最 小コストで最 大 限 の 不 正 行 為 対 策

ネットワークの構成を決める
これから構築するサイトのネットワーク構成を図1のように想定します。
想定するネットワーク構成内では、前回PCにNICを2枚インストールしてテストしたときのIPアドレスは使用しません。PCルーター用に再度新たなIPアドレスを振りなおします。
これ以降は境界ネットワークを境界ネットとし、内部ネットワークを内部ネットとします。

ネットワークの方針を決める
まず全体を簡略化するために、次のように

実践

Linux

セキュリティー講座

方針を決めます。

●サイト内にあるすべてのネットワーク機
材のIPアドレスはスタティックアドレスとします。
スタティックアドレスとは、コンピュータに割り当てたIPアドレスを固定的に使用する方法です。一方、コンピュータのIPアドレスを事前に決めずに、コンピュータをネットワークに

図1 サイトのネットワーク構成

ネットワークアドレス

前回はLinux をインストールした古いPC をルーターとして使うために 、NIC

192.168.0.0（ Network InterfaceCard ）を2枚インストールして動くところまで確認しました。また、2枚のNIC間でIPパケットが 流れるように、IPフォワードの設定も192.168.0.1

行いました。今回はこのPCを境界ネットワークと内部ネットワークを区切るためのルーターとして動 作させるまでの作業を行います。

第4回

ルーター（専用機）
プロバイダー

境界ネット

Linuxマシンをルーターにする その2
ソフトウェアコンサルタント すずきひろのぶ
ブロードキャストアドレス
192.168.0.255

354 INTERNET magazine 1999/5

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

/etc/hostsを作る接続したときに自動でIPアドレスを割り当てスを割り当てます。プライベートアドレスとは、る方法もあります。これには一般にDHCP私的なサイト内で自由に使っていいIPアドレ（Dynamic Host Configuration Protocol）スです。グローバルアドレスはインターネット/etc/hostsはIPアドレスとコンピュータ名という技術を使います。DHCPサーバーを用上で唯一のものですが、プライベートアドレスの組み合わせを記述したファイルです。Linux

意しておけば、クライアントをネットワークには同じものが世界中にいくつあってもかまいはネットワーク上にどのようなマシンがあるか接続したときに、DHCPサーバーが自動的にません（ただし、プライベートアドレスの情報を探すときに、このファイルの内容を参照し適切なIPアドレスを割り当てます。市販されはインターネット上に流すことはできません）。

ます。ているダイアルアップルーターの多くはDHCPのサーバー機能を持っていますので、たくさグローバルアドレスをどう扱うかの方策は、まず、今回のネットワークを想定したリス今後の連載中で説明します。

ト1のような/etc/hosts用のファイルを作り、んのユーザーがすでにこの機能を利用していサーバー、PCルーター、クライアントの各々●サーバー、クライアント、PCルーターはると思います。
今回の説明では、ネットワークの構造やマのマシンにコピーします。

Linux RedHat 5.2を使います。

ネットワークに詳 しい方 ですと D N S

シンの関係を明確にしてわかりやすくするためこれはいろいろなOSや複数のLinuxパッケ（Domain Name System）を使う方法が思いに、スタティックアドレスを使うことにします。

ージを混在させると話が混乱してしまうから浮かぶでしょうが、これは今後の連載中に取です。本誌1999年1月号付録CD-ROMに入り上げることにします。今回は、単純で確実●プロバイダー側（インターネット側）とサっているRedhat 5.2を想定しています。なお、

な/etc/hostsを使ってネットワークのIPアド

3月19日にレーザー5より日本語版Redhatレスとコンピュータ名の対応付けをします。

専用線接続のときは、プロバイダーからサLinux 5.2が発売されました。日本語環境がコンピュータ名には別名を複数付けること

イト内のコンピュータに対してグローバルアド使いたい場合にはこの製品を購入するか、無レスというインターネット上で唯一のIPアド

償で提供しているものをレーザー5のWWWサレスがいくつか与えられます。これも話をわ

イトからダウンロードしてください。

かりやすくするために、説明中では境界ネッ

レーザー5j
http://www.cdrom.co.jp/

イト側のアドレスは独立に考えます。

トと内部ネットに対してプライベートアドレもできます（リスト2 ）。

ネットワークの設定をしよう
次に各コンピュータ（PCルーター、クライ

リスト1 /etc/hosts#アドレスサイト

内部
ネット

サーバー
192.168.0.10

マシン名

192.168.0.1

rt1

インターネット接続ルーター

192.168.1.8

client1

クライアント192.168.0.10

server1

サーバー

192.168.0.14

opcrt

内部PCルーター（境界ネット側のNIC）

192.168.1.1

ipcrt

内部PCルーター（内部ネット側のNIC）

リスト2 /etc/hosts（複数の名前を付けた場合の例）
ネットワークアドレス（省略）

192.168.1.0

192.168.0.10 server1 mail www ftp linux01
192.168.0.14

eth0

192.168.1.1

eth1
PCルーター

192.168.0.14 opcrt pcrt01 linux02
192.168.1.8

192.168.1.1 ipcrt pcrt02 linux03

クライアントブロードキャストアドレス
192.168.1.255

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

INTERNET magazine 1999/5355

アント、サーバー）のネットワークの設定をは境界ネット以外のネットワークに属するIP

情報が状況に応じて変化するダイナミックルしていきます。

アドレス宛てにIPパケットを送ろうとするとーティングもあります）。

き、相手がネットワーク上にないのでルータファイル/etc/sysconfig/static-routesをします。ディレクトリー/etc/sysconfig/ー（ゲートウェイ）にIPパケットを送ります

作成してリスト6の記述を行います。ファイnetwork-scriptsにあるifcfg-eth0とifcfg-（図4）。ルーターは受け取ったIPパケットをルstatic-routesはLinuxマシンの起動時に、eth1をリスト3、リスト4のように変更します。

目的のIPアドレス宛てに送ります（このときディレクトリー/etc/sysconfig/network-

また、/etc/sysconfig/networkの内容はリ相手がネットワーク上になければ、さらに別scriptsにあるスクリプトの1つであるifup-スト5のようになります。

まず、PCルーターのネットワークの設定をのルーターにIPパケットを送ります）。このよroutesに自動的に読み込まれて処理されまクライアントは図2のネットワーク構成に従うにIPパケットをほかのコンピュータに中継す。正しくルーティングが行われたかどうかってネットワークの設定をします。方法はPCさせて目的のIPアドレスへ送ることをルーテを確認するには/sbin/route -nを実行します。

ルーターの場合と同様に、3つのファイルを書ィングといいます。

サーバーのルーティングはリスト7のようになき換えます。

サーバーがクライアントへIPパケットを送るっているはずです。

サーバーはまず図3のネットワーク構成でネためには、PCルーターを経由させる必要があットワークの設定を行ってください。方法は、ります。そこでサーバーに内部ネット向けのこれもPCルーターと同様に3つのファイルをIPパケットはPCルーターを経由するように設書き換えます。

定します（図5）。このルーティングの設定はすでにPCルーターのIPフォワーディングをスタティックルーティングにします。スタティYESにしていますので、現在は、内部ネット

ックルーティングとは、最初に手動で決めらにあるクライアントと境界ネットにあるサーバれたルーティング情報に沿ってルーティングーとでやり取りできているはずです。確認のさせることです（これに対し、ルーティングためクライアントからサーバーへ、サーバーかルーティングの設定をしよう
以上の設定が終わった段階では、サーバーPCルーターの動作を確認する

リスト3 PCルーターのifcfg-eth0
DEVICE=eth0
IPADDR=192.168.0.14

IPアドレスNETMASK=255.255.255.0

ネットマスクNETWORK=192.168.0.0

ネットワークBROADCAST=192.168.0.255

ブロードキャスト

ONBOOT=yes

リスト4 PCルーターのifcfg-eth1

リスト5 /etc/sysconfig/network

DEVICE=eth1

NETWORKING=yes

IPADDR=192.168.1.1

FORWARD_IPV4=yes

NETMASK=255.255.255.0

HOSTNAME= ホスト名

NETWORK=192.168.1.0

DOMAINNAME= ドメイン名

BROADCAST=192.168.1.255

GATEWAY=192.168.0.1

ONBOOT=yes

GATEWAYDEV=eth0

図2 クライアントのネットワーク構成

前回同様にyesにしておきます

図3 サーバーのネットワーク構成

IPアドレス

192.168.1.8

IPアドレス

192.168.0.10

ネットマスク255.255.255.0

ネットマスク255.255.255.0

ネットワーク

192.168.1.0

ネットワーク

192.168.0.0

ブロードキャスト

192.168.1.255

ブロードキャスト

192.168.0.255

ゲートウェイ192.168.1.1

ゲートウェイ192.168.0.1

356 INTERNET magazine 1999/5

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D最 小コストで最 大 限 の 不 正 行 為 対 策

らクライアントへそれぞれpingを試してみてター上でフィルタリングを行うことの意味、

2 PCルーター上でipfadmを使ってすべてのください。

役割の詳細、効果、具体的な設定は次回行フォワードを禁止するいます。

フィルタリングの設 定をする

# /sbin/ipfwadm -F -p deny

初期状態ではipfwadmはインストールされていないので、自分の手でインストールする

3 クライアントのpingの出力が停止している

フィルタリングとは通信中の内容やアドレ必要があります。RedHatのCD-ROMには、ことを確認する

スなどによって、通信に制限を加えること全ipfwadmがrpm形式のパッケージとして用意

4 PCルーター上でipfadmを使ってフォワー般を意味します。IPでの通信では、ネットワされているので、インストールするのは簡単

ドを許可するーク上に流れるパケットという単位で通信しです。コマンドrpmを使って次のように行いますが、このパケットを制御するので、このます（CD-ROMを/cdromにマウントしていようなフィルタリングを「パケットフィルタリるものとします）。

# /sbin/ipfwadm -F -p accept

5 クライアントのpingの出力が再開しているング」と呼びます。この連載ではパケットを# cd /cdrom/RedHat/RPMSフィルタリングするのは明らかなので、特に# rpm -ivh ipfwadm-2.3.0-6.i386.rpm

明示がない限り、フィルタリングはパケットipfwadm

ことを確認する

次回はipfwadmを使用したフィルタリング

ipfadmのテストとしてPCルーターのフォフィルタリングを意味することとします。の設定を解説します。

ワードを禁止し、次にフォワードを再開してPCルーター上でフィルタリングを行うためみます。次の手順で行います。のインストールと設定を行いますが、誌面の都合上、今回はフィルタリングに必要なコマ
ンドipfwadmをインストールし、正しく動作

1 クライアントからサーバーにpingを実行さするかを確認するまでにとどめます。PCルー

せておく

図4 ルーティングのしくみ

リスト6 /etc/sysconfig/static-routes①IPアドレス「210.238.4.23」を持つコンピュータはネットワーク上にないので、ゲートウェイとなるルーターにIPパケットを送る

210.238.4.23

フォーマット:<device> net <network> netmask <netmask> gw <gateway>
実際の記述:

eth0 net 192.168.1.0 netmask 255.255.255.0 gw 192.168.0.14

ルーター

内部ネットへはIPパケット②つながっているネットワークに目的のコンピュータがなければ、ルーターも次のルーターにIPパケッ
トを送る

このルーターを通る

210.238.4.23

サーバー
192.168.0.10

図5 ルーティングのしくみ（スタティックルーティング）
ネットワークアドレス
192.168.0.0

192.168.0.1

IPアドレス「192.168.1.xxx」宛てにIPパケットを送る場合は、PCルーターを中継させ、それ以外のIPアドレスはルーターを中継させるようにルーティングを設定する

Kernel IP routing table

ネットワークアドレス
ルーター

リスト7 /sbin/route -nの表示結果

192.168.1.0

IPパケット210.238.4.23

サーバー

Destination Gateway

Genmask

192.168.0.0 0.0.0.0

255.255.255.0 U

Flags Metric Ref Use Iface
005

192.168.1.0 192.168.0.14 255.255.255.0 UG

002

eth0

127.0.0.0

0.0.0.0

255.0.0.0

U002

lo0.0.0.0

192.168.0.1

0.0.0.0

UG

103

eth0

eth0

192.168.0.10

IPパケット192.168.1.8

このネットワーク向けのIPアドレスは このゲートウェイ（ルーター）を通る

192.168.1.8

クライアント192.168.0.14

192.168.1.1

PCルーター

192.168.1.8

そのほかのネットワーク向けのIPアドレスは このゲートウェイ（ルーター）を通る

インターネットマガジン／株式会社インプレスR&D©1994-2007 Impress R&D

INTERNET magazine 1999/5357

［インターネットマガジン バックナンバーアーカイブ］ ご利用上の注意
この PDF ファイルは、株式会社インプレス R&D（株式会社インプレスから分割）が 1994 年～2006 年まで発行した月刊誌『インターネットマガジン』の誌面を PDF 化し、「インターネットマガジン バックナンバーアーカイブ」として以下のウェブサイト「All-in-One INTERNET magazine 2.0」で公開しているものです。

http://i.impressRD.jp/bn
このファイルをご利用いただくにあたり、下記の注意事項を必ずお読みください。
z 記載されている内容（技術解説、URL、団体・企業名、商品名、価格、プレゼント募集、アンケートなど）は発行当時のものです。
z 収録されている内容は著作権法上の保護を受けています。著作権はそれぞれの記事の著作者（執筆者、写真の撮影者、イラストの作成者、編集部など）が保持しています。
z 著作者から許諾が得られなかった著作物は収録されていない場合があります。
z このファイルやその内容を改変したり、商用を目的として再利用することはできません。あくまで個人や企業の非商用利用での閲覧、複製、送信に限られます。
z 収録されている内容を何らかの媒体に引用としてご利用する際は、出典として媒体名および月号、該当ページ番号、発行元（株式会社インプレス R&D）、コピーライトなどの情報をご明記ください。
z オリジナルの雑誌の発行時点では、株式会社インプレス R&D（当時は株式会社インプレス）と著作権者は内容が正確なものであるように最大限に努めましたが、すべての情報が完全に正確であることは保証できません。このファイルの内容に起因する直接的および間接的な損害に対して、一切の責任を負いません。お客様個人の責任においてご利用ください。

このファイルに関するお問い合わせ先
All-in-One INTERNET magazine 編集部
im-info@impress.co.jp
Copyright © 1994-2007 Impress R&D, an Impress Group company. All rights reserved.