Thirdware Inc. | IPポートフォワーディング

IPポートフォワーディング

「Window NTのIISをインターネットに露出するのは恐いので、内部ネットワークに置きたい。でも外部に公開したい。何かいい方法はないか」という問い合わせを受けました。

IPマスカレードを使ったファイアウォールでは、ほとんど自由に内部ネットワークから外部ネットワークへのセッションが張れますが、逆は原理的に不可能です(アドレスやポートを限定して逆向きのIPマスカレードを設定する方法があるという指摘が、linux-security-jpメーリングリストでありました。本来の送信元アドレスがわからなくてもいい場合は、これでも実現できます)。たとえば外向けメールサーバから内部用メールサーバへのメールの転送は、IPマスカレードだけだと不可能になってしまいます。

delegateや他のプロキシを使えばいいのはわかっていましたが、ファイアウォールを極力シンプルにしたかったのです。別の方法を調べたところ、IPマスカレードの拡張機能としてIPポートフォワーディング(ipportfw)が見つかりました。

ipportfwはバージョン2.0.29以降のカーネルに対するパッチとして提供されています。2.1.xではload balancing機能まで実現されています。また、ipportfwという名前のコマンドのソースも配布されています。

組み込みは非常に簡単です。カーネルにパッチを当ててリコンパイルし、ipportfw.cをコンパイルするだけです。

設定にはippoftfwコマンドを使います。たとえば、210.123.45.67というアドレスのホストへのtelnet(ポート番号は23)アクセスを内部ネットワークの192.168.0.100というホストにフォワードするには、

ipportfw -A -t 192.168.0.100/23 -R 210.123.45.67/23

と指定するだけです。telnetポートが23番だと容易に類推してアタックされるのが心配です。そういう場合には、

ipportfw -A -t 192.168.0.100/9023 -R 210.123.45.67/23

などと設定し、ポート番号を隠すこともできます。

設定内容を確認するコマンドは

ipportfw -L

です。

実際に使ってみました。昨年年末頃にリリースされた機能ですが、十分に安定しているようです。1つのネットワークカードに複数のIPアドレスを割り当てるIPエイリアスとの組み合わせも問題ありません。

私は、カーネルレベルでパケットを処理することは非常に価値が高いと考えています。アプリケーションレベルのプロキシと比べて機能上の制限は生じますが、処理のオーバヘッドを小さくでき、設定や管理も簡単になります。メモリなどの必要資源も減らせるので、コストも抑えられます。まずカーネルレベルの機能で足りるか調べ、不可能な場合にはアプリケーションレベルでの処理を考える。こういう手順がいいんじゃないでしょうか。

【Linux Japan Vol.8 掲載記事を加筆修正】

前へ戻る次へ