
借ります。


swatch + iptables で /var/log/secureを監視して不正(と見える)ログインを遮断するよう設定しました。
不正ログイン感知 → 該当アドレスを iptables で DROP → atで30分後に解除という一連のアクションを設定しています。

リアルタイムでの遮断動作自体はうまく行っているのですが、
なぜか不定期的に /var/log/secure に記録されている不正と見なされたアドレスが全部「再度」遮断されてしまいます。
つまり、「新規に」加わったログだけでなく、ログファイル上に残っている「すべての行」が何度もチェックされてしまい、
既に30分以上経過して遮断解除されていたアドレスが、その度に遮断されてしまうのです。
その結果「設定を間違っていて引っかかったユーザが、設定を修正した後も時々ログインできなくなる」
という困った状況になってしまっています。
(現在は手作業で /var/log/secure から該当する行を削除することで対応してます)

swatchのバージョンは 3.1.1、
起動オプションは --config-file /etc/swatch.conf --tail-file /var/log/secure --use-cpan-file-tail --daemon です。
(実際には他に諸々のディレクトリ指定のオプションもありますが割愛)
/etc/swatch.confには

watchfor　　　　/proftpd.*\[(\d+\.\d+\.\d+\.\d+)\].*Maximum login attempts/
　　　　exec "/sbin/iptables -A INPUT -s $1 -j DROP"
　　　　exec "echo '/sbin/iptables -D INPUT -s $1 -j DROP' | at now+30min"

といった感じで13個程パターンが登録されています。

ぐぐってみましたが、類似した話は見つけられませんでした。
原因 & 対策が分かる方がいらっしゃったら、よろしくご教示ください。
0005login:Penguin
垢版 |
2006/06/24(土) 21:06:11ID:JDvjyGFc
う〜む
返答なしか
どこで聞こう
0006login:Penguin
垢版 |
2006/06/24(土) 22:07:14ID:m9/Mfs1J
2行目が実行されてないだけじゃないの？
0007login:Penguin
垢版 |
2006/06/25(日) 03:46:25ID:rU7/qJVV
を、反応があった。

>>6
いや、iptables -F INPUT が実行されてるのは確認済みです。

ところが忘れた頃に /var/log/secure の中にある既に処理済みのやつが
同じ時間に再びダ〜〜〜〜っと DROP されてしまうのです。
>>4 では省略したのですが、watchfor のアクションでは最後に

exec "echo `date '+%y-%m-%d %H:%M:%S'` $1 ftpd - maxmum attempts exceeded >> /var/log/swatch/`date +%y%m%d`.log"

という感じで、日付別にログを残してるので、これと /var/log/secure とを見比べると
「実際の不正ログイン」がなかったとき、まったく同じ時刻で数十件もログが記録されてたりするわけです。
syslogのローテートが行われてる週末まで、どんどんその行数が増え続けるので、
チェックすると日を追ってどんとん嫌な気分になります。
0008login:Penguin
垢版 |
2006/06/25(日) 03:47:58ID:rU7/qJVV
書き間違えた。

× いや、iptables -F INPUT が実行されてるのは確認済みです
○ いや、iptables -D INPUT が実行されてるのは確認済みです
0010login:Penguin
垢版 |
2006/06/25(日) 06:09:21ID:rU7/qJVV
してません。
swatchを再起動させると当然 pid が変わるので、
(--script-dir で指示されたディレクトリにある)実行スクリプトも新しくなります。
古いものは消去されずに残りますので、
再起動されればその数だけスクリプトが残るはずです。

一日に数回は「謎のログ総点検」が行われますが、
そのような数のスクリプトは存在しません。
(つか、手動で再起動、あるいはlogrotate の際の自動再起動分しかありません)
0011login:Penguin
垢版 |
2006/06/25(日) 06:10:22ID:rU7/qJVV
昨日の 19時以降だけでも、19:16:55 と 19:51:19 の二度「謎のログ総点検」が行われました。
この二回だけで実に180行のログが残されています。
さきほどsyslogのローテイトが行われたところで、昨夜はログが一週間分貯まっていた訳です。
昨日は夕方に一旦ログを消去したので、こんな行数ですが、丸一日放置した後だと 1000行近くなってしまいます。
これをチェックするのは正直ウンザリな感じです。

皆さんのところでは swatch が「ログ総点検」を行うなどという現象は起きていないのでしょうか?
一体何がトリガーになってるのか、見当がつかなくて困ります。
どうすれば「トリガー」を調べられるか、そのヒントでも頂けるとありがたいです。
0012login:Penguin
垢版 |
2006/06/25(日) 11:31:39ID:T581Ntvh
--tail-file=/var/log/secure
0013login:Penguin
垢版 |
2006/06/25(日) 13:16:56ID:0p4CcI7d
本人が関係ないと思って省略してるところに問題があることも多いかも知れません
0014login:Penguin
垢版 |
2006/06/25(日) 16:21:05ID:rU7/qJVV
>>12
あ、本当だ。=が抜けてますね。
これで直るのかな。試してみます。

しかし、manを見るとオプションの指定で = あるのとないのとゴチャマゼですね。
--config-file では = 不要、tail file の指定も --tail あるいは -t の場合は不要となってる。

あれ?
synopsisだと--restart-time は = 不要になってるのに、command line options では 必要となってる。
どっちでもいいのか?w
0015login:Penguin
垢版 |
2006/06/25(日) 16:21:40ID:rU7/qJVV
>>13
省略……といっても、あと起動スクリプトの中身では
swatchへのオプションを実際にはshell変数使って渡してることとか
start/stop/restart の分岐処理とか
それくらいです。

# start では重複起動と設定ファイル類の存在チェック→起動しかやってません
0016login:Penguin
垢版 |
2006/06/26(月) 05:39:54ID:bSdJbdKs
その後 >>12 の修正を加えてみましたが変化なしで、やはり何度も「総点検」が発生しています。

/var/log/secure と見比べると、「謎の総点検」が行われるのは、
不正ログインではない通常のログインがあって、ログに行の追加があったときに一致しているようです。
ただ、もちろん「すべての正常ログイン」の場合に発生する訳ではないので、
何か別の要因が重なった場合のようです。

引き続き情報がありましたら、よろしくお願いします。
0017login:Penguin
垢版 |
2006/07/01(土) 19:22:04ID:7ibUZkIS
eth0とeth1を使ってマスカレード組んでます。
iptables -t nat -A POSTROUTING -s 192.168.1.0/8 -o eth1 -j MASQUERADE
ここまでは良いのですが、local側(eth0)のパケットをプログラムに取り込んで、
必要に応じてeth1に流したいのです・・・
Filterでは困難なので、プログラムを投入したいのですが、
raw socketでeth0から読んでeth1に書込んでみたのですが、
どうも、socket I/Fからの出力ではMASQUERADE経由しないようです。
（当たり前なの？？）
何か良い方法ありますか? 宜しく御教示ください
0019login:Penguin
垢版 |
2006/07/03(月) 09:00:44ID:03m/PJWz
そう
promisc
で拾ってます。
拾うのはOKなんですけどね
書いた後にマスカレードされずにそのままでてってしまう・・・
0021login:Penguin
垢版 |
2006/07/03(月) 20:25:49ID:03m/PJWz
ありがとうございます・・・
POSTROUTINGの前段をうまく捕まえる技があればと思ったのですが・・・
ソース読みます
失礼しましたm(-_-)m
0022login:Penguin
垢版 |
2006/09/26(火) 23:15:29ID:6d8a7QLm
「GPLは危険」 複数のLinuxカーネル開発者が共同声明
http://opentechpress.jp/opensource/article.pl?sid=06/09/26/0227202
---
TorvaldsはLKMLへのメールの中で、Bottomleyの意見に同意している。
「僕の個人的な意見を言うと、 公開議論の大部分が、
　GPLに関して政治的な動機を持った人たちによって行なわれているなあということ。
　だからとても声の大きなGPL支持者たちがいる。
　だけど大量の開発を結局のところ実際にやってる人たちっていうのは
　普通は彼らほど口が達者じゃないし、実際その意見はほとんど知られてないって気がする。
　FSFの意見は実際の開発者の（しかも、かなり多数の）意見を必ずしも代弁してはいないっ
　てことを、 実際の作業をたくさんやる人たちが知らしめる手段だ。」
0024login:Penguin
垢版 |
2006/09/27(水) 00:06:48ID:GDpkbWDq
「GPLは瀕死の状態」--Linuxカーネルプログラマーの多くが低評価
http://japan.cnet.com/news/ent/story/0,2000056022,20248447,00.htm

貢献度の高いLinuxカーネルプログラマーの大半が、
「GNU General Public License（GPL）」に否定的であることがわかった。
GPLは多くのオープンソースプロジェクトに適用されている。

Linuxカーネルに関する情報を交換するメーリングリストに投稿した記事によれば、
カーネルプログラマーらに-3から+3の評価を求めた結果、最も高かった評価は、
可でも不可でもないことを意味する0で、平均は-2だったという。
この調査はLinuxを率いるLinus Torvalds氏が提起したもので、
Torvalds氏はこれまでにもGPLに反対の意見を表明していた。
0025login:Penguin
垢版 |
2006/10/05(木) 11:29:41ID:hGZwLmdO

↓のようなポートスキャンなどを行ってセキュリティリスクをレポートしてくれるサービスで
linuxでも使えるものはないでしょうか?

Symantec Security Check
ttp://security.symantec.com/sscv6/default.asp?productid=symhome&langid=jp&venid=sym
0026login:Penguin
垢版 |
2006/10/05(木) 16:27:26ID:PqMrisKX
あります。ｲｼﾞｮ
0030login:Penguin
垢版 |
2006/10/05(木) 21:49:42ID:PqMrisKX
hGZwLmdO=aVDRRJ2f
26 ：login:Penguin ：sage ：2006/10/05(木) 16:27:26 ID:PqMrisKX
あります。ｲｼﾞｮ
>>26 知らないなら黙っていたほうがいいですよ。
0031login:Penguin
垢版 |
2006/10/07(土) 14:22:18ID:vF2ja7d/
（苦笑）

26 名前：login:Penguin[sage] 投稿日：2006/10/05(木) 16:27:26 ID:PqMrisKX
あります。ｲｼﾞｮ


30 名前：login:Penguin[sage] 投稿日：2006/10/05(木) 21:49:42 ID:PqMrisKX
hGZwLmdO=aVDRRJ2f
26 ：login:Penguin ：sage ：2006/10/05(木) 16:27:26 ID:PqMrisKX
あります。ｲｼﾞｮ
>>26 知らないなら黙っていたほうがいいですよ。
0032login:Penguin
垢版 |
2007/01/21(日) 17:35:17ID:Tv8fxT9H
ＦＡＣＫ　ＹＯＵＲ！！
0033login:Penguin
垢版 |
2007/02/13(火) 00:01:27ID:yjsD2NqE
ここって、debianのネットワークセキュリティーの話でいいのかな。
今、sidでseeditか、TOMOYOのどっちかを導入しようと思ってるんだけど、
どっちが簡単かな。
0036login:Penguin
垢版 |
2007/06/14(木) 10:58:27ID:OEvSVDY+
ネットワークセキュリティなら・・・・

そう、OpenBSDです。
0037login:Penguin
垢版 |
2007/09/05(水) 14:38:44ID:N/xrp7oK
　
0038login:Penguin
垢版 |
2007/10/03(水) 18:04:30ID:DelxZpX5
GPL採用はわずか6％
http://www.atmarkit.co.jp/news/200709/26/gpl.html

Evans Dataが9月25日に発表した調査報告書によると、
オープンソースソフトウェアに取り組んでいる開発者の中で
「GNU General Public License（GPL）」を採用しているのは、
わずか6％に過ぎないという。
同社の「Evans Data Open Source Software Development Survey」では、
調査を行った開発者の3分の2が2008年にGPLを採用する予定はないと答え、
同43％がこれからも同ライセンスを利用しないと述べた。

また、GPLを採用したプロジェクトに参加する可能性はないと回答した人数は、
可能性があるとした人数の約2倍に達している。

同調査は、約400人の開発者を対象に行われた。
0039login:Penguin
垢版 |
2007/10/03(水) 18:15:22ID:avyt7u9Z
>>38
記事は正確に引用しましょう。
その記事で触れられているのはGPLが6%では無くてGPLv3が6%です。
また引用文を改変する事は法的に禁じられているはずです。
0040login:Penguin
垢版 |
2007/10/03(水) 21:53:28ID:X5CWK/w7
そんなことより釣りなら上げなきゃ駄目だろ
0041login:Penguin
垢版 |
2008/06/04(水) 18:12:45ID:iQKswejH
自分の選択でフリーターはともかくとして、
フリーターしか選択肢がないというのはよほど問題がある人だろう。
先天や事故で身体的に無理というならばまだしも、
精神的にとかは、もう笑うしかないな。
どれだけ甘えているのだと。
そういうのはバイトで当然だよ。
むしろ金をやる必要すら無い。
0043login:Penguin
垢版 |
2009/05/18(月) 13:27:21ID:zBbprzQU
ifconfigでIPv6を割り振ってみたいんだけど
IPエイリアスでeth0:1とかにIPv6をどうやってつければいいの？
0044login:Penguin
垢版 |
2009/06/10(水) 02:02:08ID:VBAqSZYu
つまりどういうことです？
0045login:Penguin
垢版 |
2009/08/26(水) 23:26:04ID:fTY2u3XK
https://mikamail.dyndns.org/pukiwiki/?Linux%B4%D8%CF%A2%2FOS%2FCentOS%2F%A5%BB%A5%AD%A5%E5%A5%EA%A5%C6%A5%A3%B4%D8%CF%A2%2Fiptables
を参考に、ブラックリストファイルに登録された接続先をiptablesで弾くスクリプトを作ってみましたが、合っているのでしょうか？
#!/bin/sh
#初期設定
### IPフォワードの停止 ###
echo 0 > /proc/sys/net/ipv4/ip_forward
IPTABLES=/sbin/iptables
#iptable初期化
$IPTABLES -F
$IPTABLES -X
$IPTABLES -Z
#ブラックリストアクセスは、ログを吐いてdrop
$IPTABLES -N b_log_drop
$IPTABLES -A b_log_drop -j LOG --log-tcp-options --log-ip-options --log-prefix '[IPTABLES Blacklist log] : '
$IPTABLES -A b_log_drop -j DROP
##################################################
# ブラックリスト読み込み
##################################################
while read LINE
do
iptables -I INPUT 1 -s $LINE -j b_log_drop
iptables -I INPUT 1 -d $LINE -j b_log_drop
iptables -I INPUT 1 -p icmp -s $LINE -j b_log_drop
iptables -I INPUT 1 -p icmp -d $LINE -j b_log_drop
done < /etc/iptables/blacklist.txt
##################################################
# Initialize
##################################################
### 設定内容の保存 ###
/etc/rc.d/init.d/iptables save
### IPフォワードの開始 ###
echo 1 > /proc/sys/net/ipv4/ip_forward
0046login:Penguin
垢版 |
2009/10/25(日) 22:45:48ID:LbtqdK1A
sudoってコマンドが普及しているけど、これってかなり危険だよね？
なぜこんなにも普及しちゃったんだろうか。
シングルユーザで使っている人がほとんどのはずなのに。
0048login:Penguin
垢版 |
2009/10/31(土) 20:08:55ID:WFBh0DC7
sudo なら、どのコマンドは誰が使えるか
設定できるんだよ。
使えるコマンドに制限つけなければそりゃ危険だ。


もっとも、シングルユーザーで root ログインの
奴にはどっちでも同じことだけどな。
0049login:Penguin
垢版 |
2009/11/04(水) 11:31:04ID:EfP2LvBc
個人一人だけでパーソナルコンピュータとして使っている人がほとんどのはず。
複数ユーザーで使っている人は少ないと思うのに、sudoが標準化されてしまった。

複数ユーザーで一つのパソコンなりサーバなりを共有してでもいないかぎり、
sudoを使わなければ不便ということもないし、sudoを入れることによって
かえって危険度が増すと思うけど、どうなんだろう。
0050login:Penguin
垢版 |
2009/11/04(水) 13:59:55ID:YO73TQNX
>>49
ユーザが一人か複数かが何か関係あんの?
0051login:Penguin
垢版 |
2009/11/04(水) 17:28:54ID:fE4/9RbV
後学のために
どのように「かえって危険度が増す」のか
詳しく解説して欲しい。

suしたりrootアカウントでログインした方が安全なの?
0052login:Penguin
垢版 |
2009/12/25(金) 11:34:22ID:NtXOxghi
それが必要な時だけrootログイン/su/sudoの何が危険なんだろう
0053login:Penguin
垢版 |
2009/12/26(土) 01:24:33ID:0iElouT+
>>50
さすがにそれは関係あるでしょう。
それぞれのユーザーが勝手に自分の方針でシステムの中核をいじくるといずれ破綻する。
シングルユーザーの場合のsuもsudoも気を引き締めるためのひとつの儀式なのだと思う。

0054login:Penguin
垢版 |
2010/07/22(木) 11:05:36ID:2mXZrTNi
ロードアベレージがある値を超えたら
Netfilterで特定のポートへのパケットをDROPする、
ということはできるのでしょうか？
iptables のモジュールで何か無いだろうかと
探したのですが見つけられませんでした。
0055login:Penguin
垢版 |
2010/07/22(木) 11:22:35ID:2mXZrTNi
xinetd の max_load でできそうな気がしてきました。
0056login:Penguin
垢版 |
2010/10/07(木) 17:31:10ID:n1ueAS4v
まぁ分かりやすい代表例として；
水牛のルーターでOpenWrt動かすとWAN側ポートがeth1、LAN側がeth0になる。
加えてヤマハのRT5x系のルーターでも、WAN側向けポートをLAN2として、(スイッチ有りの)LAN側向けをLAN1として扱ってる。

俺の自作ルーターでは別サブネットのLAN構成用のIFを増設する可能性を睨んで逆にしてある(WAN=eth0, LAN=eth1)んだが、
Linux/Unix的にWAN側IFとLAN側IFの命名法にお作法があるなら、その手法と理由を
教えてくだされ…
0057login:Penguin
垢版 |
2010/10/07(木) 17:59:33ID:OoscnR6n
そもそも「WAN側/LAN側」って区別はないだろう。
単に「異なる二つのネットワーク」でしかないと思うが。
0058login:Penguin
垢版 |
2010/10/07(木) 18:11:18ID:n1ueAS4v
主にWAN向けとして使われる想定のIFと、同様にLAN向けとして使われる想定の
IFの主従関係(無論OSから見ればそんな物は存在しないが…)みたいなのが、上みた
いになる例が多いのは何故かなと思ったワケです。ちなみにFonera+もそうなってまして…
0060login:Penguin
垢版 |
2012/09/07(金) 09:55:58.15ID:IeH0FKbw
上げます。
WiMAXですが、NECのWM3600Rというモバイルルーターをお使いの方はいませんか?
無線LANではなくてUSBで接続して充電しながら占有したいのですが、
同メーカーのWM3500Rと違ってネットでは動作報告が見つかりません。
USBに直接接続した場合に、cdc_etherドライバーで認識されるか試せる方いらしたらお願いします。
ちなみに今のところLinuxでUSB接続できるのは、WM3500RとMobileCubeの2機種のようです。
0061login:Penguin
垢版 |
2012/09/19(水) 20:36:00.10ID:0aiFI4NW
もしかして、whoisコマンドを連続実行すると怒られる？
0062login:Penguin
垢版 |
2012/10/22(月) 09:54:55.87ID:GDZy0hyz
netstat 使うと、今現在使用中のプログラムが一覧できるけど
一瞬使って終了するプログラムは見れないです。

ネットワークを使った瞬間を捕まえる方法はありますか？
0063login:Penguin
垢版 |
2012/10/23(火) 00:39:03.52ID:XJ4Ig0yE
ネット回りのソースから改変して自分でビルドしてハックするとか
0064login:Penguin
垢版 |
2012/10/23(火) 11:46:22.19ID:0oB+osl5
libpcapとか使って出来ないですかね
0066login:Penguin
垢版 |
2013/04/27(土) 08:22:44.04ID:Fbbvorob
サーバーのselinuxやiptablesを無効にしていいのですか？
サーバーを一台一台セキュリティ設定すると手間が大変だと思うので、
サーバーは無防備にしてファイアウォールで外部からのアクセスをフィルタするのがいいと感じました
初心者なのでなにが正しいのか判断が難しいです
間違っていたら教えてください
0067login:Penguin
垢版 |
2013/04/27(土) 08:29:48.66ID:oZTkQdLm
自分で判断できない人がサーバなんか立てちゃだめです。
0068login:Penguin
垢版 |
2013/04/29(月) 17:00:54.98ID:sHMYg9rN
>>66
「初心者なのでなにが正しいのか判断が難しい」のに
「一台一台セキュリティ設定すると手間が大変」
と感じるほど大量のサーバを管理してるの?

一体どんな状況なのか想像がつかない
0069login:Penguin
垢版 |
2013/04/29(月) 19:08:09.64ID:1QD4kptZ
設定するときだけ無効にするでしょ。
0070login:Penguin
垢版 |
2013/05/03(金) 12:27:00.72ID:haPQerqG
つか、複数のサーバに全部同じ設定するなら
同じ設定ファイルを全部のサーバにコピーするだけでいいと思うんだが

何が大変なのかな
0071login:Penguin
垢版 |
2013/12/20(金) 15:10:21.59ID:SBamnEmQ
「プロプライエタリのアプリケーションは何をやっているか見えない。
もし個人情報をどこかに勝手に送信していたら、どうするんだ？」

「君はいつも何をやっているか見えないクラウドに
個人情報を自ら送信しているじゃないか」
0072login:Penguin
垢版 |
2013/12/20(金) 19:05:11.35ID:BeCEkC11
>>71
前者はそのアプリがアクセスできる範囲にある情報全て。
後者は送信した情報のみ。

これが同じ運用をしてるってことか。
0073login:Penguin
垢版 |
2013/12/20(金) 19:17:49.06ID:l2hrSU6+
マイクロソフト以外は信用できん。
0074login:Penguin
垢版 |
2013/12/23(月) 00:51:49.76ID:K1QKUFhF
debianの本スレはよ
0075login:Penguin
垢版 |
2013/12/25(水) 19:23:52.05ID:9Oa/hQjQ
セキュリティ対策はめんどくせ
0076login:Penguin
垢版 |
2013/12/25(水) 21:38:59.48ID:C/S2jqW/
OpenVASのセキュリティホールわろた。Debianパッケージがアップデートされてないからポートあいてたらドンなボットでかなり簡単に乗っ取れてしまう。

アップデートする気ないならOPENVASはしばらく停止させないかんね
0077login:Penguin
垢版 |
2013/12/26(木) 14:32:17.28ID:w3iaz9Uz
iptables とか pf とか、ゴリゴリ掻くかね?
あたしゃ、もうそんなに若くないよ
0078login:Penguin
垢版 |
2013/12/26(木) 19:56:39.31ID:v3xbB5pP
メンドくさくて shorewall から乗り換えらんねー
0079login:Penguin
垢版 |
2014/02/03(月) 01:13:02.11ID:p6emkNr5
ファイヤーウォールルール
「DNSクエリ」
・そのまま通す。
「DNSリプライ」
・Netfilterキューにパケットを送る。
・判定プログラムでこれを一旦受け取る。
・libresolvライブラリでメッセージ解析。
・ダイアログ（Xdialog）で接続先のホスト情報を表示。
・問題のIPアドレスを、動的なホワイトゾーンか動的なブラックゾーンに登録。
・判定プログラムはパケットを改めて通す。
（したがって、アプリケーションはこのIPアドレスに接続要求を出す。）
「こちら（アプリケーション）側からインターネットへの接続要求」
上のリプライ解析でホワイトゾーンに入ったアドレスはACCEPT。ブラックゾーンはREJECT。

ってな感じで、（MacOSX環境でのHands Off!的な）外向き管理のファイヤーウォールが出来た・・もよう。
iptablesは直接叩いてないが、Shorewallいいよね。

材料：
・libnetfilter_queue（NETFILTER_NETLINK_QUEUEとその他諸々）
・libresolv
・libsqlite3

DNSリプライが予想以上にキューに（多分俺が止めてるから）流れ込んできて一悶着だったんだが、
もっとスマートな機構でも用意されてないのかな。
「このアプリがここに接続しますよ」ってカーネルさんが１つずつ優しく教えてくれるような・・・
0080login:Penguin
垢版 |
2014/02/12(水) 21:51:30.75ID:razmMZEi
ウィルスには強いよ。それは認めよう。

でもクライムウェアに掛かれば、BiOSの設定を変えられたり、時刻を変えられたり
そういう現象はトラブルとして起きるからね。
例の通信速度設定パラメータもいじられたりする。
鈍感なLinuxユーザーは気づかない。
0081login:Penguin
垢版 |
2014/02/14(金) 16:40:44.86ID:fHcWoz/b
クライムウェアにかかればねｗ
0082login:Penguin
垢版 |
2014/02/14(金) 17:28:35.29ID:NFMEganc
ウイルスに強いのか？
あまり対象にされないだけじゃないのか。
0083○☆温泉☆○ ◆2iML/LSl36
垢版 |
2014/05/04(日) 15:29:07.28ID:qU1lMqEt
質問させてください。
wLANアダプタ+hostapdによるPC-Wifiルータを作っているのですが、

・Wiredなら見える
・Wi-FiクライアントはDHCPはとれている
・Wi-Fi経由だとホストからもクライアントからもpingでもsshでも見えない
・それぞれが自己のwLAN NICにpingを投げると返ってくる
・firewallでないことは確認済み

何をみれば良いのでしょうか?アドバイスくださると幸いです。
0084login:Penguin
垢版 |
2016/06/13(月) 22:31:10.02ID:THPCncF9
age
0085login:Penguin
垢版 |
2017/09/18(月) 10:48:39.80ID:/8qljawN
自ホストのNICに、
Ubuntuなら/etc/network/interfacesで、
CentOSなら /etc/sysconfig/network-scripts/ifcfg-xxx で、
サブネットマスク定義しているけど、
これって何故定義するんだろうって思う。
と言うのは、「宛先ネットワークアドレス」とか、サブネットって、
送信元やルータが「このホストはこのネットワークに所属しているから
ここに転送する」って認識しているのであって、そのホストが
自身で決めるというよりは、外部のホスト毎に認識されるものなんじゃ
ないか？
ARPで問い合わせられたときに、「私のマスクはこの範囲です」って
言う感じで、「私のIPは1.2.3.4です(1点)」だけでなくて、範囲も返答
してるってこと?
そしてARPの返答を受け取った側が、受け取ったサブネットマスク値で
ルーティングテーブルを動的に登録してくれるってことでいいのかな。
(そうなると、ルータ側で、統一的にサブネット区分けをしているのが
容易に変更可能になってしまうが... staticなルートのほうが優先??)

同様に、DNSのドメイン名をホスト側のNICに設定するのもよくわからない
これってDNSサーバ側のリソースレコードで定義される情報なんじゃない
のかなって思う。しかもDNSの方は、ARPみたいな全てのホストに問い合わせる
仕組みじゃないはずだし。
0086login:Penguin
垢版 |
2017/09/18(月) 12:09:00.43ID:OtEjdxK0
いろいろごっちゃになってるな

自ホストと同一ネットワーク内にあるホスト宛にしかパケットは直接送れない
ネットマスクにより同一ネットワーク内にあるホストのIPアドレスの範囲が決まる
パケット送信先IPアドレスがその範囲内なら自分で直接パケットを送る
範囲外ならルーターにパケットを送り転送を依頼する

ARPは「このIPアドレスを使ってるのは誰？」と聞きMACアドレスを返してもらう
自分のIPアドレスを返したりネットマスクを返したりはしない

ルーティング情報の交換はまた別の話
それには動的ルーティングプロトコルでの通信が必要

OSインストール時等に入力する自ホストのドメイン名は
実際にはあまり使われていない
0087login:Penguin
垢版 |
2017/09/18(月) 12:29:24.43ID:/8qljawN
>>86
めっちゃスッキリしました。ありがとう。
保存版にしたいわ。
そうか、NICで設定しているサブマスによってそもそも範囲内
ならルータに送らないのな。
ARPについては仰るとおりです。勘違いしていました。
DNSは気にしなくていいのね。
0088login:Penguin
垢版 |
2017/09/18(月) 14:34:51.09ID:OtEjdxK0
所属ネットワーク範囲内宛でもルータに送っても折り返して送ってくれることも多い
でも送り返してくれないこともあるしそもそも2回通信するのは無駄だしあまりやるべきではない

あと個人的意見になるけど今は「サブネットマスク」ではなく「ネットマスク」と言うべきだと思う
「サブネット」はクラスAとかCとか言ってた時代の古い言葉
0089login:Penguin
垢版 |
2017/09/18(月) 15:27:47.76ID:/8qljawN
>>88
つまり、こういうこと？
「集合に属している要素」からみてその「集合」はあくまで
「集合」であって、それに「サブ」をつけるのはおかしいって
感じ？
単純に考えればあくまでも「自分の番号」と「自分をグルーピングしている範囲」
を指定すればよいって事か。
0090login:Penguin
垢版 |
2017/09/18(月) 16:54:57.50ID:OtEjdxK0
>>89
理屈の話じゃなくて歴史的な話

https://www.nic.ad.jp/ja/basics/terms/cidr.html
昔はクラスフルなアドレス体系で
各組織に区切り位置固定のざっくりしたネットワークアドレスを割り振っていた
それを組織内でいくつかのサブネットに分けて使っていた
今はもうクラスレスで区切りをどこにでも置けるから
何かの一部かどうかとかあんまり気にしない
どうせいまどき直接使うのは192.168.xx.0/24とかでしょ
それは何の「サブ」なのか気にしないよね、ってこと
0091login:Penguin
垢版 |
2017/09/18(月) 20:58:45.29ID:T5GqduU2
OtEjdxK0 やべえなネットワークの解説本書けるぞ

# もしかしてすでに書いてたり？
0093login:Penguin
垢版 |
2017/09/19(火) 00:10:35.36ID:NKBfJRbw
そうか。書いてホスイ
0094login:Penguin
垢版 |
2017/12/29(金) 13:49:55.78ID:S/CsVkMC
誰でも簡単にパソコン1台で稼げる方法など
参考までに、
⇒　『宮本のゴウリエセレレ』 というブログで見ることができるらしいです。

グーグル検索⇒『宮本のゴウリエセレレ』

KAIFYLUYV5
0095login:Penguin
垢版 |
2018/05/22(火) 11:03:54.25ID:Czl6p0FW
僕の知り合いの知り合いができた副業情報ドットコム
関心がある人だけ見てください。
グーグルで検索するといいかも『ネットで稼ぐ方法　モニアレフヌノ』

KX34O
0096login:Penguin
垢版 |
2019/06/22(土) 09:46:09.76ID:BWxAJ8Sj
ここ数日、TCPに関する重大なバグの影響により、アップデートが大量に来ている。

また、
◆snapアプリのアップデートはaptコマンドでは不可能である。

初心者向けに、Ubuntuを例にセキュリティーアップデートの手順を示す。（Kubuntu、Xubuntu、LubuntuなどのUbuntuフレーバーたちも同じ）

（１）ターミナルを開き、下記のコマンドを打ち、最新情報を取得する。

$ sudo apt update

（２）最新の情報が取得され、システムは最新ですとの表示が出たら（４）に飛ぶ。もし、アップデートの必要のあるパッケージがあることが示されたら、次のコマンドを打ち、パッケージをダウンロードしてインストールする。

$ sudo apt -y upgrade

ちなみに「-y」オプションは付けても付けなくても良いが、付けなかった場合には、ダウンロード直後に本当にインストールして良いかを［Y/N］と表示して確認してくる。この場合はYesを意味するYを押すことでインストールが始まる。
「-y」オプションを付けるとこの手順が飛ばされてダウンロードが完了次第、すぐにインストールが開始される。

（３）次の２つのコマンドは、それぞれ上記のコマンド実行の結果として、不要となった古いパッケージ、不要となったキャッシュを削除する。掃除であるから実行はたまにで良いが、ストレージ容量が少ない環境の人は頻繁にやるべきだろう。

$ sudo apt autoremove

$ sudo apt autoclean

（４）次にsnapアプリの更新を行う。

$ sudo snap refresh

snapアプリをインストールした覚えが無くとも、システムがsnapを使っているため必ず実行すること。例えばGNOMEシェルはsnapであり、Ubuntu18.04.x LTSはすでに更新の必要が出ているので、未実行であれば直ぐに実行し最新版にしよう。

GUIからはすべてのアップデートや掃除はできない。取り分けsnapは（４）の手動アップデートでなければ更新できない。
出来るだけ毎日、しっかりアップデートを行い、セキュアなLinuxライフを送ろう。
0098login:Penguin
垢版 |
2021/06/02(水) 22:10:43.10ID:lGeVvDmG
>>90
それ言っちゃえば10.0.0.0/8のLANをサブネット分割する場合もあるし
どのネットワークのサブネットかという分類は今でも現役でしょ。
サブセット・スーパーセットとかの用法と同じでいいんでないの？
0099login:Penguin
垢版 |
2021/06/02(水) 22:11:20.52ID:lGeVvDmG
うわ、どえりゃー古いカキコにレスしちまったよｗ
0100login:Penguin
垢版 |
2021/06/02(水) 22:26:18.99ID:h4hY+6NO
このスレ今月で15周年じゃん
0101login:Penguin
垢版 |
2022/04/11(月) 13:32:39.24ID:28SRxXFF
ip route って名前解決しないの？
0102login:Penguin
垢版 |
2023/03/28(火) 11:58:36.32ID:NWQ61ZV2
熱々のカキフライを乳首の上に乗せる仕事始めたら母親が泣いた
0103login:Penguin
垢版 |
2023/05/07(日) 18:13:54.36ID:N6dx4e/k
ipコマンドってみんなちゃんと使ってる？
いまだにifconfigに頼ってない？
新着レスの表示
レスを投稿する

ニューススポーツなんでも実況