iptables から nftables へコンバート

リモート環境の設定をする際は、設定作業を始めるまえにどのように接続状態を確保しておくかのプランが必要になります。ここでは、IPv4とv6どちらでも接続可能で同一ネットワークにいる状態を前提に、次のような方法でリモート作業でのフィルター作成時の接続状態を維持します。実際に自身の接続環境に応じた設定にしておかないと接続が失われ、再接続できなくなりますので注意してください。

1. フィルター無しの状態でIPv4から接続します。

2. IPv6のフィルターの設定をしリンクローカルアドレス(ローカルネットワーク)からのSSH(TCP:22)を許可設定を入れます。

   (同一ネットワークにいない時は、グローバルなIPv6アドレスで例外設定を入れて下さい)

3. 以降はSSHをIPv6で利用し、IPv4の設定をします。

   リンクローカルアドレスを使うので接続時にはスコープIDも必要になります。

   補足: IPv6におけるスコープID(ゾーンID)

   IPv6のリンクローカルアドレスを使う場合、スコープID(ゾーンID)の概念が必要になります。

   リンクローカルアドレスはfe80::/10プレフィックスのついたローカルエリアのみ有効なアドレスですが、複数のNICがあるPCから特定のアドレスに向けた通信を行おうとした場合どちらのNICから送信すればいいかそのままでは判断できません。

   NIC-Aに付与されているプレフィックスも、NIC-Bに付与されているプレフィックスも同じなので、宛先アドレスから送信元のNICを特定できない為です。

   LinuxではPingの -I オプションで送信元のNICを指定できますが、Windowsではその機能がありません。

   その際に用いられるのが、スコープIDです。送信元のNICを指定するもので、Windowsでは ipconfig を実行すると出てきます。

   cmd> ipconfig
   ...
   リンクローカル IPv6 アドレス. . . . .: fe80::29ee:b71e:4226:70a1%12
   ...
   

   この%12の部分がスコープIDです。ipconfigで表示させた時は自身のIPに対して付与されていますが、自身のNICを指定するためのものなので、宛先においても同じ値を使います。

   cmd> ping ＜宛先のIPv6アドレス＞%12

   LinuxにおけるスコープIDは、eth0 や ens32 などの値がそのまま使われるようです。

   # スコープIDを使う場合
   $ ping ＜宛先のIPv6アドレス＞%ens32
   
   # オプションで指定する場合
   $ ping -I ens32 ＜宛先のIPv6アドレス＞
   

   どのNICからデータを送信すればいいかわからなくなるのはリンクローカルアドレスに限ったことなので、このスコープIDが使われるのはリンクローカルアドレスを使った通信の時だけです。

IPv6側の設定を始めます。

まず、念のためすべての設定をクリアして、listになにも出力されないことを確認します。

# nft flush ruleset
# nft list ruleset 

nftables ではデフォルトのテーブルやチェーンが存在しないため、まずテーブルを作成しないといけません。

アドレスファミリに ip6(IPv6)を指定して次のようにテーブルを作成します。名前は [ ipv6table ]としました。

テーブルの作成では、createまたはaddを使えます。createは設定が既存の場合エラーとなるだけであとはaddと同じです。

アドレスファミリを省略すると IPv4(ip)となりますので注意してください。

間違えて作成してしまった場合は、delete コマンドで削除します。削除時もアドレスファミリ―の指定は必要で、こちらも省略するとIPv4(ip)になります。(以下多くのコマンドで同様です)

また nft -a list ruleset の結果などから割り当てられているハンドルが判明している場合は、ハンドルを指定しての削除もできます。

どのようなテーブルを作成したかわからなくなってしまった場合は、ruleset を対象にリストを出力してもいいですが、テーブルのみの確認も可能です。

つぎにチェーンを作成します。書式は次の通りです。

{ create | add } chain [＜アドレスファミリ＞] ＜テーブル名＞ ＜チェーン名＞ [＜ベースチェーンのパラメータ＞]
(delete | list | flush) chain [＜アドレスファミリ＞] ＜テーブル名＞ ＜チェーン名＞
list chains [＜アドレスファミリ＞]
delete chain [＜アドレスファミリ＞] ＜テーブル名＞ handle ＜ハンドル＞
rename chain [＜アドレスファミリ＞] ＜テーブル名＞ ＜現チェーン名＞ ＜新チェーン名＞

チェーンには、input や output といったnetfilterから直接呼び出される「ベースチェーン」と、事前に定義しておきベースチェーンから呼び出して使う「レギュラーチェーン」があります。

ベースチェーンには次のパラメータを付与します。※印のついたものは必須です。

• type ※

  チェーンのタイプです、先に紹介したように、filter、nat、route がありますが、ここでは filter にします。

• フック ※

  フックに input、output、forward を指定した3種のチェーンを作ることで、iptablesの初期状態と同じになります。

• デバイス

  任意の項目で、デバイスの条件を指定することができます。指定のない時はすべてが対象となります。

• プライオリティ ※

  同じフックが指定されたチェーンが複数あった場合の優先順位を指定します。値の小さなものが優先度が高いですが、filter(ファイアウォールとして)で同じフックを持った複数のチェーンを持つことはバックアップ的なものを除けばないと思います。

• ポリシー

  iptablesの際と同様です。チェーン内で処遇が決まらなかった場合の挙動で accept か dropを指定します。指定しない場合は acceptとなります。

間違えやすいのは、{} で囲んだ中の type と hook の後には;を付けないのに対して、priority と policyの後には必要だという点です。

また、通常のシェル上では;がコマンドの終わりと認識されてしまうので、エスケープする必要もあります。

nft -i で nftシェルを起動させると、先頭の nftや;のエスケープが不要なので、少し楽になります。

# nft add chain ip6 ipv6table input_chain { type filter hook input priority 1 \; policy drop \; }
# nft add chain ip6 ipv6table output_chain { type filter hook output priority 1 \; policy drop \; }
# nft add chain ip6 ipv6table forward_chain { type filter hook forward priority 1 \; policy drop \; }

table 同様に チェ―ンにも delete が用意されています。これは中にルールがある時は削除できません。中のルールをすべて削除するには flushを使います。

こうして設定したものを出力すると次のように表示されました。

chain output_chain {
  type filter hook output priority filter + 1; policy drop;
}

この filterは standard priority names と言って、ファミリとフック毎に設定されている定数のようなものです。ここでの filter の値は0なので 1=fileter+1という表記になっているようです。

fileterの他、mangle(-150)やsecurity(50)といったものがあります。

先の例ではプライオリティに1を設定しましたが、通常は0でいいようです。またマイナスの値も設定可能です。

ルールの追加の詳細は後述しますが、設定入力時にリモート接続が切れないようにIPv6接続許可を指定します。

この設定はすべての設定を終えたらこの項目は削除する前提です。

#nft add rule ip6 ipv6table input_chain ip6 saddr fe80::/32 tcp dport 22 accept
#nft add rule ip6 ipv6table output_chain ip6 daddr fe80::/32 accept

IPv4

次にIPv4の設定をしていきます。接続が失われないように、IPv6からの接続に切り替えます。

さくらのナレッジにある、iptablesで設定してある次のようなVPS用のファイアウォールの設定を、nftablesに置き換えてみたいと思います。

同様にIPv4用のテーブルとチェーンを作成します。IPv4の場合は output の policyは acceptにしておきます。

# nft create table ip ipv4table
# nft add chain ip ipv4table input_chain { type filter hook input priority 0 \; policy drop \; }
# nft add chain ip ipv4table output_chain { type filter hook output priority 0 \; policy accept \; }
# nft add chain ip ipv4table forward_chain { type filter hook forward priority 0 \; policy drop \; }

ルールの設定

テーブルとチェーンを作成したら、チェーンにルールを追加していきます。

{ add | insert } rule [＜アドレスファミリ＞] ＜テーブル名＞ ＜チェーン名＞ [handle ＜ハンドル＞ | index ＜インデックス＞] ＜ステートメント＞ [comment ＜コメント＞]
replace rule [＜アドレスファミリ＞] ＜テーブル名＞ ＜チェーン名＞ handle ＜ハンドル＞ ＜ステートメント＞ [comment ＜コメント＞]
delete rule [＜アドレスファミリ＞] ＜テーブル名＞ ＜チェーン名＞ handle ＜ハンドル＞

add は既存のルールの最後に追加、isnert は最初に追加します。

ステートメントの部分に、ルールを指定していきます。

先に提示した iptables のコマンドを1行ずつコンバートしていきます。

共通するコマンド部分を変数 $cmdに格納します。

• (2)

  ローカルホストからの接続を許可します。入りインターフェースを指定する場合には 「 iifname(Input InterFace NAME) 」を使います。

  Debian(Linux)ではローカルホストのインターフェースに lo という名前がついているのでこれを基準に許可ルールを作成します。

  # $cmd iifname "lo" accept
• (3)

  有効なTCPフラグがセットされていない場合は破棄します。

  # $cmd tcp flags ! fin,syn,rst,psh,ack,urg drop

  tcp flagsで TCPヘッダ内のフラグフィールドを検査する指示です。! は否定を示し、そのあとのfin,syn,rst,psh,ack,urgはTCPフラグの全種を列挙しています。

  全体で、ヘッダにフラグがついていない不正なパケットは drop ということになります。

• (4)

  新規セッションなのに、synフラグがついていない不正なパケットを drop します。

  # $cmd tcp flags != syn / fin,syn,rst,ack ct state new drop
• (5)

  すべてのフラグが立っている不正なパケットを drop します。

  # $cmd tcp flags fin,syn,rst,psh,ack,urg / fin,syn,rst,psh,ack,urg drop
• (6)

  ping応答の時間単位の上限設定

  # $cmd icmp type echo-request meter t_icmp { ip saddr timeout 120s limit rate 1/minute burst 10 packets } accept
• (7)

  確立済みの通信は許可

  # $cmd ip protocol tcp ct state related,established accept
• (8)

  DNS問い合わせの戻りパケットの受け入れ

  # $cmd udp sport 53 accept

  参考ページにあった設定をそのまま変換するとこ先の通りですが、UDPの53番ポートからくる通信をすべて accept とするのは若干問題のある設定だと思います。次のようにして利用するDSNサーバーのアドレスを登録しておくのがベターだと思います。この時プライマリとセカンダリがある場合は{}で囲んで,で区切って指定します。

  # $cmd ip saddr ＜DNSサーバーのアドレス＞ udp sport 53 accept
• (9)

  SSH接続の試行階層上限の設定

  # $cmd ip ct state new tcp dport 22 tcp flags syn / fin,syn,rst,ack meter t_sshd { ip saddr timeout 120s limit rate 1/minute burst 10 packets } accept
• (10)

  その他の設定です。サンプルとして、Webサーバー用のポート(80,443)を設定します。

  # $cmd tcp dport 80 accept
  # $cmd tcp dport 443 accept
  

変換ツール

iptables-restore-translate -f ＜iptables-saveで出力されるデータ＞ とすることで、iptablesの設定をnftablesの設定に一括変換することができます。

これをファイルに保存して、nft -f ＜出力ファイル＞　として　nftable　に反映させます。

IPv6ではコマンドが ipv6tables-restore-translate となります。

# iptables-save -f iptables-output
# iptables-restore-transrate -f iptables-output>conv-nftabes
# nft -f conv-nftables

先にも書いたように、nftables は iptables を互換させて稼働していた実績もあり、多くの場合で有効な値を出力すると思います。

また、一括で変更するのが不安な場合は iptables-tranlate のあとに iptablesのコマンドを入力する事で、nft コマンドに変換した値を表示してくれます。

# iptables-translate -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
nft 'add rule ip filter INPUT tcp flags 0x0 / fin,syn,rst,psh,ack,urg drop'

ただ、これらの変換では、テーブル名が 「 filter 」、チェーン名が iptablesにおけるチェーン名(INPUT,OUTPUT,FORWARD)となりますので、必要に応じて変換する必要があります。

設定の永続化

nftables も iptables がそうであったようにに電源を遮断するとすべての設定が消えてしまいます。iptablesでは iptables-persistent を用いましたが、nftables では専用のサービスが用意されています。

systemctl enable nftables とすることで、サービスが有効になり、起動時に /etc/nftables.conf 内のルールセットが適用されますので、サービスを有効にしてルールセットを作成して、/etc/nftablees.conf に設定しておきます。

# systemctl enable nftables
# nft list ruleset >nft-ruleset.txt
# cp nft-ruleset.txt /etc/nftables.conf
# systemctl reboot