iptables とは何か(netfilter によるパケットフィルタリング)

[hiramekun]

[claude]

Claude finished @hiramekun's task in 1m 23s —— View job

---

進捗

• 既存 issue の重複・関連確認(重複・関連候補なし)
• iptables の技術調査
• 回答コメントの作成
• タイトル編集
• ラベル付与(infra, security, type:concept)

---

概要

iptables は、Linux カーネルのパケットフィルタリング機構である netfilter をユーザー空間から設定するためのコマンドラインツールです。「どのパケットを許可・破棄・変換するか」というルールを テーブル(table) と チェーン(chain) という単位で管理します。パケットは種類(受信・転送・送信)に応じて決まった経路(チェーン)を通過し、各チェーンに登録されたルールが上から順に評価されます。

flowchart TD
    A["受信パケット"] --> B{"PREROUTING"}
    B --> C{"ルーティング判断"}
    C -->|"宛先がこのホスト"| D{"INPUT"}
    D --> E["ローカルプロセス"]
    C -->|"宛先が他ホスト(転送)"| F{"FORWARD"}
    F --> G{"POSTROUTING"}
    E -->|"応答/送信パケット"| H{"OUTPUT"}
    H --> G
    G --> I["送信パケット"]

Loading

何が嬉しいのか

OS レベルでネットワークトラフィックを制御できるため、以下のようなことが専用のハードウェアなしで実現できます。

• ファイアウォール: 不要なポートへのアクセスを DROP/REJECT し、攻撃対象領域を減らせる(例: SSH は特定の IP からのみ許可)
• NAT(アドレス変換): プライベート IP のホストをインターネットに出す MASQUERADE、外部からの接続を内部サーバーに転送する DNAT などが行える
• コンテナ/Kubernetes ネットワーキングの基盤: Docker のポート公開(-p)や Kubernetes の Service(ClusterIP/NodePort、#14 参照)は、内部的に iptables ルールを自動生成してパケットを目的の Pod/コンテナへ転送している

iptables がなければ、これらをアプリケーション層で個別に実装するか、外部のハードウェアファイアウォール/ロードバランサに頼る必要があり、柔軟性・コストの面で不利になります。

詳細

テーブル(table)

ルールの目的ごとに分類されています。代表的なもの:

テーブル	用途
filter	パケットの許可/破棄(デフォルト、いわゆるファイアウォール機能)
nat	送信元/宛先アドレス・ポートの変換(SNAT/DNAT/MASQUERADE)
mangle	パケットヘッダの書き換え(TTL、TOS など)
raw	コネクション追跡(conntrack)の対象外にする等の特殊用途

チェーン(chain)

各テーブルには、パケットが通過するタイミングに対応した組み込みチェーンがあります。

• PREROUTING: ルーティング判断前(DNAT はここで行う)
• INPUT: 自ホスト宛のパケット
• FORWARD: 自ホストを経由して転送されるパケット(ルーター的な動作)
• OUTPUT: 自ホストから送信されるパケット
• POSTROUTING: ルーティング判断後、送信直前(SNAT/MASQUERADE はここ)

すべてのテーブルがすべてのチェーンを持つわけではなく、テーブルごとに利用できるチェーンが決まっています(例: nat テーブルは PREROUTING/OUTPUT/POSTROUTING のみ)。

ルールとターゲット

各チェーンには「マッチ条件 + ターゲット(動作)」の形でルールを追加します。

# 現在のルールを一覧表示(filter テーブル)
iptables -L -n -v

# 22番ポート(SSH)への新規接続を許可
iptables -A INPUT -p tcp --dport 22 -m state --state NEW,ESTABLISHED -j ACCEPT

# それ以外の受信パケットは破棄
iptables -A INPUT -j DROP

# プライベートネットワークからの通信を外部へ MASQUERADE(NAT)
iptables -t nat -A POSTROUTING -s 10.0.0.0/24 -o eth0 -j MASQUERADE

主なターゲット:

• ACCEPT: 許可して次の処理へ
• DROP: 応答なしで破棄(送信元に何も通知しない)
• REJECT: 拒否し、ICMP などで送信元に通知する
• DNAT/SNAT/MASQUERADE: アドレス変換

注意点

• ルールは 上から順に評価 され、最初にマッチしたルールが適用される。順序を誤ると意図しない通信を許可/遮断してしまう
• ステートフルなフィルタリング(-m state --state ESTABLISHED,RELATED)を使わないと、戻りパケットまで個別に許可ルールを書く必要が出て破綻しやすい
• 変更はすぐカーネルに反映されるが、再起動で消えるため、永続化には iptables-save/iptables-restore やディストリビューションのサービス(netfilter-persistent など)を使う
• 近年の主要ディストリビューション(Debian/Ubuntu, RHEL 系など)では後継の nftables がデフォルトの実装になっており、iptables コマンドは互換レイヤ(iptables-nft)として nftables ルールに変換される形で動作していることが多い。純粋な iptables-legacy と iptables-nft が混在すると意図通りに動かないことがあるため、iptables --version や update-alternatives --display iptables で実体を確認すると良い

参考リンク

• netfilter/iptables 公式サイト
• iptables(8) man page
• Netfilter Packet Flow (公式 Wiki 図解)

関連ノート

該当する関連 issue は見つかりませんでした。

---