iptablesとipsetによるLinuxサーバーの基本的なファイアウォール設定

Linux でまともに公開サーバー運用していくなら避けて通れないのがファイアーウィールです。マネージドサービスとして WAF を導入している環境ならともかく、小規模なシングルインスタンスを直接公開しているような場合には、攻撃対策は自分で考える必要があります。

そこで役立つ、というか、もはや自分にとっては必須のツールと言っていいのが iptables です。以下のiptablesの使い方をざっくり整理しておきます。

iptables とは？

iptables は、Linux カーネルに組み込まれている netfilter 機能を操作するためのコマンドラインツールです。

ネットワークパケットに対して、

といった処理ルールを定義できます。

例えば：

といった制御を OS レベルで実施できます。

iptables 単体でも IP アドレスによるフィルタリングは可能ですが、大量の IP を扱う用途にはあまり向いていません。

例えば、1万件の IP をブロックしたい場合、iptables のルールとして個別に定義すると：

といった問題が発生します。

ipset は、IP アドレスやネットワークの 集合（set） を管理するための仕組みであり、ハッシュテーブル等を用いた高速な検索により、大量の IP アドレスを効率的に扱うことができます。

iptables は通信を許可／拒否する「ルールエンジン」、 ipset はそのルールが参照する「IP アドレスのリスト管理機構」として機能します。

iptables 側では、以下のように ipset を参照するルールを1行定義します：

iptables -A INPUT -m set --match-set blacklist src -j DROP

これにより、

「blacklist セットに含まれる送信元 IP からの通信はすべて DROP する」

というルールを定義できます。

以後、iptables のルールを変更することなく、

ipset add blacklist 203.0.113.10

のように ipset 側へ IP を追加するだけで、遮断対象を動的に更新できます。

fail2ban 等と組み合わせて、攻撃元 IP を自動的にセットへ追加する構成も一般的です。

iptables [-t table] command chain [match] [target]

ipset create blacklist hash:ip

ipset destroy blacklist

ipset add blacklist 203.0.113.1

ipset del blacklist 203.0.113.1

ipset list

ipset list blacklist