portを開けずapacheを表示できません。

Question

###前提・実現したいこと
apacheを表示したいです。

表示したい画面

現状

###該当のソースコード

問題はポートを開けていないことだと思うのですが、
うまく設定できず、もがいています。

【iptables -Lコマンドで表示】

Chain INPUT (policy DROP)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
ACCEPT     icmp --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:ssh
REJECT     all  --  anywhere             anywhere            reject-with icmp-host-prohibited
DROP       tcp  --  anywhere             anywhere            tcp flags:FIN,SYN,RST,PSH,ACK,URG/NONE
DROP       tcp  --  anywhere             anywhere            tcp flags:!FIN,SYN,RST,ACK/SYN state NEW
DROP       tcp  --  anywhere             anywhere            tcp flags:FIN,SYN,RST,PSH,ACK,URG/FIN,SYN,RST,PSH,ACK,URG
ACCEPT     all  --  anywhere             anywhere
ACCEPT     icmp --  anywhere             anywhere
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:ssh
ACCEPT     tcp  --  anywhere             anywhere            tcp dpt:https

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination
REJECT     all  --  anywhere             anywhere            reject-with icmp-host-prohibited

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

【/etc/sysconfig/iptables】

# Generated by iptables-save v1.4.7 on Thu Jan 19 15:53:11 2017
*filter
:INPUT DROP [0:0]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [10:1128]
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -i lo -j ACCEPT
-A INPUT -p tcp -m state --state NEW -m tcp --dport 22 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG NONE -j DROP
-A INPUT -p tcp -m tcp ! --tcp-flags FIN,SYN,RST,ACK SYN -m state --state NEW -j DROP
-A INPUT -p tcp -m tcp --tcp-flags FIN,SYN,RST,PSH,ACK,URG FIN,SYN,RST,PSH,ACK,URG -j DROP
-A INPUT -i lo -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMI-A INPUT -i lo -j ACCEPT
-A INPUT -p icmp -j ACCEPT
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 61203 -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
COMMIT
# Completed on Thu Jan 19 15:53:11 2017

###追加

①vim /etc/sysconfig/iptables

・・・・
-A INPUT -p tcp -m tcp --dport 22 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT★★
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A FORWARD -j REJECT --reject-with icmp-host-prohibited
・・・・

②service iptables restart

iptables: Setting chains to policy ACCEPT: filter [  OK  ]
iptables: Flushing firewall rules: [  OK  ]
iptables: Unloading modules: [  OK  ]
iptables: Applying firewall rules: [  OK  ]

【ps -ef | grep httpコマンドの返答】

root      1405     1  0 15:45 ?        00:00:00 /usr/sbin/httpd
apache    1411  1405  0 15:45 ?        00:00:00 /usr/sbin/httpd
apache    1412  1405  0 15:45 ?        00:00:00 /usr/sbin/httpd
apache    1414  1405  0 15:45 ?        00:00:00 /usr/sbin/httpd
apache    1416  1405  0 15:45 ?        00:00:00 /usr/sbin/httpd
apache    1417  1405  0 15:45 ?        00:00:00 /usr/sbin/httpd
apache    1418  1405  0 15:45 ?        00:00:00 /usr/sbin/httpd
apache    1419  1405  0 15:45 ?        00:00:00 /usr/sbin/httpd
apache    1420  1405  0 15:45 ?        00:00:00 /usr/sbin/httpd
root      2027  1477  0 17:53 ttyS0    00:00:00 grep http

【netstat -na | grep LISTENコマンドの返答】

tcp        0      0 0.0.0.0:61203               0.0.0.0:*                   LIST
EN
tcp        0      0 127.0.0.1:25                0.0.0.0:*                   LIST
EN
tcp        0      0 :::80                       :::*                        LIST
EN
tcp        0      0 :::61203                    :::*                        LIST
EN
tcp        0      0 ::1:25                      :::*                        LIST
EN
unix  2      [ ACC ]     STREAM     LISTENING     9871   private/defer
unix  2      [ ACC ]     STREAM     LISTENING     9875   private/trace
unix  2      [ ACC ]     STREAM     LISTENING     9879   private/verify
unix  2      [ ACC ]     STREAM     LISTENING     9883   public/flush
unix  2      [ ACC ]     STREAM     LISTENING     9887   private/proxymap
unix  2      [ ACC ]     STREAM     LISTENING     9891   private/proxywrite
unix  2      [ ACC ]     STREAM     LISTENING     9895   private/smtp
unix  2      [ ACC ]     STREAM     LISTENING     9899   private/relay
unix  2      [ ACC ]     STREAM     LISTENING     9903   public/showq
unix  2      [ ACC ]     STREAM     LISTENING     9907   private/error
unix  2      [ ACC ]     STREAM     LISTENING     9911   private/retry
unix  2      [ ACC ]     STREAM     LISTENING     9915   private/discard
unix  2      [ ACC ]     STREAM     LISTENING     9919   private/local
unix  2      [ ACC ]     STREAM     LISTENING     9923   private/virtual
unix  2      [ ACC ]     STREAM     LISTENING     9927   private/lmtp
unix  2      [ ACC ]     STREAM     LISTENING     9931   private/anvil
unix  2      [ ACC ]     STREAM     LISTENING     9935   private/scache
unix  2      [ ACC ]     STREAM     LISTENING     10056  /var/run/fail2ban/fail2
ban.sock
unix  2      [ ACC ]     STREAM     LISTENING     7279   @/com/ubuntu/upstart
unix  2      [ ACC ]     STREAM     LISTENING     9469   /var/run/acpid.socket
unix  2      [ ACC ]     STREAM     LISTENING     9852   public/cleanup

【エラーログ(less /var/log/httpd/error_log)】

[Thu Jan 19 11:37:29 2017] [notice] suEXEC mechanism enabled (wrapper: /usr/sbin
/suexec)
[Thu Jan 19 11:37:29 2017] [notice] suEXEC mechanism enabled (wrapper: /usr/sbin
/suexec)
[Thu Jan 19 11:37:29 2017] [notice] Digest: generating secret for digest authent
ication ...
[Thu Jan 19 11:37:29 2017] [notice] Digest: done
[Thu Jan 19 11:37:29 2017] [notice] Apache/2.2.15 (Unix) DAV/2 configured -- res
uming normal operations
[Thu Jan 19 12:08:57 2017] [notice] suEXEC mechanism enabled (wrapper: /usr/sbin
/suexec)
[Thu Jan 19 12:08:57 2017] [notice] Digest: generating secret for digest authent
ication ...
[Thu Jan 19 12:08:57 2017] [notice] Digest: done
[Thu Jan 19 12:08:57 2017] [notice] Apache/2.2.15 (Unix) DAV/2 configured -- res
uming normal operations
[Thu Jan 19 15:38:25 2017] [notice] suEXEC mechanism enabled (wrapper: /usr/sbin
/suexec)
[Thu Jan 19 15:38:25 2017] [notice] Digest: generating secret for digest authent
ication ...
[Thu Jan 19 15:38:25 2017] [notice] Digest: done
[Thu Jan 19 15:38:25 2017] [notice] Apache/2.2.15 (Unix) DAV/2 configured -- res
uming normal operations
[Thu Jan 19 15:45:43 2017] [notice] suEXEC mechanism enabled (wrapper: /usr/sbin
/suexec)
/var/log/httpd/error_log

###補足情報
・CentOS release 6.8 (Final)
・さくらのVPS

※関係ないかもしれませんが、まず最初の段階ではapacheは表示されていました。
次に無料のドメインを取得し、ネームサーバーに登録しました。
ここで、設定がよくわからなくなってしまったので、OSの再インストールをしました。
そして、ガイドにしたがい初期設定を行い今に至るといった感じです。

Comments

[kaz.Suenaga]

OSはなんでしょうか。またapacheはどのようにインストールしたものでしょうか。

[s.k]

ありがとうございます！CentOS release 6.8 (Final)です。すみません、後ろの質問がよくわからないのですが、さくらのVPSのipアドレスということでこたえられているでしょうか！？

[kaz.Suenaga]

OSについてはわかりました。2つめについてはCentOS公式リポジトリからの yumインストールなのか、ソースインストールなのか、といったapache自体のインストールをどのように行なったのか、という意味ですが、さくらのVPSを契約した際にインストールされているまま、ということですね。それであれば 公式リポジトリからの yum インストールとなりますので、結構です。

[s.k]

そうなんですね！

Answer 1

「-A INPUT -j REJECT --reject-with icmp-host-prohibited」ですべて拒否されるので、その後の INPUTチェインのルールは無意味です。
この REJECT の前に、80, 443 番ポートを許可するといいです。

Comments

[s.k]

TaichiYanagiyaさん
ありがとうございます！
記述の順番変えたらできました！

Answer 2

きちんと確認しましょう。
まずそもそもApacheが起動しているのか？

以下のコマンドでApacheのプロセスは確認できますか？

ps -ef | grep http

Apacheが起動してるなら待ち受けアドレスとポートがどうなっているか。

netstat -na | grep LISTEN

これで80/tcpは表示されていますか？

ここで初めてiptablesです。
もし外部に公開しているサーバでないのなら、一時的にiptablesを止めて(パケットを全て素通しにして)
アクセスしてみればよいと思います。
それでも意図通りに表示されないのならば、原因はiptablesにはありません。

iptablesなしなら表示できるのに、iptablesを有効にしたら表示できなくなるなら原因はiptablesです。
※繰り返しますがインターネットからアクセスできるような環境ならiptablesなしはお勧めしません。(別にパケットフィルタリングされているなら別ですが)

あと、2つめのコードブロックはsshd_configでしょうか。この話とは無関係かと思います。

Comments

[s.k]

ynakanoさん
ありがとうございます！
情報を追加、修正しました。

80/tcpは表示されているということでいんですかね…
2つめのコードブロックを削除しました。
パケットを素通し…

[s.k]

解決しました！
ありがとうございます！

Answer 3

さくらをあまり知らないから、よくない回答かもしれないですけど…

自分がよく試す方法はOSレベルではじかれているかをしらべる→さくらのサービス（ポートセキュリティ的なもの）があれば調べる

「まず最初の段階ではapacheは表示されていました。」→iptableやfirewalldなどいじっていなければ、OS事体はデフォルトでポートは全開放？
OSレベルでポートが開いているか確認したい場合に自分がよく使うコマンドはルート権限で#lsof -i:80です。ここでLSTEN表示なら大丈夫です。
コマンドが使用できないのなら、#yum install lsof -y

さくらのサービスのほうでポートセキュリティ的なものはあるのですか？

URLにdomainで指定して開けないのですか？IPで指定して開けないのですか？

Comments

[s.k]

iptables内コードの記述の順番を間違えていたみたいです！
-A INPUT -j REJECT --reject-with icmp-host-prohibitedの前にポート番号を記述すると無事表示されました。

URLにdomainで指定して開けないのですか？IPで指定して開けないのですか？

こちらはどちらも開けなかったです！

[mint.cherry]

解決したのですね。よかったです。

[s.k]

よかったですヽ(^o^)丿

Answer 4

確認事項が主に3つあります。

1. そもそも httpd が起動しているか
2. httpd が待ち受けしているポート番号は何番か
3. 確認のためにアクセスしているURLは何か

1.については ps ax|grep httpd もしくは service httpd status の結果を見ることでわかるかと思います。

2.については netstat -apnt|grep LISTEN|grep httpd の結果でわかると思います。

（いずれも root としてコマンド実行する必要があります）

httpd が起動していて、 80番ポートで待ち受けしているようであればネットワークの動作としては適切です。
その場合、3.に関わりますが、

• そのサーバまではアクセスできているが何らかのエラーが起こっている
• そもそもそのサーバへのアクセスができていない

の2つが考えられます。
これは apache のエラーログあたりを参照するとなにか情報があるかもしれません。

ひとまずこのあたりを調査してみるといかがでしょうか。

Comments

[s.k]

ありがとうございます！
1．起動してます！→httpd (pid 1405) is running...
2．こんな感じです！　→　tcp 0 0 :::80 :::* LIST
EN 1405/httpd　

[s.k]

エラーログも追記してみました！

[kaz.Suenaga]

※IPアドレスは開示するのはあまり良くないので編集してしまってください。。

3. については [http://(グローバルIPアドレス）] で間違いないでしょうか。

[s.k]

すみません。ググったのですが、グローバルなのかどうかよくわかりません！

[kaz.Suenaga]

先ほど書かれていたIPアドレスなのであればグローバルIPアドレスですので、問題ありません。

ブラウザのエラー画面からすると、ポートが開いていないというよりもiptables で遮断されている場合のものに見えますので（接続できない、ではなく応答が長い）、iptables の設定でしょうね。

切り分けのため、 `service iptables stop` でiptablesを止めた後にアクセスしてみてください。
それで正常に表示されるようであれば iptables の設定の問題と考えられますので、 `service iptables start` で再開後、設定を見なおしてください。

[s.k]

-A INPUT -j REJECT --reject-with icmp-host-prohibitedの前にポート番号を記述したらできました！！
ご親身にありがとうございます！大変勉強になりました！

Answer 5

①OSは予測ですがCensOS7の場合、iptablesではなくfirewalldが使われます。
その場合、設定はfirewalldに記載しなければなりません。

firewalldを使わず、iptablesで設定したい場合はこちらをご覧下さい。
http://mosuke5.hateblo.jp/entry/2014/09/20/180326

②また、設定が初期状態の場合、SELinuxを無効にしないとapacheが公開されません。

vi /etc/selinux/config
SELINUX=disabled

③他の方が上げている通り、ポートが開放されていないかもしれません。
気づかないうちに、httpd.confのPortの値を変更しているなども考えられますのでご確認下さい。

④apacheがそもそも起動していないかも知れません。構文エラーなどないか確認下さい。

⑤そもそもサーバーがネットに繋がっていない、またはサーバーに接続できない
pingなど打ってサーバーにコネクションすることが出来ないかも知れません。
サーバーからwebサーバーを見ることが出来て、他のPCから見れない場合はネットワークを確認する必要があります。

⑥URLが間違っている
apacheで設定しているURLはIP、またはドメイン、それとも仮想ドメインでしょうか。
仮想ドメインの場合、hostsの設定をしないと繋がりません。また、既に何らかのhostsが設定されていて、IPの向き先が違うかも知れません。

考えられる理由は見ましたが、これで直らない場合、もっと詳細の情報をあげていただくことになると思います。

Comments

[s.k]

-K_O-さん
ありがとうございます！
CentOS release 6.8 (Final)です。
リンク先では6での設定は難しいですかね？

[koji9412]

centos6.8ではデフォルトでiptablesを使っていると思いますのでリンク先のURLでは出来ないと思います。追記した内容についてもご確認下さい。

[koji9412]

あ、ちなみにSELINUX=disabled　は再起動が必須です

[s.k]

②はSELINUX=disabledで設定されていました！

[koji9412]

さくらVPSを利用しているとのことですが、httpd.confはデフォルトの状態でしょうか？

[s.k]

http.confはデフォルトだと思います！
一応、追加してコードを載せておきました！
⑥に関してはOSを再インストールしてから、ドメインはいじってないので問題はないかと思うのですが(*´Д｀)
⑤はPCが二つないので今はちょっと確認できないです…

[koji9412]

OS再インストールでIPが変わっていないか確認してください。
httpd.confが本当にデフォルトの場合で、ポートが空いていて、かつhttdが起動している(service httpd statusで見れます)あればIPをURLに叩けばきちんと見れるはずです。

[s.k]

IPv4の方でいいんですよね…
だとしたらipアドレスは変わってません！

[s.k]

httpdは起動してます。(runningとでていました。)
ポートが空いてない気がします…

[s.k]

解決しました！
ありがとうございます！

Answer 6

...
もしかして、80ポートの開け方って話ですか？
dpt:https だけ空いているので

【/etc/sysconfig/iptables】
-A INPUT -p tcp -m tcp --dport 80-j ACCEPT

を
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
の上に書いて、再読込してみては如何ですか？

Comments

[s.k]

質問にw_nagaiさんの言っていることをやってみましたが、apacheは表示されませんでした…
間違ってたらご指摘ください(*´Д｀)

[s.k]

解決しました！
ありがとうございます！

Answer 7

自己解決ではないですが、見やすいのでこちらに解決コードを書きます。

-A INPUT -j REJECT --reject-with icmp-host-prohibited

の上にポート番号を記述すれば許可される、下に書けば許可されないとのことです。

before

-A INPUT -j REJECT --reject-with icmp-host-prohibited
            ・
            ・
            ・
-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT

after

-A INPUT -p tcp -m tcp --dport 443 -j ACCEPT
-A INPUT -p tcp -m tcp --dport 80 -j ACCEPT
-A INPUT -j REJECT --reject-with icmp-host-prohibited

ありがとうございました。