Software, Support, Documentation
|
|
News,
Internal,
Projects,
Home Software, Support, Documentation |
On Wed, Oct 09, 2002 at 11:02:49AM -0700, sammycom wrote: >> ipfw , 외부에서 들어오는 핑 막기 >> >> 외부에서 자꾸 ping 이 들어와서 그런건지 콘솔애 Limiging icmp unreach from 204 to 200 packet per second 이런 메세지가 들어와서 >> ipfw 이용해서 방화벽설치하고 있습니다. >> 커널에다 >> options IPFIREWALL >> options IPDIVERT >> options IPFIREWALL_DEFAULT_TO_ACCEPT >> options IPFIREWALL_VERBOSE >> options IPFIREWALL_FORWARD >> 이렇게 추가하고 재컴파일한뒤 리부팅했습니다 >> >> 그냥 외부에서 ping만 못하게하기위해 /etc/rc.conf에 따로 설정은 안하고 >> /etc/rc.local 에다가 >> ipfw add deny icmp from any to 66.218.xxx.133/32 >> ipfw add allow icmp from 66.218.xxx.133/32 to any >> 이렇게 했습니다. >> (66.218.xxx.133/32 는 ip 하나만 받아서 쓰기 때문입니다) >> >> 근데 이렇게하니까 외부에서 저한테 하는 ping 은 완전 차단되는데 제가 밖으로 ping하는것 까지 차단이 되네요 >> 외부에서 내부로 핑하는것만 막고 내부에서 외부로 핑하는거는 열어놓고 싶습ㅈ니다. >> 혹시 순서가 틀려서인가 해서 ipfw flush 쳐서 리스트 지우고 순서를 반대로도 해보고 그냥 66.218.xxx.133 이렇게도 해봐도 마찬가지에요 >> >> 혹시 원래 외부에서 들어오느 핑 막으면 외부로 나가는 핑도 무조건 같이 막히게 되는건가요? >> >> 방법아시면 좀 갈쳐주세요 >> 먼저 ping을 막기위해서는 icmptypes 0, 8를 지정해야 합니다. (ping을 막기위해서 모든 icmp를 막을 필요는 없습니다.) 그리고 문의한 외부에서 내부로의 ping은 차단하고, 내부에서 외부로의 ping은 허용하기 위해서는 방화벽이 Stateful Inspection을 지원해야 합니다. FreeBSD의 ipfw의 keep-state에 해당합니다. 그러나 ipfw의 keep-state는 timeout설정등을 일일이 지정해야만 제대로 사용할 수 있습니다. (keep-state의 default timeout이 너무 작아서 접속 후 아무 입력이 없으면 접속이 끊겨버립니다. 최소한 TCP KEEPALIVE값정도로는 설정되어야만 쓸 수 있습니다. 이 모든 설정을 제대로 하고 쓰기에는 시간이 노력이 필요합니다.) 가장 간단한 방법은 FreeBSD에 있는 또 다른 방화벽인 ipfilter를 사용하는 겁니다. ipfilter는 거의 완벽한 Stateful Inspection을 지원하고 NAT도 커널에서 수행하기 때문에 더 효율적입니다. -- ============================================================ // Korea Telecom Internet Solutions, Inc. // FreeBSD/Linux Professional Consulting/Tech. Support // // Pyun YongHyeon // // WWW: http://www.kt-is.co.kr/ // FTP: ftp://ftp.kt-is.co.kr/ // // TEL: +82-2-364-0400 // FAX: +82-2-364-9119 ============================================================ -- Please look and take part in KFUG FAQ: <http://www.kr.freebsd.org/FAQ-kr/> To Unsubscribe: send mail to majordomo@kr.FreeBSD.org with "unsubscribe questions" in the BODY of the message
|
Copyright © 1998-2005 Korea FreeBSD Users Group. All rights reserved. webmaster at kr.FreeBSD.org $Date: 2002/10/31 23:00:24 $ |
|