soramineの日記： 素人ipfw

　jman ipfw　やハンドブックやら FAQ がボクにとって非常に不満のある解説（つまりは役に立たなかった）だったですから、面倒なので OPEN のままでいいかなとも思ったですが、せっかく興味をもった半年ぶりの機会なので、少し考えてみたいと思うです。

　今はこうなっているです。
# ipfw -a list
00100 4 264 allow ip from any to any via lo0
00200 0 0 deny ip from any to 127.0.0.0/8
00300 0 0 deny ip from 127.0.0.0/8 to any
65000 82929 25568330 allow ip from any to any
65535 0 0 deny ip from any to any

　方針を考えてみたです。
・IPは内側と外側としか考えない（IP単位で制御しない）
・考えるのはポートだけ
・まず開けない
・いくつかは開ける（telnetとかhttpとか）
・よくわからないのは無視
・内→外のみとか外→内とか一方向だけ開けるとか考えない（開けるのも閉じるのも双方向）
・あとは必要になったら追加で開ける

　ファイルを作るみたいなお話でしたので、それで追加していけばいいのかな。こんなように考えてみました。

# おまじない
/sbin/ipfw add 100 pass all from any to any via lo0
/sbin/ipfw add 200 deny all from any to 127.0.0.0/8
/sbin/ipfw add 300 deny ip from 127.0.0.0/8 to any
# 許可する（適当に必要そうなのだけ選別する）（とりあえず）
/sbin/ipfw add 1000 pass tcp from any to any 1-1024
/sbin/ipfw add 1010 pass tcp from any 1-1024 to any
/sbin/ipfw add 1100 pass udp from any to any 1-1024
/sbin/ipfw add 1110 pass udp from any 1-1024 to any
# 許可する（追加分）
/sbin/ipfw add 2000 pass tcp from any to any 6660-6669
/sbin/ipfw add 2010 pass tcp from any 6660-6669 to any
/sbin/ipfw add 2100 pass tcp from any to any 7000-7009
/sbin/ipfw add 2110 pass tcp from any 7000-7009 to any
# 残りは許可しない
/sbin/ipfw add 10000 deny tcp from any to any 1-65535
/sbin/ipfw add 10010 deny tcp from any 1-65535 to any
/sbin/ipfw add 10100 deny udp from any to any 1-65535
/sbin/ipfw add 10110 deny udp from any 1-65535 to any
# おしまい
/sbin/ipfw add 65500 deny ip from any to any

　こんな感じで実験できたらやってみるです。さてどうなるかな・・・。

（参考にしたところ）
SampleRuleset.txt
ipfw.html
ipfw4.html
rc.firewall
firewall1.html

ふぁいとっ！

[gam (10300)]

うむ、なんかまずいような感じ。

参考になるかしら、

ここ [tsukuba.ac.jp]

＃よく勉強して、頑張ってね。