インタ−ネット常時接続によるセキュリテイ概論
及びＬｉｎｕｘで作動するファイヤーウォールマシンの製作
２００４年１月
by ＣＯＯＮ
Ｆｌｏｐｐｙｆｗによりルーターを自作してみました。１枚のフロッピーディスクにより起動するＬｉｎｕｘマシンです。
目次
はじめに
セキュリティの実態
通信の仕組み
セキュリティ向上のために
ファイヤーウォールマシンの製作（Linuxマシン）
ルーターについて
ネットワーク構成
ＩＰアドレスの設定
ルーターのハードウェア
ソフトウェア（Floppyfw)
起動（システム）ディスクの作成
ファイルの設定、編集
おわりに
参考文献
|
|
＜はじめに＞
インターネット、及びパソコンの技術の発達は目を見張るものがあります。私がインターネットに初めて接続した１０年前はＰＰＰ接続（電話を使ったダイヤルアップ接続のこと）でわずか9600bps（１秒間に１bitの情報を送る速さの単位）の今では考えられない低速でした。それが、2000年５月からはFLET'S
ISDNが６４kbps（1kbps=1000bps）で常時接続を提供し、さらにはOCNエコノミーでも１２８kbpsとかなりの高速となりました。ここ福岡でも2000年夏よりＣＡＴＶインターネットが可能になり、今春サービス開始予定のＡＤＳＬや無線接続による１．５Mbps(1Mbps=1000kbps）の接続（名前を覚えるだけでも大変！！）など、状況はどんどん進化しています。Internet接続がより高速化し、そして常設（２４時間接続のこと）の方向で進んでいるのです。
わたしの家でもこの波に乗り遅れまいと、ＣＡＴＶインターネット常設がサービスされるのと同時にこれを使用しはじめました。２４時間好きなときにインターネットを利用できるわけですから、朝起きたときにまず寝室で天気やＴＯＰニュースを見、子供達は学校から帰って来るといつでも子供部屋でインターネットを利用して調べ物が出来るという環境になったわけです。この調子で行くと新聞が不必要になるのも近いのではないかと思っています。通信速度もＩＳＤＮと比べても２０〜１６０倍近く速くなり、ホームのページ（ブラウザを起動したときに表示される画面）にしているＹａｈｏｏの画面が一瞬のうちに表示されるのは、今までのイライラから解放され実に心地良いものです。
ところがこの「常時接続」にはセキュリティ上のとんでもない罠が隠されているのは、一般の人はほとんど知りません。自分はそんなはことはないと無関心でいると、世の中を騒がしている大事件に荷担してしまうおそれは十分にあるのです。（決して大げさではありません）以前、国の機関のホームページが勝手に何者かによって書き換えられるという事件、つまりハッカーによって他者のコンピューターが制御されるという事件がありました。そういう人たちは（インターネットはインターナショナルなネットワークですから日本に住んでいるとは限りません。）直接ターゲット（コンピュータＡ）に攻撃をすることはありません。なぜならＡに直接に攻撃をすると、その経路情報から自分（Ｄ）が特定されてしまうからです。従って彼らはまず自分の自由になる無関係な人のコンピュータ（Ｃ）を探す事になります。そしてそれがうまくいくと今度はＣを使ってまた新たに自分の意志通りに動く別のコンピュータ（Ｂ）を探し、たとえばそこからＡを攻撃します。つまりＤ→Ｃ→Ｂ→Ａの順にアタックし、問題を複雑にしＤを分からなくしてしまいます。もちろんもっと階層を深くして複雑にも出来ます。
ＢやＣは大きな会社のセキュリティで守られたコンピューターはふつう使いません、むしろセキュリティの甘い個人のコンピューターを使います。うちのはウインドウズマシンだから関係ない、というのは間違いで、そういうコンピューターこそ狙われるのです。そして彼らはＰＰＰ接続よりも常設接続を利用して進入してきます。コンピューターの電源を落としても、ＩＰアドレス（後述）が変わらなければ同じです。「罠」といったのはこういうことなのです。こういう攻撃は世界中から日常的に行われています。そのほとんどはただの興味でやっていることかもしれません。好奇心旺盛な青年がただの遊びでやっているにすぎません。しかし中には悪意を持った人間もいることをお忘れなく。
それに、自分のコンピューターの中身が知らないうちに他人にのぞかれているかもしれないのは、あまり気持ちのいいものではありません。インターネット常設で何気なくネットワークコンピューターを開いたらお隣の家のコンピューターの中身がごっそり見えたという笑えない事実もあります。
ここではインターネットの通信の仕組みと、どうすればセキュリティを向上する事が出来るか、出来るだけわかりやすく話していきたいと思います。
＜通信の仕組み＞
（ＩＰアドレス）
ＩＰ（Internet Protocol）アドレスという名前を聞いたことがあるでしょうか？ＬＡＮを組んでいるコンピューターとかインターネットに接続しているコンピュータには必ず付いている、コンピューターを特定する３２bit（２進数３２桁）のアドレスで（8bitずつに区切って１０進数で表記する）。例えばウィンドウズマシンで「スタート／ファイル名を指定して実行／Winipcfg.exe （ＣＲ）」すればあなたのコンピューターのＩＰアドレスがわかります。（ちなみに今艇庫で打ち込んでいるこのコンピューターのＩＰアドレスは１９２．１６８．１．２という値でした）このアドレスは自分で設定する方法とＤＨＣＰサーバーというネットワークにつながっている別のコンピュータから割り当てられる（取得する）方法があります。いずれにしても、全てのコンピューターはこのＩＰアドレスによって区別され、今、はやりのＥ−MailやＷｅｂもこのＩＰアドレスを頼りに、情報の経路設定（ルーティング）が行われ、間違いの無いように情報（パケット）が伝達されます。つまりＩＰアドレスはパケットを届けるための宛先や差出人を表す住所のようなものです。よくホームページでhttp://www1.ocn.ne.jp/~suisan-h/などというＵＲＬ（ホームページのアドレス）が使用されますが、これは先のＩＰアドレスをＤＮＳ（Domain
Name Service）という機能によって、私達が使いやすいように変換したものなのです。時々間違える人がいますが、このＩＰアドレスはコンピューターについているのではなく、厳密にはコンピューター内部のネットワークカード（ＮＩＣ、つまりＬＡＮカードのこと）ごとに設定されています。
（グローバルＩＰアドレスとプライベートＩＰアドレス）
ＩＰアドレスはグローバルＩＰアドレスとプライベートＩＰアドレスに分けることが出来ます。インターネットの世界では、ふつうグローバルＩＰアドレスが使われています。これは世界中で一意しかありません。つまり同じグローバルＩＰアドレスを使っているコンピューターは同時に２台はないわけです。もし同じＩＰアドレスで２台以上インターネットに接続されていたら、パケットをどこに送ったらいいのか分からなくなってしまうからです。従って数に限りがあり、単純に言うと２の３２乗＝４３通りのアドレスがあります。もちろん後に出てくるプライベートアドレスやその他の理由で実際はずっと少なくなります。いま時々新聞の紙面をにぎわしているＩＰアドレスの枯渇はこのグローバルＩＰアドレスのことなのです。
あなたは普通グローバルＩＰアドレスでインターネットに接続しています。もしこの接続が「常設」接続であり、２４時間使いたい放題だったらどうなるでしょう。それはハッカー達の攻撃の対象になり、彼らはパスワードを高性能なパソコンにせっせと解かせ、進入を試みるわけです。
プライベートＩＰアドレスの方は、内部ＬＡＮという閉じたネットワークの中で使用し、ＷＡＮ（外側）に出ていかない、つまりインターネットで使用できないＩＰアドレスです。このプライベートＩＰアドレスは、はじめの８bitが１９２で表されるのですぐに分かります。
それではどうすれば他者の進入をくい止める事ができるでしょうか。進入を防ぐために防護壁（Fire Wallと言います）を作ります。必要であれば何重にも作るわけですが、確実な方法はありません。また新しい抜け道（Security
Holeと言います）が発見されるからです。基本は相手の進入の機会を許す過剰なサービス（例えばＣＧＩやＳＳＩ、Sendmailなど）を使わないことですが、実際問題として不可能です。ところが、本来インターネットで使うことができないプライベートＩＰアドレスでインターネットに接続するという方法でセキュリティを高めることができます。これは自分のセキュリティを守るために大変有効で基本的な方法です（スクリーニング フィルターといいます）。下図のように、自分のコンピューターはプライベートＩＰアドレスなのに途中でグローバルＩＰアドレスに自動的に変換して（ルーターという装置を使います）、あたかもＡからグローバルＩＰアドレス（例では202.138.162.10とします。このグローバルＩＰアドレスは契約しているプロバイダーからもらいます、ここでは例として適当に書いたので、上段の説明でも分かるように、このアドレスで決してインターネットに接続しないように）をつかってインターネットに接続するというように見せかけてパケットを送る方法です。また逆にインターネットからＡ宛に送ったパケットはルーターで宛先をプライベートＩＰアドレスに替えるのですが、インターネット側からは、202.138.162.10に送っているようにしかみえないのです。この方法をＩＰマスカレードといいます。Masqueradeとは仮装舞踏会という意味があります。ＩＰマスカレードを使うと、たとえグローバルＩＰアドレスを頼って、外部から進入してきても、そのグローバルＩＰアドレスはルーターに設定されているので、ルーターを越えることが出来ません。この様にルーターがファイヤーウォールとして働くため、侵入者は目的のコンピューターにたどり着くことができないのです。
|
|
from |
|
from |
|
← |
← |
この事によりルーターがファイヤーウォールとして働いていることが理解できたと思います。セキュリティーに関してはたとえ個人ユーザーであっても、一人ひとりがもっと関心を持って、対策をたてなければならない問題だと思います。余談になりますが、面倒くさがってパソコンショップや知人などにＥ−ｍａｉｌの設定などを頼むのもセキュリティー上危険です。簡単な操作で知らないうちにメールを読まれる可能性があります。もちろん読まれたという跡形は残りません。セキュリティーは近い将来もっと身近な、かつ深刻な問題になってくると私は思っています。以上でセキュリティーに関する概要を終わりにしたいと思います。
|
|
＜ルーターについて＞
上の章のルーターについて補足説明しますが、これは皆さんがＩＳＤＮでダイヤルアップ接続するときに使うルーター（ダイヤルアップルータ）ではありません。ＮＡＴやＩＰマスカレードという機能の付いたＬＡＮとＷＡＮ、またはＬＡＮ同士をつなぐルーターのことであり、ネットワークルーターといいます。もちろん市販されていますが、高価なものですから、この章で自作してみたいと思います。
これらのネットワークルーターはもともと、パケットのルーティング（情報経路の制御、つまりパケットの交通整理）することが目的で作られました。たとえばインターネットを一つのグローバルＩＰアドレスで、ＬＡＮにつなぐ時に使います。そうすることにより次のネットワーク構成の図のようにＬＡＮ内の複数のコンピューターが同時にインターネットと接続することができるのです。もちろんこれから制作するルーターでもそういうことができますので、対応できる設定にしておきます。ただしプロバイダーによってはそのような使い方を禁止しているところもありますので注意してください。
この様にいくつかのコンピューターを一本のラインでインターネットにつなぐ方法は、ルーターをわざわざ使わなくても、ＷＩＮＤＯＷＳ９８やＭＥにある「インターネットの共有」という機能でできます。私もしばらくそれを使っていましたが、ファイルのダウンロードなどが極端に遅くなって使いづらいようです。原因は分かりません
＜ネットワーク構成＞
インターネットからはプロバイダーを通じてモデムまでつながっています。
モデムからは普通のストレートケーブルでルーターのＮＩＣ（eth0とします）につながっています。ルーターには２枚のカードがついており、もう片方をeht1としました。そこからストレートケーブルでハブにつながり複数のコンピューター（ウインドウズマシン）につながります。
ここではインターネットからeth0までをＷＡＮ側、eth1から先をＬＡＮ側と言うことにします。
問題のグローバルＩＰアドレスはここでは202.138.162.10としていますが、前述しているようにこれらのＩＰアドレスはＮＩＣに割り当てられます。ここではeth0に割り当てられるのです。ただしこの値は、私の家ではプロバイダーのＤＨＣＰサーバーにより自動的に割り当てられるので、グローバルＩＰアドレスを手動で打ち込む必要はありません。従って本章でもＤＨＣＰによる自動取得を使うことにしました。自動取得してきた結果202.138.162.10になったと理解してください。
WAN側（インターネット側）のＩＰアドレスの設定の他に、ＤＮＳ（ネームサーバーともいう）とゲートウェイというＩＰアドレスも設定しなくてはいけません。ここではとりあえず、
ＤＮＳを202.138.2.70ゲートウェイを202.138.2.71にしました。これらのアドレスはプロバイダーから教えてもらってください。（くれぐれもこの値で実際にテストしないように）
eth1はＬＡＮ側になりますのでプライベートＩＰアドレスが使えます。ここでは192.168.1.1を指定します
クライアント１〜ｎのＩＰアドレスはＬＡＮ側ですからプライベートＩＰアドレスで設定します。１９２．… とこちらで指定もできますが、ルーターにDHCPサーバーの機能を持たせ自動発行できるようにしました。
ルーターはＬｉｎｕｘで構築します。フロッピーディスク（後に詳しく作り方を説明しています）で起動させ、わずか８ＭＢのＲＡＭで走らせますので、あまり高性能のマシンの必要はありません。ハードディスクもいりませんし、ＣＤ−ＲＯＭも不必要です。いったん起動してしまったらキーボードもマウスもモニターもいりません。どのＬｉｎｕｘマシンもそうなのですが、ＮＩＣの認識に手間取りますので、ＩＳＡバスよりもＰＣＩバスのスロットルが２つ必要です。一世代前のペンティアムマシンで充分でしょう。私はアプ×××という店で￥３９８０でＩＢＭのペンティアム１００MHzのマシンを買ってきました。ハードディスクとCD-ROM、余分なRAMも外してジャンク部品にしました。
ＮＩＣは２枚必要です。私は、１枚は￥９８０でPlanx社のFW100TXというカードをeth1に使いました。２枚目は家にあった型番不明のCompac社のカードをeth0に使っています。
＜ソフトウェア＞
トーマスさんという方がDebianというＬｉｎｕｘをＯＳにして走るFloppyfwというソフトを作っていますので、これを関連ファイルと共に、インターネットにつながっているウインドウズマシンの適当なフォルダーにダウンロードして使います。オリジナルサイト
は http://www.zelow.no/floppyfw/です。
ここから １．floppyfw-current.img ２．dhcpcd.bz2 ３．dhcpd.bz2 ４．post-dhcpd.ini ５．rawrite2.exe ６．rtl8139.o ７．tlan.o
以上７つのファイルをダウンロードします。
１はプログラム本体 ２はＷＡＮ側のＤＨＣＰサーバーよりＩＰアドレスを取得する（ＤＨＣＰクライアントといいます）ために必要 ３と４はＬＡＮ側にＩＰアドレスを発行する（ＤＨＣＰサーバーといいます。）ために必要 ５は１を解凍？するため ６はFW100TX（eth1）（ＲＴＬ社の８１３９という石を使っていた）用のドライバーモジュール ７はCompac社のＮＩＣ（eth0）（調べてみるとテキサスインスツルメント社の石をつかっていた）のためのドライバーモジュールです。６と７は各自のシステムに合わせて適当なものをダウンロードしてください。
Floppyfwの起動ディスクを作成します。これは手持ちのウインドウズマシンより作ります。プログラムの設定や書き換えも同じくウインドウズマシンよりエディットするので簡単です。
（１）まず普通にフォーマット（MS-DOS Format）したフロッピィーを準備してＡドライブに入れてください
（２）floppyfw-current.imgをrawrite2.exeで解凍しますがロングファイルネームに対応してないので、ファイルネームを適当に短く（半角８文字以内）、たとえばfloppyfw.imgとrenameします。
（３）（２）でできたfloppyfw.imgと同じディレクトリーにrawrite2.exeを持ってきて、これをＭＳ−DOSプロンプトより実行します。するとフロッピーのなかにＬｉｎｕｘのシステムが書き込まれます。
（４）できたフロッピーはマイコンピュータで開くことができます。これを使ってフロッピーのPackageフォルダーにdhcpcd.bz2 dhcpd.bz2 post-dhcpd.ini をコピーし、Modulesフォルダーにrtl8139.o及びtlan.oをコピーしてください。
以下フロッピーのファイルの話です。編集はワードパッドで行ってください。ノートパッドでもできますが、改行コード表示が不適切なため使いにくいです。
（１）module.lstの編集
プログラムをワードパッドで開き（プログラムはプレーンテキストで書かれているのでそのまま開くことが出来ます）最後の行に
rtl8139.o ↓
tlan.o↓
と２行加えます。これは２枚のNICを認識、使用させるためのモジュールです。ここで矢印↓は改行を意味します。（以下同じ）
（２）config ファイルの編集
（１）と同様にファイルを開き以下を修正します。
（i） OUTOSIDE_IP=↓ #OUTOSIDE_IP
#OUTOSIDE_IP=DHCP を OUTOSIDE_IP=DHCP
にします。これはＷＡＮ側からeth0のＩＰアドレスを発行してもらうためにします。
（ii） OUTOSIDE_DEV=eht0↓
OUTOSIDE_NETMASK=↓
OUTOSIDE_BROADCAST↓
はそのまま使います。
これは（ｉ）の変更に伴いＩＰを自動取得するため記入する必要が無いようです。
（iii） 次はLAN側eth1関係のの設定です。
INSIDE_IP=↓
INSIDE_IP=192.168.1.1↓
INSIDE_DEV=↓
INSIDE_DEV=eth1↓
INSIDE_NETMASK=↓
INSIDE_NETMASK=255.255.255.0↓
INSIDE_BROADCAST=↓
を INSIDE_BROADCAST=192.168.1.255↓
にします。
（iv）外部（WAN)にアクセスするためのＤＮＳなどの設定です。
DEFAULT_GATEWAY=↓
DEFAULT_GATEWAY=202.138.2.70↓
NAME_SERVER_IP1=↓
NAME_SERVER_IP1=202.138.2.71↓
NAME_SERVER_IP2=↓
NAME_SERVER_IP2=↓
DOMAIN=↓
DOMAIN=mickey.ne.jp↓
HOSTNAME=↓ を HOSTNAME=m_matsuo↓
にします。ゲートウェイ、ＤＮＳ（ネームサーバーのこと）、ドメイン、ホストネームの値はここでは仮の値です。実際はプロバイダーに聞いてください。HOSTNAMEは各自で好きな名前を付けていいのですが、福岡に展開しているＣＡＴＶのプロバイダーはHOSTNAMEもＣＪ××××と指定してきますので、このまま正確に記入してください。
(v)メモリーを８Ｍしか使いませんのでそれを指定します。
ONLY_8M=n
を ONLY_8M_y
にします。８Ｍ以上搭載している場合はｎのままでいいようです。
(３)post-dhcpd.iniの編集
ＬＡＮ側にＩＰアドレスを発行する機能（ＤＨＣＰサーバー）を追加するために編集します。
INSIDE_NET=192.168.0.0↓ を INSIDE_NET=192.168.1.0↓
にします。これは内部のネットワークを示すアドレスのことです。
DHCPD_FIRST_IP=↓ DHCPD_FIRST_IP=192.168.1.100↓
DHCPD_LAST_IP=↓
を DHCPD_LAST_IP=192.168.1.200↓
としました。これでＬＡＮ側に発行する開始アドレスと終了アドレスを指定します。こうすることによっでDHCPサーバーは192.168.1.100〜192.168.1.200の間でＩＰアドレスを発行することが出来るようになります。
さらにpost-dhcpd.iniの# Add special entries hereの行を次の様に訂正します。（訂正しなくても環境によっては動くかもしれません）
echo
"host m_matsuo { hardware ethernet 00:90:CC:07:D8:06; fixed-address
192.168.1.1; }" >> /etc/dhcpd.conf
もちろんm_matsuoは２の(iv)で説明したHOST名です。また00:90:CC:07:D8:06はeth1のＭＡＣアドレスと呼ばれるものです。この２つは各自の環境によって書き換えてください。ＭＡＣアドレスはすべてのＮＩＣに製造時に割り当てられている固有のアドレスです。グローバルＩＰアドレスのように世界でただ一つしかありません。しかしこの値はＮＩＣのどこを見ても記入されてないし、取扱説明書にも、梱包されていた箱にも書かれていません。これを調べる方法は、対象のＮＩＣをウィンドウズマシンにとりあえず組み込み、ウィンドウズマシンから「スタート／ファイル名を指定して実行／Winipcfg.exe （ＣＲ）」を実行するとアダプタアドレスの窓にたとえば00:90:CC:07:D8:06の様に表示されます。または、今作っているこのフロッピーディスクでルーターを起動して、起動画面を注意深く見ていると表示されるのが分かるでしょう。いずれにしてもこのアドレスはＩＰアドレスのように変わることがありませんから、マジックでＮＩＣの金属プレートの部分に書き込んでいると、いちいち調べる必要がないので便利です。
(４)network.ini の編集
接続時にＷＡＮ側にホスト名を渡さなくてはいけないプロバイダーでは、次のように書き加えます。そうでないプロバイダーなら不要です。
if /bin/dhcpcd -d
-h ${HOSTNAME} ${OUTSIDE_DEV}; then の部分を
if /bin/dhcpcd -d
-h ${HOSTNAME} -I{HOSTNAME} ${OUTSIDE_DEV}; then とする。
（５）ＷＩＮＤＯＷＳ クライアントマシンの設定
インターネットの共有のクライアントマシンとして設定していればそのまま使えるので簡単です。TCP/IPの設定でＩＰアドレスは「自動取得」、WINS、GATEWAYは「なし」 ＤＮＳは「使わない」と設定してください。Microsoftネットワーククライアントもコンポーネントに忘れずに加えます。
＜おわりに＞
ずいぶん大急ぎで説明しました。かなり専門的なところは説明が不十分です。また、floppyfwはＬＡＮ内に構築されたウェブサーバーを外部に公開する方法など他にいろいろな機能を持っています。従って実際に構築しようとトライされる方は質問がたくさん出てくると思います。興味がある方は連絡ください。
またLinuxやウェブサーバーの構築についてもある程度ならお答えできると思います。メールでお願いいたします。（WindowsＮＴ、2000については不勉強でよく分かりません。すみません）
mailto c00n_jp@yahoo.co.jp
＜参考文献＞
ファイル＆Ｗｅｂサーバー構築ガイド スタークラスター著 エーアイ出版
Ｎｅｔｗｏｒｋｉｎｇ Ｌｉｎｕｘ やまだあきら 他著 アスキー出版
ＴＣＰ／ＩＰで使うローカルルーター 伊藤ぽん太 他著 エーアイ出版
Ｔｕｒｂｏ Ｌｉｎｕｘでつくる
インターネットサーバー 内田康夫著
エーアイ出版
Ｒｅｄ Ｈａｔ Ｌｉｎｕｘで作る
ネットワークサーバー構築ガイド 秀和システム編著 秀和システム出版
＜Ｆｌｏｐｐｙｆｗ関連ＵＲＬ＞
www.zelow.no/floppyfw/
www.bekkoame.ne.jp/~bero/1fd.html
www.dive-in.to/~makoto/floppyfw/index.html