[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]

[plamo:12730] 自宅のPlamo-2.2.1 kernel→2.4.17計画 その3(完結編RC)

日下部@東京都練馬区%出社中 です。

＃Subject: は変更しますが、
＃References:, In-Reply-To: は残しておきます。

どはまりした NIC の件ですが、
/usr/src/linux/Documantaion/networking/de4x5.txt
を読めばなるほどという感じでした。tulip.txt はなくなってましたね。
tulip は net-modules.txt にちょろっとだけ書いてありましたけど…。

あと、NICのモジュールなんですが、

> まず、/etc/modules.conf に
> alias eth0 de4x5
> alias eth1 tulip
> と書いてみました。
(その後、depmod -ae -F /System.map 2.4.17 を実行すること)

として、/etc/rc.d/rc.modules をインストール状態に戻しました。
これでも /etc/rc.d/rc.inet1 にて ifconfig eth0 up さえしておけば大丈夫
でした。

> その後、普通の rp-pppoe に成功したので、PPPoE カーネルモードに挑戦しま
> して、見事今、ps auxww すると
> /usr/sbin/pppd plugin /etc/ppp/plugins/rp-pppoe.so eth0 noipdefault noauth\
>  default-asyncmap defaultroute hide-password nodetach mtu 1492 mru 1492\
>  noaccomp noccp nobsdcomp nodeflate nopcomp novj novjccomp user hoge@hoge.net\
>  lcp-echo-interval 20 lcp-echo-failure 3
> のように見えて成功しています。

ここで 例の MSS/MTU によるブラックホールルーター問題 に気づきました。
ということで modprobe ipchains.o の対応ではだめな模様です。
rp-pppoe-3.3 の /etc/ppp/pppoe.conf には clamp MSS 1414 って書いたんで
すけどねぇ〜 効いてないのかなぁ? (カーネルモードだから?)
だとすると ip_tcpmss.o がないとだめなのかも知れない…じゃあやっぱり、
とっととiptables にするか、と思い、/etc/rc.d/firewall-iptables を書い
てみました。

平元さんのページ: http://www.flatray.com/~hiramoto/linux/adsl/
はとても参考になります。
もちろん、Linux 2.4 Packet Filtering HOWTO, NAT HOWTO も必読ですが、こ
のページを主に見た方がいいかもしれません。

この script を rc.local の adsl-start の直前にいれておけば、完成です。

#! /bin/sh

PATH=/usr/local/sbin:/sbin:/usr/sbin:/bin:/usr/bin
#E=echo

###############################################################################

Accept () {
srcs=$1
type=$2
protocols=$3

for src in `echo $srcs | sed 's/,/ /g'`
do
for port in `echo $protocols | sed 's/,/ /g'`
do
    if [ x"$src" = x"0.0.0.0" ]
    then
	$E iptables -A INPUT -p $type --destination-port $port -j ACCEPT
    else
	$E iptables -A INPUT -s $src -p $type --destination-port $port -j ACCEPT
    fi
done
done
}

###############################################################################

### $E modprobe -r ipchains

$E iptables -X
$E iptables -F

for i in `yes y | head -20`
do
    iptables -D block 1
    iptables -D INPUT 1
    iptables -D OUTPUT 1
    iptables -D FORWARD 1
    iptables -t nat -D POSTROUTING 1
    iptables -t nat -D PREROUTING 1
done > /dev/null 2>&1

## コネクション追跡モジュールの挿入(カーネル直組み込みの場合は不要)
$E modprobe ip_conntrack
$E modprobe ip_conntrack_ftp
$E modprobe ip_conntrack_irc

# USERSPACE QUEUEING via NETLINK
$E modprobe ip_queue

# Load the NAT module (this pulls in all the others).
$E modprobe iptable_nat

## 内部からのもの以外の新しいコネクションをブロックするチェインの作成
$E iptables -N block
$E iptables -A block -m state --state ESTABLISHED,RELATED -j ACCEPT
$E iptables -A block -m state --state NEW -i ! ppp0 -j ACCEPT
# あんまり嬉しくないものはログに残す
$E iptables -A block -p tcp -j LOG --log-level info --log-prefix 'iptables: '
$E iptables -A block -p udp -j LOG --log-level info --log-prefix 'iptables: '
#$E iptables -A block -p icmp -j LOG --log-level info --log-prefix 'iptables: '
# 捨てる
$E iptables -A block -j DROP

# In the NAT table (-t nat), Append a rule (-A) after routing
# (POSTROUTING) for all packets going out ppp0 (-o ppp0) which says to
# MASQUERADE the connection (-j MASQUERADE).
$E iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

# Workaround: 例のブラックホール問題の対策(ip_tcpmss.oが必要)
$E iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu 

## どこからでも接続を受け付ける (外部向けサービスなど)
#  ftp-data,ftp,ssh,smtp,domain,www,auth(ident),ntp
Accept 0.0.0.0 tcp 20,21,22,25,53,80,113
Accept 0.0.0.0 udp 20,21,22,53,80,123
$E iptables -A INPUT -p icmp -j ACCEPT

## 特定の所からのみ接続を受け付ける
# NNTP feed, telnet
Accept aaa.bbb.ccc.ddd tcp 119
Accept zzz.yyy.xxx.www tcp 23

## 6001:65535 は開けておく(7000は閉じる)
Accept 0.0.0.0 tcp 6001:6999,7001:65535
Accept 0.0.0.0 udp 6001:6999,7001:65535

## Send incoming port-80 web traffic to our squid (transparent) proxy
#$E iptables -t nat -A PREROUTING -i eth1 -p tcp --destination-port 80 -j REDIRECT --to-port 8080

## IRC dcc send
#$E iptables -t nat -A PREROUTING -i ppp0 -p tcp --destination-port 6666 -j DNAT --to-destination 172.21.65.1:6666
#$E iptables -A FORWARD -p tcp --destination 172.21.65.1 --destination-port 6666 -j ACCEPT

## INPUT および FORWARD チェインから上記のチェインへジャンプする
$E iptables -A INPUT -j block
$E iptables -A FORWARD -j block

if [ ! $E ] ; then 
  echo 1 > /proc/sys/net/ipv4/ip_forward
  echo 1 > /proc/sys/net/ipv4/conf/ppp0/rp_filter
else
  $E 'echo 1 > /proc/sys/net/ipv4/ip_forward'
  $E 'echo 1 > /proc/sys/net/ipv4/conf/ppp0/rp_filter'
fi

### EOF

以上で完璧に移行できました(2.2.20でやっていたことは全てできるようにな
りました)。

独演会みたいになってしまいましたが、もしカーネルを上げる方がいらっしゃっ
たら、御参考になさって下さい。

では。
---
//                   東京都練馬区   ぶるぼん企画                   //
//                 日下部 俊昭 <kusakabe@reccoa.net>               //
Follow-Ups
[plamo:12732] Re: 自宅のPlamo-2.2.1kernel →2.4.17計画 その3(完結編RC), KOJIMA Mitsuhiro
References
[plamo:12695] 自宅のPlamo-2.2.1 kernel→2.4.17計画 その1, KUSAKABE -bourbon!- Toshiaki
[plamo:12708] 自宅のPlamo-2.2.1 kernel→2.4.17計画 その2, KUSAKABE -bourbon!- Toshiaki
[検索ページ] [メール一覧]
Plamo ML 公開システム