初版: 2010-01-29
最終更新日: 2010-01-17

☆はじめに

	+---------+    +-----------+    +---------+
        |(A)client|----|(B)Dual NIC|----|(C)server|
	+---------+    +-----------+    +---------+

え、それってMan-in-the-middle攻撃ちゃうのか? という声もあるかもしれませんが。

実際にはsquidによるインライン透過キャッシュみたいなことを HTTP(80/tcp) 以外でも簡単にできないものかなぁと。

目標は、（C）でtelnetd(8)が動いていて、 この状態で（A）から（C）にtelnetをかけたら応答するのは（B）としました。

☆各マシンについて

• （A）は何でもかまいません。とりあえずtelnetが動けば。
• （B）はFreeBSD 6.2Rマシンで、NICを二つ持っています。 pf(4) とif_bridge(4)を使えるようにしておきます。 実際にはCF-T4を用い、 NICの一つ目は元からあるオンボードrl0(4)で、 もう一つはcorega FEther USB-TXC (udav0(4))としました。
• （C）は適当なサーバ（デーモン、今回はtelnetd(8)）が 動いているマシンです。

☆IPアドレスの割り当て

	 +---------+
         |(A)client|
	 +---------+
              | 192.168.1.2
              |
	      | [udav0] not assinged
	+-----------+
        |(B)Dual NIC|
	+-----------+
              | [rl0] 192.168.1.3
              |
              | 192.168.1.1
	 +---------+
         |(C)server|
	 +---------+

☆/etc/rc.confでのIPアドレスとブリッジ設定

	ifconfig_rl0="inet 192.168.1.3 netmask 255.255.255.0"
	ifconfig_udav0="up"
	cloned_interfaces="bridge0"
	ifconfig_bridge0="addm rl0 addm udav0 up"

☆/etc/pf.confでのパケット横取り設定

	right_if="rl0"
	left_if="udav0"

	no rdr on lo0 from any to any
	rdr on $left_if proto tcp from any to any port 23 -> ($right_if) port 23
	pass in all
	pass out all

	pf_enable="YES"
	pflog_enable="YES"

☆実際に何に応用したか

• 適用時間を限定したgreylistingの透過型プロキシを用いた実装と評価, 情報処理学会 インターネットと運用技術シンポジウム2009 （IOTS2009）論文集, (2009/12), pp. 61-68.

☆関連リンク

• 適用時間を限定したgreylisting
• 超消「わいぷたん」