━━━━━━━━━━━━━━━━━━━━━━
# ufw status verbose
Status: active
Logging: on (low)
Default: deny (incoming), allow (outgoing)
New profiles: skip
To Action From
-- ------ ----
Anywhere ALLOW IN <サーバ2>
━━━━━━━━━━━━━━━━━━━━━━
サーバ1～3という3つのUbuntu10.04サーバがあります。
<サーバ1>に以上のような設定をしました。これにより<サーバ2>以外の接続はすべて拒否されるという認識でいます。しかし<サーバ3>から"ping <サーバ1>" すると結果が返ってきます。なぜでしょうか？
なお、<サーバ3>からnmapすると "All 1000 scanned ports on <サーバ1> are filtered" と表示されます。
No.2
113
10
35pt
http://www.jp.freebsd.org/cgi/mroff.cgi?subdir=man&lc=1&cmd=&man...
上記ページに『TCP/IP が正常に動作するためには、たとえばMTU ディスカバリの実装のように、いくつかの ICMP エラーを必要とします。同様に、多くのデーモンは、コネクションを要求するユーザを認証するために、auth サービスに逆向きのコネクションを張ります。auth は危険ですが、正しい対応はただパケットを廃棄するのでなく、TCP reset を返すようにすることです。』と書かれています。
前の回答で幾つかのタイプのICMPを個別にDROPしていたのもそのためでしょう。
http://www.forest.tama.tokyo.jp/tech/security/nmap_manpage.html
nmapはrootで実行する場合と一般利用者として実行する場合で使える機能に違いがあります。
nmapでもpingなど調べる事もできますので、ICMP含めて調べたい場合にはpingを含めて調べれるようなオプションを加えて使いましょう。
No.1
26251149
45pt
コメント欄での確認程度のものなんですが、TCP/UDPのポートだけ閉じて
ICMP（pingはこちらを使う）をDROPではなくREJECTしてしまっているのではないですか？
before.rulesの確認を
-A ufw-before-input -p icmp --icmp-type destination-unreachable -j DROP -A ufw-before-input -p icmp --icmp-type source-quench -j DROP -A ufw-before-input -p icmp --icmp-type time-exceeded -j DROP -A ufw-before-input -p icmp --icmp-type parameter-problem -j DROP -A ufw-before-input -p icmp --icmp-type echo-request -j DROP
ありがとうございます。この回答で解決です。
このような設定があるとは知りませんでした。ICMPの場合は別の設定が必要なんですね。
ufw についてはそれなりにググっていたのですが、/etc/ufw 配下のファイルを参照しているという日本語情報は少ないように感じます。
回答数が残り4件残っていますので、もしよろしければ役にたつリンクを貼っていただけるととても助かります。
No.2
11310
ここでベストアンサー
35pt
http://www.jp.freebsd.org/cgi/mroff.cgi?subdir=man&lc=1&cmd=&man...
上記ページに『TCP/IP が正常に動作するためには、たとえばMTU ディスカバリの実装のように、いくつかの ICMP エラーを必要とします。同様に、多くのデーモンは、コネクションを要求するユーザを認証するために、auth サービスに逆向きのコネクションを張ります。auth は危険ですが、正しい対応はただパケットを廃棄するのでなく、TCP reset を返すようにすることです。』と書かれています。
前の回答で幾つかのタイプのICMPを個別にDROPしていたのもそのためでしょう。
http://www.forest.tama.tokyo.jp/tech/security/nmap_manpage.html
nmapはrootで実行する場合と一般利用者として実行する場合で使える機能に違いがあります。
nmapでもpingなど調べる事もできますので、ICMP含めて調べたい場合にはpingを含めて調べれるようなオプションを加えて使いましょう。
とても勉強になりました！ありがとうございます。
9
7
1
1
1
とても勉強になりました！ありがとうございます。