Internet<-->ISP
             |
            NTT
             |
        [ADSL modem]
             |
             |eth0
      .------+-----.                               .------------.
      |A    NIC    |                               |B           |
      |            |eth1                           |            |
      |         NIC+--------------+  +-------------+NIC         |
      |Note PC     |192.168.0.123 |  | 192.168.0.12|            |
      `------------'hets          |  |             `------------'hat
                                  |  |
      .------------.           .--+--+--.          .------------.
      |C           |           |        |          |C           |
      |         NIC+-----------+        +----------+NIC         |
      |            |           | HUB    |          |            |
      |            |           `--------'          |            |
      `------------'hawk                           `------------'hill

lock
noipdefault 
holdoff 10	# wait 10 secs before trying to reopen connection

lcp-echo-failure 4	# Connection is timedout after 4 failed echo requests
lcp-echo-interval 0	# Send an lcp echo request every 30 secs.
mtu 1454	#required PPP transmit frame size for PPPoE to fit in 1500
mru 1454	#required PPP receive frame size for PPPoE to fit in 1500
receive-all	#permits some flexabililty in converting ethernet frames
noauth		#AC will not have to authenticate itself to your system
#nopcomp	#RFC-2516 pcomp NOT RECOMMENDED. If they ask, ok to allow.
noaccomp 	#RFC-2516 MUST NOT ask for ACFC

ETH='eth0'
#「ユーザID」と「ISPのドメイン名」は各人の設定に合わせてね
USER='ユーザID@ISPのドメイン名'
DEMAND=no
DNSTYPE=SPECIFY
USEPEERDNS=no
# 「DNS1」「DNS2」もISPから指定があったサーバのIPアドレスに合わせてね
DNS1=10.0.0.1
DNS2=10.0.0.2
CONNECT_TIMEOUT=30
CONNECT_POLL=2
ACNAME=
SERVICENAME=
PING="."
CF_BASE=`basename $CONFIG`
PIDFILE="/var/run/$CF_BASE-adsl.pid"
SYNCHRONOUS=no
CLAMPMSS=1412
LCP_INTERVAL=20
LCP_FAILURE=3
PPPOE_TIMEOUT=80
FIREWALL=NONE
LINUX_PLUGIN=
PPPOE_EXTRA=""
PPPD_EXTRA=""

# PAP secrets file
# Format:
#name	remote	secret
"ユーザID@ISPのドメイン名"	*	"パスワード"

# CHAP secrets file
# Format:
#name	remote	secret
"ユーザID@ISPのドメイン名"	*	"パスワード"

#!/bin/sh
#
# fire wall setting on hets.luky.org /etc/rc.d/rc.ipchains
# last updated: 2001-04-21 Hisaaki Shibata 
# last updated: 2001-02-15 Hisaaki Shibata 
# original:     2000-07-09 Hisaaki Shibata 

#<参考文献>
# Linux IPCHAINS-HOWTO by Rusty Russell
#        v1.0.8, Tue Jul 4 14:20:53 EST 2000 
# http://www.linuxdoc.org/HOWTO/IPCHAINS-HOWTO.html
#
# Top Ten Blocking Recommendations Using ipchains
#           Paul Tiedemann  August 8, 2000
# http://www.sans.org/infosecFAQ/firewall/blocking_ipchains.htm
#
# TrinityOS: A Guide to Configuring Your Linux Server for
#           Performance, Security, and Managability
#           David A. Ranch, dranch@trinnet.net  October 15, 2000
# http://www.ecst.csuchico.edu/~dranch/LINUX/TrinityOS/cHTML/\
# TrinityOS-101500c.html
#
# 森岡さんの設定
# Message-Id: <20010120120521084.OZC.13014.t-mta2.odn.ne.jp@mta2.odn.ne.jp>
 
#<ネットワーク接続図>
#   Flets ADSL経由で The Internet へ
#               |
#          ppp0 | Dynamic Address Assign 0.0.0.0/255.255.255.255
#         +-----+-----+
#         |           |
#         |           | eth0
#         |           +----- PPPoE用インタフェース(ADSLモデムへストレート接続)
#         |           | 10.0.0.1/255.0.0.0
#         |           |
#         +-----+-----+
#          eth1 | 192.168.0.123/255.255.255.0
#               |
#           家庭内部LANへ

#<下記のipchainsの設定ポリシー>
# 
# ・input chainsは、必要なもののみACCEPTにして、それ以外は最後にDENY。
# ・output chainsは、全てACCEPTにする。(つまりdefaultのまま)
#
# 
# ・PPPoE-LANに対してはipmasqueradeもroutingも行わない
# ・全てDENYにする。
#
# 
# ・内部LANに対してはroutingを行う
# ・input chainsは、必要なもののみACCEPTにして、それ以外は最後にDENY。
# ・input chainsで許可したアクセスで且つ外部LANへのforward chainsは、
#   全てACCEPTにする。
# ・output chainsは、全てACCEPTにする。(つまりdefaultのまま)

#
#IPCHAINS="/sbin/ipchains -v "
IPCHAINS=/sbin/ipchains

# 結局、1024: 以降の全てが、リモートホストの短命ポート
# reph_portとは、remote ephemeral portの略
reph_port=1024:
echo "local ephemeral port=" $reph_port

#
# ping -bに答えない
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts  
# Enable bad error message protection
echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
# ipmasqのためにroutingする
echo 1 > /proc/sys/net/ipv4/ip_forward
# source routing禁止
echo 0 > /proc/sys/net/ipv4/conf/all/accept_source_route
echo 0 > /proc/sys/net/ipv4/conf/default/accept_source_route
# IP defrag
echo 0 >/proc/sys/net/ipv4/ip_always_defrag
# TCP SYN Cookie Protection
echo 1 >/proc/sys/net/ipv4/tcp_syncookies
# source address 確認
for f in /proc/sys/net/ipv4/conf/*/rp_filter; do
echo 1 > $f
done
# ICMP Redirect 受付けない
for f in /proc/sys/net/ipv4/conf/*/accept_redirects; do
echo 0 > $f
done
# source routed packets 受付けない
for f in /proc/sys/net/ipv4/conf/*/accept_source_route; do
echo 0 > $f
done
# spoofed, source-routed, redirect packets のロギング
for file in /proc/sys/net/ipv4/conf/*/log_martians; do  
  echo "1" > $file
done

####################################################
# 2001.06.02 shibata@luky.org
/sbin/insmod ip_masq_ftp
/sbin/insmod ip_masq_irc
/sbin/insmod ip_masq_raudio
/sbin/insmod ip_masq_portfw

####################################################
#
# リモートからのオペレーションチョンボを行ったときに
# 困るので(^^;、default policyはACCEPTにしておく。
# (堅くしたい人はDENYにしてもいいけど)
# また、再設定時にも有効になるようにルールをフラッシュする。
$IPCHAINS -X
$IPCHAINS -P input ACCEPT
$IPCHAINS -F input
$IPCHAINS -P output ACCEPT
$IPCHAINS -F output
$IPCHAINS -P forward ACCEPT
$IPCHAINS -F forward

# まず最初に、スクリプト起動時に筒抜けになるのを防止するため、
# local loop back以外の全ての入口を閉じて forwarding も禁止する。
# 最後にこのinput chainをdeleteしないと何もできなくなる(^^;
# こうするべきであるが、スクリプトにチョンボがあって最後まで行かないと
# 困るので、初期ポリシーは素通しにしておく。

# local loop backに関しては全開
$IPCHAINS  -A input -i lo -j ACCEPT

# 全ての戻りtcpパケット(localの短命ポート向けでSYNが立っていないもの)は許可
# ソースポートも縛る方がいいかもしれないが、コネクションが確立していない
# はずなので、これでよしとする
# ftpのPASVモードについては、もっと下の方で許可している
# ログ残さない
$IPCHAINS -A input -p tcp --dport $reph_port ! -y -j ACCEPT

# for home network
# eth1がsourceで、192.168.0.0/24からのもの
$IPCHAINS -A input -s 192.168.0.0/24 -i eth1 -j ACCEPT

# IP spoofing防止 (local loop back , private addr., local link ddr.)
# 下記の192.168.0.0/16からのパケットで、eth1からの正しいものは
# 直上のルールでACCEPTされているから、ここで弾かれるのはspoofing
# みてる暇がないのだが、統計情報取得のためログ取ってステ
$IPCHAINS -A input -b -s 127.0.0.0/8 -j DENY -l
$IPCHAINS -A input -b -s 10.0.0.0/8 -j DENY -l
$IPCHAINS -A input -b -s 172.16.0.0/12 -j DENY -l
$IPCHAINS -A input -b -s 169.254.0.0/16 -j DENY -l
$IPCHAINS -A input -b -s 192.168.0.0/16 -j DENY -l
$IPCHAINS -A input -b -s 240.0.0.0/5  -j DENY -l
$IPCHAINS -A input -b -s 255.255.255.255/32  -j DENY -l

# IP spoofing防止 (内部LAN)
# eth1 からで、ソースアドレスが 192.168.0.0/24以外のパケットはログ取ってステ
$IPCHAINS -A input -s ! 192.168.0.0/24 -i eth1 -j DENY -l

# やたら来るものもログ取って捨てる
# UDP echo Broadcast
$IPCHAINS -A input -p udp --dport 7 -j DENY -l
# Incoming NETBIOS Broadcast
$IPCHAINS -A input -p udp --dport 137:139 -j DENY -l
# Incoming RIP Broadcast
$IPCHAINS -A input -p udp --sport route --dport route -j DENY -l
# Incoming BOOTP Broadcast
$IPCHAINS -A input -p udp --dport bootps:bootpc -j DENY -l
# ICMP router discovery
$IPCHAINS -A input -p icmp --sport 9:10 -j DENY -l
# SUNRPC
$IPCHAINS -A input -p tcp --dport 111 -j DENY -l

# 全てのネットワークに対して開放するサービス
# ICMPは限定して通す
# ICMP echo
$IPCHAINS -A input -p icmp --sport 0 -j ACCEPT
# ICMP destination unreachable
$IPCHAINS -A input -p icmp --sport 3 -j ACCEPT
# ICMP source quench
$IPCHAINS -A input -p icmp --sport 4 -j ACCEPT
# ICMP echo request
$IPCHAINS -A input -p icmp --sport 8 -j ACCEPT
# ICMP time exceeded
$IPCHAINS -A input -p icmp --sport 11 -j ACCEPT
# ICMP parameter problem
$IPCHAINS -A input -p icmp --sport 12 -j ACCEPT

# IGMP
$IPCHAINS -A input -p igmp -j ACCEPT

# 全てのネットワークに対して開放するサービス
# ssh,DNS,www,https,smtp,ftp,ftp-data,auth,rsync,ntp,snmp,irc

# ftp-data 20 (tcp)
$IPCHAINS -A input -p tcp --sport $reph_port --dport 20 ! -y -j ACCEPT -l
$IPCHAINS -A input -p tcp --sport 20 --dport $reph_port -j ACCEPT
# for pasv transfer mode
$IPCHAINS -A input -p tcp --sport $reph_port --dport $reph_port ! -y -j ACCEPT

# ftp 21 (tcp)
$IPCHAINS -A input -p tcp --sport $reph_port --dport 21 -j ACCEPT -l

# ssh 22 (tcp)
$IPCHAINS -A input -p tcp --sport $reph_port --dport 22 -j ACCEPT

# 禁止だけど、一応エントリだけ書いておく
#   # telnet 23 (tcp)
#   $IPCHAINS -A input -p tcp --sport $reph_port --dport 23 -j ACCEPT

# smtp 25 (tcp)
$IPCHAINS -A input -p tcp --sport $reph_port --dport 25 -j ACCEPT

# time 37 (tcp+udp)
$IPCHAINS -A input -p tcp --sport $reph_port --dport 37 -j ACCEPT
$IPCHAINS -A input -p udp --sport $reph_port --dport 37 -j ACCEPT

# domain 53 (tcp+udp)
$IPCHAINS -A input -p tcp --sport $reph_port --dport 53 -j ACCEPT
$IPCHAINS -A input -b -p udp --sport $reph_port --dport 53 -j ACCEPT
$IPCHAINS -A input -p udp --sport 53 --dport 53 -j ACCEPT

# www 80 (tcp)
$IPCHAINS -A input -p tcp --sport $reph_port --dport 80 -j ACCEPT

# pop-3 110 (tcp)
# ssh経由でlocalhostからのみ許可なので、エントリだけ書く
# localhostからは、何でもありなので、書かない。
#$IPCHAINS -A input -p tcp --sport $reph_port --dport 110 -j ACCEPT

# auth 113 (tcp)
$IPCHAINS -A input -p tcp --sport $reph_port --dport 113 -j ACCEPT

# ntp 123 (tcp+udp)
$IPCHAINS -A input -p tcp --sport $reph_port --dport 123 -j ACCEPT -l
$IPCHAINS -A input -p udp --sport $reph_port --dport 123 -j ACCEPT -l
$IPCHAINS -A input -p tcp --sport 123 --dport 123 -j ACCEPT -l
$IPCHAINS -A input -p udp --sport 123 --dport 123 -j ACCEPT -l

# snmp 161 (tcp+udp)
#$IPCHAINS -A input -p tcp --sport $reph_port --dport 161 -j ACCEPT
#$IPCHAINS -A input -p udp --sport $reph_port --dport 161 -j ACCEPT

# snmp-trap 162 (udp)
#$IPCHAINS -A input -p udp --sport $reph_port --dport 162 -j ACCEPT

# irc 194 (tcp+udp)
$IPCHAINS -A input -p tcp --sport $reph_port --dport 194 -j ACCEPT
#$IPCHAINS -A input -p udp --sport $reph_port --dport 194 -j ACCEPT

# https 443 (tcp)
$IPCHAINS -A input -p tcp --sport $reph_port --dport 443 -j ACCEPT

# rsync 873 (tcp)
$IPCHAINS -A input -p tcp --sport $reph_port --dport 873 -j ACCEPT

# ircd 6660-6668 (tcp+udp)
$IPCHAINS -A input -p tcp --sport $reph_port --dport 6660:6668 -j ACCEPT
#$IPCHAINS -A input -p udp --sport $reph_port --dport 6660:6668 -j ACCEPT

# 家庭用ipmasq
$IPCHAINS -A forward -s 192.168.0.0/24 -d 0/0  -j MASQ

# 最後に、上記のchainsに該当しない input パケットを全てDENYする。
# forward パケットもDENYする。
# ログを残す
$IPCHAINS -A input -i ! lo -j DENY -l
$IPCHAINS -A forward -j DENY -l

# end of rc.ipchains

options {
	directory "/etc/named.db";
	/*
	 * If there is a firewall between you and nameservers you want
	 * to talk to, you might need to uncomment the query-source
	 * directive below.  Previous versions of BIND always asked
	 * questions using port 53, but BIND 8.1 uses an unprivileged
	 * port by default.
	 */
	// query-source address * port 53;
};
// 
// boot file for name server
// 
// NOTE: unconverted directive 'type domain source host/file backup file'

zone "." {
	type hint;
	file "named.root";
};

// NOTE: unconverted directive 'domain luky.org'

zone "localhost" {
	type master;
	file "localhost.d";
};

zone "0.0.127.IN-ADDR.ARPA" {
	type master;
	file "localhost.rev";
};
zone "UriUri.com" {
	type master;
	file "uriuri.com.zone";
	allow-update { 127.0.0.1; 211.8.90.175;};
	allow-transfer { any; };
	allow-query { any; };
};

;BIND DUMP V8
$ORIGIN com.
UriUri	172800	IN	MX	10 hoop.uriuri.com.	;Cl=2
	172800	IN	NS	hoop.uriuri.com.	;Cl=2
	172800	IN	SOA	hoop.uriuri.com. root.hoop.uriuri.com. (
		2001091007 7200 1800 1209600 172800 )	;Cl=2
$ORIGIN UriUri.com.
hoop	172800	IN	MX	10 hoop.uriuri.com.	;Cl=2
	172800	IN	A	211.8.190.175	;Cl=2
localhost	172800	IN	A	127.0.0.1	;Cl=2
mail	172800	IN	MX	10 hoop.uriuri.com.	;Cl=2
www	172800	IN	CNAME	hoop.uriuri.com.	;Cl=2
hets	1200	IN	A	61.xxx.yyy.zzz	;Cl=2
ns	172800	IN	CNAME	hoop.uriuri.com.	;Cl=2
ftp	172800	IN	CNAME	hoop.uriuri.com.	;Cl=2

#!/bin/sh
/bin/mv -f /tmp/pppoe_ip.now /tmp/pppoe_ip.old
/sbin/ifconfig ppp0|grep inet > /tmp/pppoe_ip.now
diff /tmp/pppoe_ip.old /tmp/pppoe_ip.now > /tmp/pppoe_ip.diff
if [ -s /tmp/pppoe_ip.diff ]; then
/bin/mail -s hets.pppoe-ip_change 携帯電話のメールアドレス < /tmp/pppoe_ip.diff
RSYNC_PASSWORD=hogehoge /usr/bin/rsync -av -e ssh /tmp/pppoe_ip.now nameduser@hoop.euqset.org::named)
fi
echo > /dev/null
#end

#
# /etc/rsyncd.conf 
# for hoop.uriuri.com
#

#global
uid = nobody
gid = nogroup
use chroot = no
max connections = 2
syslog facility = local5
pid file = /var/run/rsyncd.pid

[named]
path = /home/named
comment = hoop.uriuri.com /home/named
read only = no
hosts allow = 61.0.0.0/8,hoop.uriuri.com
auth users = nameduser
secrets file = /etc/rsyncd.secrets

#!/bin/sh
/bin/cat /home/named/hets.uriuri.com-templ > /home/named/hets.uriuri.com-ip
/bin/cat /home/named/pppoe_ip.now|\
sed 's/.* addr:/update add hets.uriuri.com 300 A /;
     s/ *P-t-P.*//'>>/home/named/hets.uriuri.com-ip
echo  >>/home/named/hets.uriuri.com-ip

/usr/bin/nslookup hets.uriuri.com hoop.uriuri.com|tail -2|head -1|sed 's/Address: *//' > /home/named/dns.now
/bin/cat /home/named/pppoe_ip.now|sed 's/.* addr://;s/ *P-t-P.*//' > /home/named/dns.next
/usr/bin/diff /home/named/dns.now /home/named/dns.next > /home/named/dns.diff

if [ -s /home/named/dns.diff ]
then
 /usr/bin/nsupdate /home/named/hets.uriuri.com-ip
 /usr/bin/nslookup hets.uriuri.com hoop.uriuri.com|\
  mail -s "hets.uriuri.com IP change" shibata@luky.org
else
echo >/dev/null
fi