iptablesによるパケットフィルタCentOS6.3ではiptablesはデフォルトで有効になっており、カーネル再構築などは不要です。今、どういった内容でパケットフィルタが設定されているのか以下のコマンドで確認可能です。デフォルトではsshサービスへの接続しか許可されていません。destination■テーブル実際にiptableを設定するのですがiptablesを使うには、テーブルやチェインなどの概念を理解しておく必要があります。iptablesには、以下の3つの「テーブル」が用意されています。テーブル一覧filterパケットフィルタリングを参照するテーブルを指定する。nat新しいセッションを開くパケットが参照するテーブルを指定する。mangle特別なパケットが参照するテーブルを指定する。■チェーンiptablesでは特定条件に当てはまるパケットに対して処理ルールを定義します。この条件のグループをチェーンと呼びます。チェーンには最初から定義されている組み込みチェーンと後からユーザが定義するユーザ定義チェーンの2種類あります。冒頭で紹介した各ステップは組み込みチェーンとして利用できます。下記のようにテーブルによって利用できる組み込みチェーンに制限があります。manglePOSTROUTING送信時に送信元アドレスを変換するチェインnat■ターゲット-jパラメータでは、「ターゲット」を指定する必要があります。これは、パケットがマッチした際のアクション(何を行うか)のことです。主なものは次の通りです。POSTROUTING」と同時に用いて送信元IPとポート番号を書き換えるREJECTパケットを拒否し、ICMPメッセージを返信PREROUTING特定ポートにリダイレクトLOGLogを採取するSNATパケットの送信元アドレスを修正する。natテーブルでpostroutingチェーンでのみ利用できる。パケットの送信先アドレスを修正する。natテーブルでpostroutingチェーンでのみ利用できる。■ルールルールはパケットの内容との比較条件です。条件に合致したパケットは別のチェーンのルールに照らし合わせたりターゲットを指定して処理を行うことができます。iptablesに対してルールを設定する場合にはオプションの形式で指定します。以下、代表的なルールのオプションです。[/<netmask>]送信元アドレス。[/<netmask>]接続先アドレス。<port>送信元ポートを指定する。<port>送信先ポートを指定する。<module>モジュールを指定する。-pで暗黙に指定されるので省略することも可。<type>ICMPでタイプ名を指定する。-hで表示されるタイプを指定。!-p、-s、-dなどで、条件を反転する。192.168.0.1」とすると、「192.168.0.1以外」という意味になる■ヘルパーモジュールCentOSの標準設定で使われているstateモジュールはアクティブモードのFTPやamandaなどの特殊なコネクションの通信を追跡する機能をもっています。これらのプロトコルの通信を追跡するにはプロトコルごとのヘルパーモジュールを読み込む必要があります。下記はそのヘルパーモジュールの一覧です。これらのモジュールを読み込むには/etc/sysconfig/iptables-configのIPTABLES_MODULESのIPTABLES_MODULEに該当モジュールを追記します。/etc/modprobe.conf.IPTABLES_MODULES=&quot;nf_conntrack_netbios_ns&quot;■stateモジュールstateモジュールを利用することで通信の段階に応じた制限をかけることが可能です。一般的には一旦接続を受け付けた通信は全て許可し、接続の可否だけを制御します。書式は下記のようになります。&lt;state&gt;--stateで指定可能なものは以下があります。■iptablesコマンドiptablesコマンドで設定を実施していきます。iptablesの主なコマンドとして以下があります。全ての操作でテーブルの指定は省略することができ、省略した場合はfilterテーブルに対して操作が行われます。