[root@CentOS ~]# vi filter_table.sh <= パケットフィルタ用スクリプトの作成
#!/bin/sh
IPTABLES="/sbin/iptables"
WGET="/usr/bin/wget"
RM="/bin/rm"

# 国別IPアドレスリスト取得
$WGET -q http://ftp.apnic.net/stats/apnic/delegated-apnic-latest # APNIC
$WGET -q ftp://ftp.arin.net/pub/stats/arin/delegated-arin-latest # ARIN

# ルールをクリア
$IPTABLES -F
$IPTABLES -X
$IPTABLES -Z

# デフォルト破棄
$IPTABLES -P INPUT DROP
$IPTABLES -P FORWARD DROP

# デフォルト許可
$IPTABLES -P OUTPUT ACCEPT 


# 指定した国からのアクセスを破棄
DROP_COUNTRY(){
  for IP in `cat $1 | grep "$2|$3|ipv4|"`
  do
    ADDR=`echo $IP |cut -d "|" -f 4`
    TEMP=`echo $IP |cut -d "|" -f 5`
    CIDR=32
    while [ $TEMP -ne 1 ];
    do
      TEMP=`expr "$TEMP" / 2`
      CIDR=`expr "$CIDR" - 1`
    done
    $IPTABLES -A INPUT -s $ADDR/$CIDR -j DROP
  done
}

# 中国
DROP_COUNTRY delegated-apnic-latest apnic CN
DROP_COUNTRY delegated-arin-latest arin CN
# 韓国
DROP_COUNTRY delegated-apnic-latest apnic KR
DROP_COUNTRY delegated-arin-latest arin KR
# 北朝鮮
DROP_COUNTRY delegated-apnic-latest apnic KP
DROP_COUNTRY delegated-arin-latest arin KP
# 台湾
DROP_COUNTRY delegated-apnic-latest apnic TW
DROP_COUNTRY delegated-arin-latest arin TW

# 国別IPアドレスリスト削除
$RM delegated-apnic-latest
$RM delegated-arin-latest


# 拒否しているINPUTから許可するものを設定
# 自端末からのアクセスを許可
$IPTABLES -A INPUT -i lo -j ACCEPT

# LAN内の他端末からのアクセスを許可
$IPTABLES -A INPUT -i eth0 -s 192.168.0.0/24 -j ACCEPT

# 新規接続がSYNで始まらない接続パケットは破棄
$IPTABLES -A INPUT -p tcp ! --syn -m state --state NEW -j DROP

# 接続が確立したパケットの応答は許可
$IPTABLES -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

# ping
$IPTABLES -A INPUT -p icmp --icmp-type echo-request -s 192.168.0.0/24 -j ACCEPT

# SSH
$IPTABLES -A INPUT -p tcp -m state --state NEW --dport 22 -j ACCEPT

# DNS
$IPTABLES -A INPUT -p tcp -m state --state NEW --dport 53 -s 192.168.0.0/24 -j ACCEPT
$IPTABLES -A INPUT -p udp --dport 53 -s 192.168.0.0/24 -j ACCEPT

# Ident
$IPTABLES -A INPUT -p tcp --dport 113 -j REJECT --reject-with tcp-reset


# 許可しているOUTPUTから拒否するものを設定
# Samba
$IPTABLES -A OUTPUT -p tcp --dport 137:139 -s ! 192.168.0.0/24 -j DROP
$IPTABLES -A OUTPUT -p udp --dport 137:139 -s ! 192.168.0.0/24 -j DROP
$IPTABLES -A OUTPUT -p tcp --dport 445 -s ! 192.168.0.0/24 -j DROP
$IPTABLES -A OUTPUT -p udp --dport 445 -s ! 192.168.0.0/24 -j DROP

# Ident
$IPTABLES -A OUTPUT -p tcp --dport 113 -j REJECT --reject-with tcp-reset


# ログの設定
$IPTABLES -N LOGGING
$IPTABLES -A LOGGING -m limit -j LOG --log-level warning --log-prefix "DROP:"
$IPTABLES -A LOGGING -j DROP
$IPTABLES -A INPUT -j LOGGING
$IPTABLES -A FORWARD -j LOGGING


[root@CentOS ~]# chmod 700 filter_table.sh <= 作成したスクリプトに実行権限付加

[root@CentOS ~]# iptables-save > filter_table.cfg <= 現在の設定をファイルに書き込む
[root@CentOS ~]# iptables-restore < filter_table.cfg <= ファイルから設定を読み込む

[root@CentOS ~]# iptables-save -c > filter_table.cfg <= パケットカウンタやバイトカウンタもファイルに書き込む
[root@CentOS ~]# iptables-restore -c < filter_table.cfg <= パケットカウンタやバイトカウンタも読み込む

[root@CentOS ~]# /etc/rc.d/init.d/iptables save

$IPTABLES -A INPUT -p udp --dport 5353 -d 224.0.0.251 -j ACCEPT

[root@CentOS ~]# vi /etc/nsswitch.conf
hosts:          files mdns4_minimal [NOTFOUND=return] dns mdns4
↓
hosts:          files dns [NOTFOUND=return] mdns4_minimal mdns4

[root@CentOS ~]# vi filter_kernel.sh <= パケットフィルタ用スクリプトの作成
#!/bin/sh

# ネットワークのブロードキャストアドレスのpingを無視
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts

# ブロードキャストアドレス向けに対して不正に反応したために発したICMPerrorを無視
echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses

# IPマスカレードを使用しない
echo 0 > /proc/sys/net/ipv4/ip_forward

# SYN Flood攻撃を防ぐ
echo 1 > /proc/sys/net/ipv4/tcp_syncookies

# Source-routedパケットを拒否
for i in /proc/sys/net/ipv4/conf/*/accept_source_route
do
  echo 0 > $i
done

# ICMP Redirectパケットを拒否
for i in /proc/sys/net/ipv4/conf/*/accept_redirects
do
  echo 0 > $i
done

[root@CentOS ~]# vi /etc/sysctl.conf <= 設定ファイルの編集
以下になるように該当個所を修正
net.ipv4.icmp_echo_ignore_broadcasts = 1
net.ipv4.icmp_ignore_bogus_error_responses = 1
net.ipv4.ip_forward = 0
net.ipv4.tcp_syncookies = 1
net.ipv4.conf.default.accept_source_route = 0
net.ipv4.conf.default.accept_redirects = 0