Man page - ebtables-legacy(8)
Packages contains this manual
Available languages:
en jaManual
EBTABLES
名 前書 式
LEGACY
説 明
チ ェ イ ン
タ ー ゲ ッ ト
テ ー ブ ル
EBTABLES コ マ ン ド ラ イ ン 引 数
コ マ ン ド
そ の 他 コ マ ン ド
ル ー ル 指 定
MATCH EXTENSION
802_3
among
arp
ip
ip6
limit
mark_m
pkttype
stp
string
vlan
WATCHER EXTENSIONS
log
nflog
ulog
TARGET EXTENSIONS
arpreply
dnat
mark
redirect
snat
フ ァ イ ル
環 境 変 数
メ ー リ ン グ リ ス ト
関 連 項 目
名 前
ebtables-legacy (2.0.11@) - Ethernet bridge frame table の 管 理 (legacy)
書 式
ebtables
[
-t
table ]
-
[
ACDI
] chain rule
specification [match extensions] [watcher extensions] target
ebtables
[
-t
table ]
-P
chain
ACCEPT
|
DROP
|
RETURN
ebtables
[
-t
table ]
-F
[chain]
ebtables
[
-t
table ]
-Z
[chain]
ebtables
[
-t
table ]
-L
[
-Z
]
[chain] [ [
--Ln
] | [
--Lx
] ] [
--Lc
]
[
--Lmac2
]
ebtables
[
-t
table ]
-N
chain [
-P
ACCEPT
|
DROP
|
RETURN
]
ebtables
[
-t
table ]
-X
[chain]
ebtables
[
-t
table ]
-E
old-chain-name
new-chain-name
ebtables
[
-t
table ]
--init-table
ebtables
[
-t
table ] [
--atomic-file
file]
--atomic-commit
ebtables
[
-t
table ] [
--atomic-file
file]
--atomic-init
ebtables
[
-t
table ] [
--atomic-file
file]
--atomic-save
LEGACY
This tool uses the old xtables/setsockopt framework, and is a legacy version of ebtables. That means that a new, more modern tool exists with the same functionality using the nf_tables framework and you are encouraged to migrate now. The new binaries (known as ebtables-nft and formerly known as ebtables-compat) uses the same syntax and semantics than this legacy one.
You can still use this legacy tool. You should probably get some specific information from your Linux distribution or vendor. More docs are available at https://wiki.nftables.org
説 明
ebtables は (Linux カ ー ネ ル 内 に あ る ) Ethernet フ レ ー ム の 検 査 ル ー ル を 設 定 管 理 す る プ ロ グ ラ ム で あ る 。 iptables に 類 似 し て い る が 、 Ethernet プ ロ ト コ ル は IP プ ロ ト コ ル よ り も ず っ と 単 純 な の で 、 そ れ ほ ど 込 み 入 っ て は い な い 。
チ ェ イ ン
Linux カ ー ネ ル に は 3 つ の ebtables テ ー ブ ル が あ り 、 各 テ ー ブ ル に は 組 み 込 み チ ェ イ ン が あ る 。 こ れ ら の テ ー ブ ル を 使 っ て 、 機 能 ご と に 別 々 の ル ー ル セ ッ ト に 分 類 さ れ て い る 。 そ れ ぞ れ の ル ー ル セ ッ ト の こ と を チ ェ イ ン と 呼 ん で い る 。 チ ェ イ ン と は Ethernet フ レ ー ム に マ ッ チ ン グ す る 順 序 付 き の ル ー ル の リ ス ト で あ る 。 あ る ル ー ル が Ethernet フ レ ー ム に マ ッ チ ン グ す る と 、 処 理 の 指 定 に よ り そ の 対 象 フ レ ー ム に ど う い っ た 処 理 を 施 す か が 決 ま る 。 処 理 の 指 定 は 「 タ ー ゲ ッ ト 」 と 呼 ば れ て い る 。 現 在 の ル ー ル に マ ッ チ ン グ し な か っ た 場 合 は 、 次 の ル ー ル が 検 査 さ れ る 。 「 タ ー ゲ ッ ト 」 と し て 、 (ユ ー ザ 独 自 の ) 新 し い チ ェ イ ン を 作 る こ と も で き る 。 ユ ー ザ 定 義 チ ェ イ ン を 使 う と 、 ル ー ル を 線 形 検 索 す る の と 比 べ て パ フ ォ ー マ ン ス を 改 善 し た り 、 管 理 し や す い 構 造 化 さ れ た フ ィ ル タ リ ン グ ル ー ル を 構 成 し た り で き る 。
タ ー ゲ ッ ト
Ethernet
フ レ ー ム に 対
す る フ ァ イ ア
ウ ォ ー ル ル ー
ル 指 定 や 処 理
は 、 タ ー ゲ ッ
ト と 呼 ば れ る
。 フ レ ー ム が
ル ー ル に マ ッ
チ ン グ し た と
き に カ ー ネ ル
が 次 に 行 う 処
理 は 、 タ ー ゲ
ッ ト で 指 定 さ
れ る 。 タ ー ゲ
ッ ト は 次 の い
ず れ か の 値 を
と る :
ACCEPT
,
DROP
,
CONTINUE
,
RETURN
,
’extension’ の 1 つ (後
述 ) あ る い は ユ
ー ザ 定 義 チ ェ
イ ン へ の ジ ャ
ン プ 。
ACCEPT は フ レ ー ム を 通 過 さ せ る こ と を 意 味 す る 。 DROP は フ レ ー ム を 破 棄 す る こ と を 意 味 す る 。 BROUTING チ ェ イ ン 内 で は 、 ACCEPT と DROP は 異 な る 意 味 を 持 つ ( -t オ プ シ ョ ン で 表 示 さ れ る 情 報 を 参 照 す る こ と ) 。 CONTINUE は 次 の ル ー ル を チ ェ ッ ク す る こ と を 意 味 す る 。 こ の タ ー ゲ ッ ト は 、 例 え ば 、 あ る 地 点 を 通 過 し た フ レ ー ム の 数 を 数 え た り 、 ロ グ を 取 っ た り 、 フ レ ー ム に 複 数 の タ ー ゲ ッ ト を 適 用 す る の に 便 利 で あ る 。 RETURN は そ の チ ェ イ ン の 探 索 を 打 ち 切 り 、 前 の (呼 び 出 し 元 の ) チ ェ イ ン の 次 の ル ー ル か ら 再 開 す る こ と を 意 味 す る 。 target extension に つ い て は 、 こ の man ペ ー ジ の TARGET EXTENSION セ ク シ ョ ン を 参 照 す る こ と 。
テ ー ブ ル
前
述 の と お り Linux カ
ー ネ ル に は 3 つ
の ebtables テ ー ブ ル
が あ る 。
filter
,
nat
,
broute
と い う
名 前 が つ い て
い る 。 こ れ ら 3
つ の テ ー ブ ル
の う ち 、 filter テ ー
ブ ル が コ マ ン
ド の デ フ ォ ル
ト の テ ー ブ ル
で あ る 。 つ ま
り filter テ ー ブ ル に
つ い て は ebtables の
’-t filter’ 引 数 を 省
略 で き る 。 そ
の 他 2 つ の テ ー
ブ ル に つ い て
は -t 引 数 が 必 要
で あ る 。 ま た -t
引 数 を 使 う 際
は 、 ebtables コ マ ン
ド の 最 初 の 引
数 で な け れ ば
な ら な い 。
-t, --table
filter
が デ
フ ォ ル ト の テ
ー ブ ル で 、 3 つ
の 組 み 込 み チ
ェ イ ン が あ る :
INPUT
(送 信 先 MAC ア
ド レ ス の レ ベ
ル で ブ リ ッ ジ
自 身 に 送 ら れ
た フ レ ー ム に
対 し て マ ッ チ
す る ),
OUTPUT
(local で 生
成 さ れ た 、 あ
る い は (b)route さ れ
た フ レ ー ム に
対 し て マ ッ チ
す る ) と
FORWARD
(ブ
リ ッ ジ で 転 送
さ れ る フ レ ー
ム に 対 し て マ
ッ チ す る ) で あ
る 。
nat
は MAC ア ド レ ス
を 変 更 す る た
め に 使 わ れ る
も の で 、 3 つ の
組 み 込 み チ ェ
イ ン が あ る 。
PREROUTING
(フ レ ー ム
が 入 っ て き た
時 点 で 変 更 す
る た め ),
OUTPUT
(local で
生 成 さ れ た 、
あ る い は (b)route さ
れ た フ レ ー ム
を ブ リ ッ ジ す
る 前 に 変 更 す
る た め ) と
POSTROUTING
(フ レ ー ム が 出
力 さ れ る 時 点
で 変 更 す る た
め ) で あ る 。 PREROUTING
と POSTROUTING の 名 称 に
つ い て は 、 よ
り 正 確 に は PREFORWARDING,
POSTFORWARDING と 呼 ば れ る
べ き も の だ が
、 iptables と ebtables の 用
語 を 合 わ せ た
ほ う が 簡 単 だ
と い う こ と で
、 こ の よ う に
な っ て い る 。
も し こ の デ フ
ォ ル ト の 名 称
が 気 に 入 ら な
い 場 合 は 、 (
-E
オ プ シ ョ ン で )
変 更 で き る 。
broute
で brouter を 作 る
こ と が で き て
、 こ の テ ー ブ
ル に は
BROUTING
と い
う 組 み 込 み チ
ェ イ ン が 1 つ だ
け あ る 。
DROP
と
ACCEPT
タ ー ゲ ッ ト
は broute テ ー ブ ル 内
で は 特 殊 な 意
味 を 持 っ て い
る (実 装 を 単 純
化 す る た め に
、 説 明 的 な 名
称 を あ え て 使
っ て い な い ) 。
DROP
は フ レ ー ム
が route さ れ る こ と
を 意 味 し 、
ACCEPT
は フ レ ー ム が
ブ リ ッ ジ さ れ
る こ と を 意 味
す る 。
BROUTING
チ ェ
イ ン は 、 と て
も 早 い 段 階 で
検 査 さ れ る 。
た だ し ブ リ ッ
ジ ポ ー ト に 入
っ て き て 転 送
状 態 に な っ て
い る フ レ ー ム
に つ い て の み
検 査 さ れ る 。
通 常 こ れ ら の
フ レ ー ム は ブ
リ ッ ジ さ れ る
が 、 こ こ で そ
の 処 理 を 変 更
で き る 。
redirect
タ
ー ゲ ッ ト が 便
利 だ 。
EBTABLES コ マ ン ド ラ イ ン 引 数
最 初 の ’-t table’ コ マ ン ド 引 数 の 後 に 続 く 引 数 は 、 い く つ か の グ ル ー プ に 分 類 で き る 。 「 コ マ ン ド 」 「 そ の 他 コ マ ン ド 」 「 ル ー ル 指 定 (rule specification) 」 「 match extension」 「 watch extension」 と 「 target extension」 で あ る 。
コ マ ン ド
ebtables
コ マ ン ド は -t 引
数 で 定 義 さ れ
た テ ー ブ ル に
対 し て 行 う 処
理 を 指 定 す る
。 -t 引 数 を 使 わ
な か っ た 場 合
、 デ フ ォ ル ト
の filter テ ー ブ ル に
適 用 さ れ る 。
一 度 に は 1 つ の
コ マ ン ド し か
使 え な い 。
-L
と
-Z
の 組 み 合
わ せ 、
-N
と
-P
の 組 み 合 わ せ
、 あ る い は
--atomic-file
を 使 っ た
と き は 例 外 と
し て 複 数 の コ
マ ン ド を 使 え
る 。
-A, --append
チ ェ イ ン の 最 後 に ル ー ル を 追 加 す る 。
-D, --delete
チ ェ イ ン か ら 指 定 し た ル ー ル を 削 除 す る 。 二 通 り の 使 い 方 が あ る 。 一 つ 目 の 使 い 方 は 、 ル ー ル 番 号 の 範 囲 を ( -D 直 後 に ) 指 定 す る 方 法 で あ る 。 構 文 : start_nr [ :end_nr ] ( -L --Ln を 使 っ て ル ー ル 番 号 を 表 示 で き る ) end_nr が 省 略 さ れ た 場 合 は 、 start_nr 以 降 の ル ー ル す べ て が 削 除 さ れ る 。 負 の 数 も 使 え る が 、 詳 細 は -I 引 数 を 参 照 す る こ と 。 二 つ 目 の 使 い 方 は 、 追 加 時 と 全 く 同 じ 完 全 な ル ー ル を 使 っ て 指 定 す る 方 法 で あ る 。 合 致 す る ル ー ル の う ち 、 一 番 最 初 に 見 つ か っ た も の 、 つ ま り 最 も 小 さ な (正 の ) ル ー ル 番 号 の も の の み が 削 除 さ れ る 。
-C, --change-counters
チ ェ イ
ン 内 の 指 定 し
た ル ー ル の カ
ウ ン タ を 変 更
す る 。 二 通 り
の 使 い 方 が あ
る 。 一 つ 目 は
ル ー ル 番 号 の
範 囲 を 使 っ て
(
-C
直 後 に ) 指 定
す る 方 法 で あ
る 。 構 文 :
start_nr
[
:end_nr
] (
-L --Ln
を
使 っ て ル ー ル
番 号 を 表 示 で
き る ) 詳 細 は
-D
と 同 様 で あ る
。 二 つ 目 の 使
い 方 は 、 追 加
時 と 全 く 同 じ
完 全 な ル ー ル
を 使 っ て 指 定
す る 方 法 で あ
る 。 合 致 す る
ル ー ル の う ち
、 一 番 最 初 に
見 つ か っ た も
の 、 つ ま り 最
も 小 さ な (正 の )
ル ー ル 番 号 の
カ ウ ン タ の み
が 変 更 さ れ る
。 カ ウ ン タ 値
は 、 一 つ 目 の
方 法 で は ル ー
ル 番 号 の 範 囲
の 直 後 に 指 定
し 、 二 つ 目 の
方 法 で は
-C
の
直 後 に 指 定 す
る 。 最 初 に パ
ケ ッ ト カ ウ ン
タ 値 を 指 定 し
、 次 に バ イ ト
カ ウ ン タ 値 を
指 定 す る 。 カ
ウ ン タ 値 が ’+’
で 始 ま っ て い
る 場 合 、 カ ウ
ン タ 値 は 現 在
値 に そ れ ぞ れ
追 加 し た 値 に
な る 。 カ ウ ン
タ 値 が ’-’ で 始
ま る 場 合 は 、
現 在 値 か ら 差
し 引 い た 値 に
な る 。 境 界 値
の 検 査 は 行 わ
れ な い 。
’+’ や ’-’ で 始
ま ら な か っ た
場 合 は 、 指 定
し た 値 そ の も
の に 変 更 さ れ
る 。
-I, --insert
指 定 し た ル ー ル 番 号 の 位 置 に ル ー ル を 追 加 す る 。 ル ー ル 番 号 が 未 指 定 の 場 合 、 チ ェ イ ン の 先 頭 に 追 加 さ れ る 。 ル ー ル が N 個 あ っ た 場 合 、 -N か ら N+1 の 間 の 数 を 指 定 で き る 。 正 の 数 i が あ っ た と し て 、 i と i-N-1 は チ ェ イ ン 上 で の 同 じ 挿 入 位 置 と な る 。 ル ー ル 番 号 0 は チ ェ イ ン の 最 後 の ル ー ル を 示 し 、 -A コ マ ン ド を 使 っ た と き と 同 じ に な る 。 0 よ り 小 さ い ル ー ル 番 号 は 複 数 の ル ー ル を 一 つ の チ ェ イ ン に 挿 入 す る 際 に 便 利 で あ る 。
-P, --policy
チ ェ イ ン の ポ リ シ ー を 、 指 定 し た タ ー ゲ ッ ト に 設 定 す る 。 ポ リ シ ー は ACCEPT , DROP , RETURN の い ず れ か で あ る 。
-F, --flush
指 定 し た チ ェ イ ン を flush す る 。 チ ェ イ ン 指 定 が な い 場 合 、 全 て の チ ェ イ ン が flush さ れ る 。 flush で は チ ェ イ ン の ポ リ シ ー は 変 更 さ れ な い 。
-Z, --zero
指 定 し た チ ェ イ ン の カ ウ ン タ を 0 に す る 。 チ ェ イ ン 指 定 が な い 場 合 、 全 て の チ ェ イ ン で の カ ウ ン タ が 0 に な る 。 -Z コ マ ン ド は -L と 組 み 合 わ せ て 使 え る 。 -Z と -L を 同 時 に 使 う と 、 0 に さ れ る 前 の カ ウ ン タ 値 が 出 力 さ れ る 。
-L, --list
指 定 し
た チ ェ イ ン に
あ る ル ー ル リ
ス ト を 出 力 す
る 。 チ ェ イ ン
指 定 が な い 場
合 、 全 て の チ
ェ イ ン に つ い
て リ ス ト が 出
力 さ れ る 。
-L
コ マ ン ド の 出
力 形 式 に は 次
の オ プ シ ョ ン
が あ る 。
--Ln
全 て の ル ー ル
の 行 頭 に ル ー
ル 番 号 を 出 力
す る 。
--Lx
と は
組 み 合 わ せ ら
れ な い 。
--Lc
全 て の ル ー ル
の 行 末 に ル ー
ル 番 号 を 出 力
す る 。 フ レ ー
ム カ ウ ン タ 値 (pcnt)
と バ イ ト カ ウ
ン タ 値 (bcnt) の 両 方
が 表 示 さ れ る
。 フ レ ー ム カ
ウ ン タ 値 は 、
そ の ル ー ル に
マ ッ チ ン グ し
た 回 数 を 示 し
て い て 、 バ イ
ト カ ウ ン タ 値
は こ れ ら の フ
レ ー ム の サ イ
ズ を 合 計 し た
値 と な る 。
--Lx
オ プ シ ョ ン と
組 み 合 わ せ る
と 、 カ ウ ン タ
値 は
-c <pcnt> <bcnt>
の 形 式 で 出 力
さ れ る 。
--Lx
チ ェ イ ン の 内
容 を 再 構 築 で
き る よ う な ebtables
コ マ ン ド の 形
式 で 出 力 す る
。 チ ェ イ ン 指
定 が な い 場 合
、 (も し あ れ ば )
ユ ー ザ 定 義 の
チ ェ イ ン を 作
成 す る コ マ ン
ド も 含 め て 、
テ ー ブ ル 全 体
を 構 築 で き る
ebtables コ マ ン ド が
出 力 さ れ る 。
こ の コ マ ン ド
を 使 っ て ebtables の
起 動 ・ 再 起 動
ス ク リ プ ト を
作 成 で き る 。
例 え ば こ の コ
マ ン ド の 出 力
を シ ス テ ム 起
動 時 に 使 え る
。
--Lx
オ プ シ ョ
ン は
--Ln
オ プ シ
ョ ン と 互 換 性
が な い 。
--Lx
を
--Lc
と 同 時 に 使
う と 、 カ ウ ン
タ が
-c <pcnt> <bcnt>
の 形 式 で 出 力
さ れ る 。
--Lmac2
必 要 に 応 じ て
ア ド レ ス 先 頭
に 0 パ デ ィ ン グ
し て 、 全 MAC ア ド
レ ス を 同 じ 長
さ で 表 示 す る
。 デ フ ォ ル ト
の 表 示 形 式 で
は 、 ア ド レ ス
先 頭 の 0 は 省 略
さ れ る 。
-N, --new-chain
指 定 し た 名 前 の 新 し い ユ ー ザ 定 義 チ ェ イ ン を 作 る 。 ユ ー ザ 定 義 チ ェ イ ン の 個 数 の 上 限 は 、 作 り 得 る 名 前 の 数 に 限 ら れ る 。 ユ ー ザ 定 義 の チ ェ イ ン 名 は 31 文 字 ま で で あ る 。 ユ ー ザ 定 義 チ ェ イ ン の デ フ ォ ル ト の ポ リ シ ー は ACCEPT で あ る 。 -P コ マ ン ド を -N コ マ ン ド と 同 時 に 使 う こ と で 新 規 チ ェ イ ン の ポ リ シ ー を 標 準 の タ ー ゲ ッ ト と 異 な る も の で 初 期 化 で き る 。 こ の 場 合 -P コ マ ン ド に チ ェ イ ン 名 の 指 定 は 不 要 で あ る 。
-X, --delete-chain
ユ ー ザ 定 義 チ ェ イ ン を 削 除 す る 。 対 象 チ ェ イ ン を 参 照 し て い る (jump し て く る ) も の が 残 っ て い て は い け な い 。 残 っ て い る と ebtables は 削 除 を 拒 否 す る 。 チ ェ イ ン 指 定 が な い 場 合 、 参 照 さ れ て い な い 全 て の ユ ー ザ 定 義 チ ェ イ ン が 削 除 さ れ る 。
-E, --rename-chain
指 定 し た チ ェ イ ン を 新 し い 名 前 に 変 更 す る 。 ユ ー ザ 定 義 チ ェ イ ン の 名 前 を 変 更 で き る の は も ち ろ ん の こ と 、 標 準 チ ェ イ ン の 名 前 を 好 き な も の に 変 更 す る こ と も で き る 。 例 え ば PREROUTING で は な く PREFORWARDING に し た い 場 合 、 -E コ マ ン ド で PREROUTING チ ェ イ ン の 名 前 を 変 更 で き る 。 標 準 チ ェ イ ン の 名 前 を 変 更 し て い た ら 、 ebtables メ ー リ ン グ リ ス ト に 投 稿 す る 際 に は 、 そ の こ と に つ い て 言 及 す る こ と 。 こ の ebtables 標 準 チ ェ イ ン の 名 称 変 更 で は 、 カ ー ネ ル ebtables テ ー ブ ル の 構 造 は 影 響 を 受 け な い 。
--init-table
現 在 の テ ー ブ ル デ ー タ を 初 期 テ ー ブ ル デ ー タ で 置 き 換 え る 。
--atomic-init
テ ー ブ ル の カ ー ネ ル の 初 期 デ ー タ を 指 定 し た フ ァ イ ル に コ ピ ー す る 。 ル ー ル が フ ァ イ ル に 追 加 さ れ た 後 の 最 初 の 処 理 に で き る 。 フ ァ イ ル 名 は --atomic-file コ マ ン ド を 使 っ た 指 定 か 、 あ る い は EBTABLES_ATOMIC_FILE 環 境 変 数 で 指 定 で き る 。
--atomic-save
カ ー ネ ル の 現 在 の テ ー ブ ル デ ー タ を 指 定 し た フ ァ イ ル に コ ピ ー す る 。 ル ー ル が フ ァ イ ル に 追 加 さ れ た 後 の 最 初 の 処 理 に で き る 。 フ ァ イ ル 名 は --atomic-file コ マ ン ド を 使 っ た 指 定 か 、 あ る い は EBTABLES_ATOMIC_FILE 環 境 変 数 で 指 定 で き る 。
--atomic-commit
カ ー ネ ル テ ー ブ ル デ ー タ を 指 定 し た フ ァ イ ル に あ る デ ー タ で 置 き 換 え る 。 あ る テ ー ブ ル の 全 ル ー ル を カ ー ネ ル に 一 度 に ロ ー ド し 、 カ ー ネ ル 時 間 を 大 幅 に 節 約 し つ つ も ア ト ミ ッ ク な テ ー ブ ル の 更 新 を 行 う こ と が で き る の で 、 便 利 な コ マ ン ド で あ る 。 テ ー ブ ル デ ー タ が 入 っ て い る フ ァ イ ル は --atomic-init や --atomic-save コ マ ン ド で 出 力 し た 起 動 フ ァ イ ル で 構 成 す る 。 そ の 後 --atomic-file コ マ ン ド で ル ー ル を 構 成 し た り EBTABLES_ATOMIC_FILE 環 境 変 数 を 使 う こ と で 、 フ ァ イ ル を 拡 張 し た り し て 完 全 な テ ー ブ ル を 組 み 上 げ た 後 に カ ー ネ ル に 登 録 で き る 。 こ の コ マ ン ド は boot ス ク リ プ ト で ebtables を 高 速 に 組 み 上 げ る の に 大 変 便 利 で あ る 。
そ の 他 コ マ ン ド
-V, --version
ebtables ユ ー ザ ス ペ ー ス プ ロ グ ラ ム の バ ー ジ ョ ン を 表 示 す る 。
-h, --help [ list of module names ]
コ マ ン ド の 構 文 に つ い て の 簡 単 な 説 明 を 出 力 す る 。 extension の 名 前 を 指 定 す る こ と も で き て 、 そ う す る と ebtables は こ れ ら の extension の ヘ ル プ を 表 示 す る 。 例 え ば ebtables -h snat log ip arp で あ る 。 list_extensions と 指 定 す る と 、 ユ ー ザ ス ペ ー ス ユ ー テ ィ リ テ ィ で サ ポ ー ト さ れ て い る 全 extension を 出 力 す る 。
-j, --jump target
ル ー ル の タ ー ゲ ッ ト で あ る 。 こ れ は 次 の い ず れ か の 値 を と る : ACCEPT , DROP , CONTINUE , RETURN , target extension ( TARGET EXTENSION を 参 照 す る こ と ) あ る い は ユ ー ザ 定 義 チ ェ イ ン 名 。
--atomic-file file
指 定 し た フ ァ イ ル に 対 し て コ マ ン ド を 実 行 す る 。 操 作 対 象 の テ ー ブ ル の デ ー タ は フ ァ イ ル か ら 読 み 取 っ て 構 築 し 、 操 作 し た 結 果 は 再 び フ ァ イ ル に 書 き 戻 さ れ る 。 指 定 す る 際 は コ マ ン ド 指 定 の 前 に 置 く べ き で あ る 。 他 の や り 方 と し て は 、 EBTABLES_ATOMIC_FILE 環 境 変 数 を 使 う 方 法 が あ る 。
-M, --modprobe program
カ ー ネ ル と や り 取 り す る 際 に 、 指 定 し た program が ロ ー ド さ れ て い な い カ ー ネ ル モ ジ ュ ー ル を 自 動 的 に ロ ー ド す る よ う に す る 。
--concurrent
ebtables カ ー ネ ル テ ー ブ ル を 更 新 す る ス ク リ プ ト が 同 時 に 複 数 実 行 さ れ て も 大 丈 夫 な よ う に 、 フ ァ イ ル ロ ッ ク を 使 用 す る 。
ル ー ル 指 定
ル
ー ル 指 定 は 次
の コ マ ン ド ラ
イ ン 引 数 で (追
加 、 削 除 の コ
マ ン ド で 使 う
こ と で ) 構 築 さ
れ る 。 "!" オ プ
シ ョ ン を 指 定
の 前 に つ け る
と 、 そ の 否 定
の 意 味 に な る
。 下 記 の 標 準
ル ー ル 指 定 の
他 に も い く つ
か 興 味 深 い 引
数 が あ る 。
MATCH
EXTENSION
と
WATCHER EXTENSION
を
参 照 す る こ と
。
-p, --protocol
[!]
protocol
フ レ ー
ム を 構 成 し て
い る プ ロ ト コ
ル 。
0x0600
よ り 大
き い hex の 数 値 か
、 名 前 (例 え ば
ARP
)、
LENGTH
を 指 定
で き る 。 (802.2/802.3ネ
ッ ト ワ ー ク に
お い て は ) Ethernet フ
レ ー ム の プ ロ
ト コ ル フ ィ ー
ル ド は 、 ヘ ッ
ダ の 長 さ を 表
す こ と も で き
る 。 値 が
0x0600
よ
り 小 さ い か 等
し い と き は 、
そ の 値 は ヘ ッ
ダ サ イ ズ と 等
し く 、 プ ロ ト
コ ル 番 号 と し
て 扱 っ て は い
け な い 。 そ の
か わ り 、 プ ロ
ト コ ル フ ィ ー
ル ド が 長 さ フ
ィ ー ル ド と し
て 使 わ れ て い
る 全 て の フ レ
ー ム は 、 同 じ
’protocol’ と し て 扱
わ れ る 。 ebtables で
は 、 こ れ ら の
フ レ ー ム の プ
ロ ト コ ル を 表
す 名 前 は
LENGTH
で
あ る 。
/etc/ethertypes
を 使 っ て
、 プ ロ ト コ ル
を 指 定 す る hex 数
値 の 代 わ り に
可 読 な 文 字 列
を 指 定 す る こ
と が で き る 。
例 え ば
0x0800
は
IPV4
で 表 現 で き
る 。 こ の フ ァ
イ ル で は 大 文
字 小 文 字 は 区
別 さ れ な い 。
詳 細 は フ ァ イ
ル を 参 照 す る
こ と 。
--proto
フ ラ
グ は こ の オ プ
シ ョ ン の エ イ
リ ア ス で あ る
。
-i, --in-interface [!] name
フ レ ー ム を 受 信 し た イ ン タ ー フ ェ ー ス (ブ リ ッ ジ ポ ー ト ) を 指 定 す る (こ の オ プ シ ョ ン は INPUT , FORWARD , PREROUTING , BROUTING チ ェ イ ン で 有 効 ) 。 イ ン タ ー フ ェ ー ス 名 が ’+’ で 終 わ っ て い る 場 合 、 そ の 名 前 で 始 ま る (’+’ 自 体 は 除 く ) イ ン タ ー フ ェ ー ス 名 全 て が マ ッ チ ン グ す る 。 --in-if は こ の オ プ シ ョ ン の エ イ リ ア ス で あ る 。
--logical-in [!] name
will match. フ レ ー ム を 受 信 し た (論 理 的 な ) ブ リ ッ ジ イ ン タ ー フ ェ ー ス を 指 定 す る (こ の オ プ シ ョ ン は INPUT , FORWARD , PREROUTING , BROUTING チ ェ イ ン で 有 効 ) 。 イ ン タ ー フ ェ ー ス 名 が ’+’ で 終 わ っ て い る 場 合 、 そ の 名 前 で 始 ま る (’+’ 自 体 は 除 く ) イ ン タ ー フ ェ ー ス 名 全 て が マ ッ チ ン グ す る 。
-o, --out-interface [!] name
フ レ ー ム が 送 出 さ れ る イ ン タ ー フ ェ ー ス (ブ リ ッ ジ ポ ー ト ) を 指 定 す る (こ の オ プ シ ョ ン は OUTPUT , FORWARD , POSTROUTING チ ェ イ ン で 有 効 ) 。 イ ン タ ー フ ェ ー ス 名 が ’+’ で 終 わ っ て い る 場 合 、 そ の 名 前 で 始 ま る (’+’ 自 体 は 除 く ) イ ン タ ー フ ェ ー ス 名 全 て が マ ッ チ ン グ す る 。 --out-if は こ の オ プ シ ョ ン の エ イ リ ア ス で あ る 。
--logical-out [!] name
フ レ ー ム が 送 出 さ れ る (論 理 的 な ) ブ リ ッ ジ イ ン タ ー フ ェ ー ス を 指 定 す る (こ の オ プ シ ョ ン は OUTPUT , FORWARD , POSTROUTING チ ェ イ ン で 有 効 ) 。 イ ン タ ー フ ェ ー ス 名 が ’+’ で 終 わ っ て い る 場 合 、 そ の 名 前 で 始 ま る (’+’ 自 体 は 除 く ) イ ン タ ー フ ェ ー ス 名 全 て が マ ッ チ ン グ す る 。
-s, --source [!] address [/ mask ]
送 信 元 MAC
ア ド レ ス 。 マ
ス ク と ア ド レ
ス の 両 方 と も hex
数 値 6 つ を コ ロ
ン 区 切 り で 記
述 す る 。 あ る
い は Unicast, Multicast, Broadcast, BGA (Bridge
Group Address) も 指 定 で き
る :
Unicast
=00:00:00:00:00:00/01:00:00:00:00:00,
Multicast
=01:00:00:00:00:00/01:00:00:00:00:00,
Broadcast
=ff:ff:ff:ff:ff:ff/ff:ff:ff:ff:ff:ff,
BGA
=01:80:c2:00:00:00/ff:ff:ff:ff:ff:ff で
あ る 。 ブ ロ ー
ド キ ャ ス ト ア
ド レ ス は マ ル
チ キ ャ ス ト ア
ド レ ス に も マ
ッ チ ン グ す る
点 に 注 意 す る
こ と 。
--src
は こ
の オ プ シ ョ ン
の エ イ リ ア ス
で あ る 。
-d, --destination [!] address [/ mask ]
送 信 先 MAC ア ド レ ス 。 MAC ア ド レ ス の 詳 細 に つ い て は -s オ プ シ ョ ン を 参 照 す る こ と 。 --dst フ ラ グ は こ の オ プ シ ョ ン の エ イ リ ア ス で あ る 。
-c, --set-counter pcnt bcnt
-A や -I と 組 み 合 わ せ た 場 合 、 新 し い ル ー ル の pcnt , bcnt そ れ ぞ れ が 指 定 し た 値 に な る 。 -C や -D コ マ ン ド と 組 み 合 わ せ た 場 合 、 pcnt と bcnt が パ ケ ッ ト カ ウ ン ト 値 と バ イ ト カ ウ ン ト 値 と 等 し い ル ー ル の み が マ ッ チ ン グ す る 。
MATCH EXTENSION
ebtables extension は ユ ー ザ ス ペ ー ス ツ ー ル に 動 的 に 組 み 込 ま れ る 。 iptables コ マ ン ド で -m オ プ シ ョ ン を 使 っ て い た 時 の よ う に 、 明 示 的 に ロ ー ド す る 必 要 は な い 。 こ れ ら の extension は 、 ebtables core コ ー ド を 補 足 す る も の と し て 、 カ ー ネ ル モ ジ ュ ー ル で サ ポ ー ト さ れ て い る 機 能 を 扱 っ て い る 。
802_3
802.3 DSAP/SSAP
フ ィ ー ル ド あ
る い は SNAP タ イ プ
を 指 定 す る 。
プ ロ ト コ ル は
LENGTH
と し て 指 定
さ れ て い な け
れ ば な ら な い
(上 記
-p
オ プ シ
ョ ン を 参 照 ) 。
--802_3-sap
[!]
sap
DSAP と SSAP は 802.3 中 の 2 つ の 1 バ イ ト フ ィ ー ル ド で あ る 。 こ れ ら の バ イ ト は 常 に 同 じ な の で 、 1 バ イ ト (hex 数 値 で ) の 指 定 の み 必 要 で あ る 。
--802_3-type [!] type
802.3 DSAP と SSAP の 値 が 0xaa の 場 合 、 SNAP タ イ プ フ ィ ー ル ド が ペ イ ロ ー ド プ ロ ト コ ル を 決 定 す る 。 こ れ は 2 つ の 1 バ イ ト 引 数 で あ る (hex 数 値 で ) 。 802.3 DSAP/SSAP 0xaa フ レ ー ム の み が 検 査 さ れ る 。
among
MAC ア
ド レ ス あ る い
は MAC/IP ア ド レ ス の
組 に 対 し て 、 MAC
ア ド レ ス あ る
い は MAC/IP ア ド レ ス
の 組 の リ ス ト
を マ ッ チ ン グ
さ せ る 。 リ ス
ト の エ ン ト リ
は
xx:xx:xx:xx:xx:xx[=ip.ip.ip.ip][,]
の
書 式 で 指 定 す
る 。 リ ス ト の
エ ン ト リ は コ
ン マ で 区 切 る
。 IP ア ド レ ス を MAC
ア ド レ ス と 組
み 合 わ せ る の
は オ プ シ ョ ン
で あ る 。 同 一 MAC
ア ド レ ス で IP ア
ド レ ス が 異 な
る と い う 複 数
の MAC/IP ア ド レ ス の
組 を 登 録 し て
も 構 わ な い 。 MAC
ア ド レ ス が リ
ス ト の ど の エ
ン ト リ と も マ
ッ チ ン グ し な
か っ た 場 合 、
フ レ ー ム は そ
の ル ー ル に マ
ッ チ ン グ し な
か っ た こ と に
な る ("!" が 使 わ
れ て い な い 場
合 ) 。
--among-dst
[!]
list
送 信 先 MAC と リ ス ト を 比 較 す る 。 も し Ethernet フ レ ー ム が IPv4 あ る い は ARP で あ れ ば 、 リ ス ト 中 に あ る 送 信 先 MAC/IP ア ド レ ス ペ ア と の 比 較 も 可 能 で あ る 。
--among-src [!] list
送 信 元 MAC と リ ス ト を 比 較 す る 。 も し Ethernet フ レ ー ム が IPv4 あ る い は ARP で あ れ ば 、 リ ス ト に あ る 送 信 元 MAC/IP ア ド レ ス ペ ア と の 比 較 も 可 能 で あ る 。
--among-dst-file [!] file
--among-dst と 同 様 だ が 、 指 定 し た フ ァ イ ル か ら リ ス ト を 読 み 込 む 。
--among-src-file [!] file
--among-src と 同 様 だ が 、 指 定 し た フ ァ イ ル か ら リ ス ト を 読 み 込 む 。
arp
(R)ARP フ
ィ ー ル ド を 指
定 す る 。 プ ロ
ト コ ル は
ARP
あ
る い は
RARP
で な
け れ ば な ら な
い 。
--arp-opcode
[!]
opcode
(R)ARP opcode (10 進 数 か 文 字 列 。 詳 細 は ebtables -h arp 参 照 す る こ と )
--arp-htype [!] hardware type
ハ ー ド ウ ェ ア タ イ プ で 、 10 進 数 か 文 字 列 Ethernet ( type 1 に な る )。 ほ と ん ど の (R)ARP パ ケ ッ ト で は ハ ー ド ウ ェ ア タ イ プ が Ethernet に な る 。
--arp-ptype [!] protocol type
(R)ARP で 使 わ れ て い る プ ロ ト コ ル タ イ プ (hex あ る い は 0x0800 を 意 味 す る 文 字 列 IPv4 )。 ほ と ん ど の (R)ARP パ ケ ッ ト で は プ ロ ト コ ル タ イ プ は IPv4 に な る 。
--arp-ip-src [!] address [/ mask ]
(R)ARP 送 信 元 IP ア ド レ ス 指 定 。
--arp-ip-dst [!] address [/ mask ]
(R)ARP 送 信 先 IP ア ド レ ス 指 定 。
--arp-mac-src [!] address [/ mask ]
(R)ARP 送 信 元 MAC ア ド レ ス 指 定 。
--arp-mac-dst [!] address [/ mask ]
(R)ARP 送 信 先 MAC ア ド レ ス 指 定 。
[!] --arp-gratuitous
ARP gratuitous パ ケ ッ ト を 検 査 す る : ARP ヘ ッ ダ 中 の 送 信 元 IPv4 ア ド レ ス と 送 信 先 IPv4 ア ド レ ス が 等 し い も の を 検 査 す る 。
ip
IPv4 フ
ィ ー ル ド を 指
定 す る 。 プ ロ
ト コ ル は
IPv4
で
な け れ ば な ら
な い 。
--ip-source
[!]
address
[/
mask
]
送 信 元 IP ア ド レ ス 。 --ip-src フ ラ グ は こ の オ プ シ ョ ン の エ イ リ ア ス で あ る 。
--ip-destination [!] address [/ mask ]
--ip-dst 送 信 先 IP ア ド レ ス 。 --ip-dst フ ラ グ は こ の オ プ シ ョ ン の エ イ リ ア ス で あ る 。
--ip-tos [!] tos
IP サ ー ビ ス タ イ プ を 、 hex 表 記 の 数 値 で 。 IPv4 の も の で あ る 。
--ip-protocol [!] protocol
IP プ ロ ト コ ル 。 --ip-proto フ ラ グ は こ の オ プ シ ョ ン の エ イ リ ア ス で あ る 。
--ip-source-port [!] port1 [: port2 ]
IP プ ロ ト コ ル 6 (TCP), 17 (UDP), 33 (DCCP), 132 (SCTP) に お け る 、 送 信 元 ポ ー ト あ る い は ポ ー ト の 範 囲 。 --ip-protocol オ プ シ ョ ン で TCP , UDP , DCCP , SCTP の い ず れ か が 指 定 さ れ て い な け れ ば な ら な い 。 port1 が 省 略 さ れ た 場 合 は 0:port2 が 使 わ れ る 。 port2 が 省 略 さ れ た が コ ロ ン が 指 定 さ れ た 場 合 は port1:65535 が 使 わ れ る 。 --ip-sport フ ラ グ は こ の オ プ シ ョ ン の エ イ リ ア ス で あ る 。
--ip-destination-port [!] port1 [: port2 ]
IP プ ロ ト コ ル 6 (TCP), 17 (UDP), 33 (DCCP), 132 (SCTP) に お け る 、 送 信 先 ポ ー ト あ る い は ポ ー ト の 範 囲 。 --ip-protocol オ プ シ ョ ン で TCP , UDP , DCCP , SCTP の い ず れ か が 指 定 さ れ て い な け れ ば な ら な い 。 port1 が 省 略 さ れ た 場 合 は 0:port2 が 使 わ れ る 。 port2 が 省 略 さ れ た が コ ロ ン が 指 定 さ れ た 場 合 は port1:65535 が 使 わ れ る 。 --ip-dport フ ラ グ は こ の オ プ シ ョ ン の エ イ リ ア ス で あ る 。
ip6
IPv6 の
フ ィ ー ル ド を
指 定 す る 。 プ
ロ ト コ ル は
IPv6
で な け れ ば な
ら な い 。
--ip6-source
[!]
address
[/
mask
]
送 信 元 IPv6 ア ド レ ス 。 --ipv6-src フ ラ グ は こ の オ プ シ ョ ン の エ イ リ ア ス で あ る 。
--ip6-destination [!] address [/ mask ]
送 信 先 IPv6 ア ド レ ス 。 --ipv6-dst フ ラ グ は こ の オ プ シ ョ ン の エ イ リ ア ス で あ る 。
--ip6-tclass [!] tclass
IPv6 ト ラ フ ィ ッ ク ク ラ ス を hex 表 記 の 数 値 で 。
--ip6-protocol [!] protocol
IP プ ロ ト コ ル 。 --ip6-proto フ ラ グ は こ の オ プ シ ョ ン の エ イ リ ア ス で あ る 。
--ip6-source-port [!] port1 [: port2 ]
IP プ ロ ト コ ル 6 (TCP), 17 (UDP), 33 (DCCP), 132 (SCTP) に お け る 、 送 信 元 ポ ー ト あ る い は ポ ー ト の 範 囲 。 --ip6-protocol オ プ シ ョ ン で TCP , UDP , DCCP , SCTP の い ず れ か が 指 定 さ れ て い な け れ ば な ら な い 。 port1 が 省 略 さ れ た 場 合 は 0:port2 が 使 わ れ る 。 port2 が 省 略 さ れ た が コ ロ ン が 指 定 さ れ た 場 合 は port1:65535 が 使 わ れ る 。 --ip6-sport は こ の オ プ シ ョ ン の エ イ リ ア ス で あ る 。
--ip6-destination-port [!] port1 [: port2 ]
IP プ ロ ト コ ル 6 (TCP), 17 (UDP), 33 (DCCP), 132 (SCTP) に お け る 、 送 信 先 ポ ー ト あ る い は ポ ー ト の 範 囲 。 --ip6-protocol オ プ シ ョ ン で TCP , UDP , DCCP , SCTP の い ず れ か が 指 定 さ れ て い な け れ ば な ら な い 。 port1 が 省 略 さ れ た 場 合 は 0:port2 が 使 わ れ る 。 port2 が 省 略 さ れ た が コ ロ ン が 指 定 さ れ た 場 合 は port1:65535 が 使 わ れ る 。 --ip6-sport フ ラ グ は こ の オ プ シ ョ ン の エ イ リ ア ス で あ る 。
--ip6-icmp-type [!]
{
type
[:
type
]/
code
[:
code
]|
typename
}"
マ ッ チ ン グ さ
せ る ipv6-icmp タ イ プ
と コ ー ド 。 タ
イ プ と コ ー ド
の ど ち ら も 範
囲 指 定 で き る
。 タ イ プ と コ
ー ド は ス ラ ッ
シ ュ で 区 切 る
。 タ イ プ と コ
ー ド と し て 有
効 な 数 値 は 0 か
ら 255 の 範 囲 で あ
る 。 あ る タ イ
プ の す べ て の
コ ー ド に マ ッ
チ ン グ さ せ る
に は 、 数 値 の
代 わ り に シ ン
ボ ル 名 を 使 っ
て 指 定 す る こ
と も で き る 。
既 知 の タ イ プ
名 に つ い て は
次 の コ マ ン ド
で リ ス ト が 表
示 さ れ る 。
ebtables --help ip6
こ の オ プ シ ョ
ン は --ip6-protocol ipv6-icmp に つ
い て の み 有 効
で あ る 。
limit
こ
の モ ジ ュ ー ル
は token bucket フ ィ ル タ
を 使 っ て 、 マ
ッ チ ン グ に レ
ー ト リ ミ ッ ト
を 付 け る 。 こ
の extension を 使 っ て
い る ル ー ル は
、 リ ミ ッ ト に
到 達 す る ま で
は マ ッ チ ン グ
す る 。 例 え ば
--log
watcher と 組 み 合
わ せ て 使 う と
、 レ ー ト リ ミ
ッ ト の つ い た
ロ ギ ン グ を 行
う こ と が で き
る 。 iptables に お け
る limit マ ッ チ ン グ
と 同 様 に 使 え
る 。
--limit
[
value
]
マ ッ チ ン グ レ ー ト 最 大 平 均 値 : 数 値 指 定 で 、 /second , /minute , /hour , day サ フ ィ ッ ク ス を 付 け る こ と が で き る ; デ フ ォ ル ト 値 は 3/hour で あ る 。
--limit-burst [ number ]
マ ッ チ ン グ す る 初 期 パ ケ ッ ト 最 大 値 : 上 記 の リ ミ ッ ト に 到 達 し な か っ た 場 合 、 毎 回 指 定 し た 数 値 ま で リ チ ャ ー ジ さ れ る ; デ フ ォ ル ト 値 は 5 で あ る 。
mark_m
--mark [!] [ value ][/ mask ]
符 号 な し 数 値 の mark で フ レ ー ム に マ ッ チ ン グ す る 。 value と mask が 指 定 さ れ て い る 場 合 、 フ レ ー ム の mark 値 と ユ ー ザ 指 定 の mask 値 の 論 理 和 (AND) が 計 算 さ れ て か ら 、 ユ ー ザ 指 定 の mark value 値 と 比 較 さ れ る 。 value の み が 指 定 さ れ た 場 合 、 ユ ー ザ 指 定 の mark value と 同 一 の 値 の mark を 持 っ た パ ケ ッ ト の み が マ ッ チ ン グ す る 。 mask の み が 指 定 さ れ た 場 合 、 フ レ ー ム の mark 値 と ユ ー ザ 指 定 の mask 値 の 論 理 和 (AND) が 計 算 さ れ 、 結 果 が 非 0 で あ る フ レ ー ム が マ ッ チ ン グ す る 。 mask の み 指 定 す る 方 法 は 、 複 数 の mark 値 と マ ッ チ ン グ さ せ る の に 便 利 で あ る 。
pkttype
--pkttype-type [!] type
フ レ ー ム の Ethernet "class" に マ ッ チ ン グ し 、 こ れ は 一 般 的 な ネ ッ ト ワ ー ク コ ー ド に よ っ て 決 ま る 。 取 り う る 値 は 、 broadcast (送 信 先 MAC ア ド レ ス が ブ ロ ー ド キ ャ ス ト ア ド レ ス ), multicast (送 信 先 MAC ア ド レ ス が マ ル チ キ ャ ス ト ア ド レ ス ), host (送 信 先 MAC ア ド レ ス が 受 信 ネ ッ ト ワ ー ク デ バ イ ス ), otehrhost (そ れ 以 外 ) の い ず れ か で あ る 。
stp
stp BPDU (bridge
protocol data unit) フ ィ ー ル
ド を 指 定 す る
。 送 信 先 ア ド
レ ス (
-d
) は bridge group address
(
BGA
) が 指 定 さ れ
て い な け れ ば
な ら な い 。 数
値 の 範 囲 指 定
が で き る オ プ
シ ョ ン で は 、
下 限 を 省 略 し
た 際 は 取 り う
る 最 小 値 が 使
わ れ 、 上 限 を
省 略 し た 際 (コ
ロ ン が つ い て
い る 場 合 ) は 取
り う る 最 大 値
が 使 わ れ る 。
--stp-type
[!]
type
BPDU type (0-255) で あ る 。 数 値 以 外 で 認 識 で き る タ イ プ は 、 configuration BPDU (=0) を 表 す config と 、 topology change notification BPDU (=128) を 表 す tcn で あ る 。
--stp-flags [!] flag
BPDU flag (0-255) で あ る 。 数 値 以 外 で 認 識 で き る フ ラ グ は 、 topology change flag (=1) を 表 す topology-change と 、 topology change acknowledgement flag (=128) を 表 す topology-change-ack で あ る 。
--stp-root-prio [!] [ prio ][: prio ]
root 優 先 度 (0-65535) の 範 囲 。
--stp-root-addr [!] [ address ][/ mask ]
root MAC ア ド レ ス 。 詳 細 は -s オ プ シ ョ ン 参 照 す る こ と 。
--stp-root-cost [!] [ cost ][: cost ]
root path コ ス ト (0-4294967295) の 範 囲 。
--stp-sender-prio [!] [ prio ][: prio ]
BPDU 送 信 者 優 先 度 (0-65535) の 範 囲 。
--stp-sender-addr [!] [ address ][/ mask ]
BPDU 送 信 者 の MAC ア ド レ ス 。 詳 細 は -s オ プ シ ョ ン 参 照 す る こ と 。
--stp-port [!] [ port ][: port ]
port 識 別 子 の 範 囲 (0-65535)。
--stp-msg-age [!] [ age ][: age ]
メ ッ セ ー ジ age timer の 範 囲 (0-65535)。
--stp-max-age [!] [ age ][: age ]
max age time の 範 囲 (0-65535)。
--stp-hello-time [!] [ time ][: time ]
hello time timer の 範 囲 (0-65535)。
--stp-forward-delay [!] [ delay ][: delay ]
forward delay timer の 範 囲 (0-65535)。
string
This module
matches on a given string using some pattern matching
strategy.
--string-algo
algorithm
The pattern matching strategy. (bm = Boyer-Moore, kmp = Knuth-Pratt-Morris)
--string-from offset
The lowest offset from which a match can start. (default: 0)
--string-to offset
The highest offset from which a match can start. (default: size of frame)
--string [!] pattern
Matches the given pattern.
--string-hex [!] pattern
Matches the given pattern in hex notation, e.g. ’|0D 0A|’, ’|0D0A|’, ’www|09|netfilter|03|org|00|’
--string-icase
Ignore case when searching.
vlan
802.1Q タ
グ 制 御 情 報 フ
ィ ー ル ド を 指
定 す る 。 プ ロ
ト コ ル は
802_1Q
(0x8100)
で な け れ ば な
ら な い 。
--vlan-id
[!]
id
VLAN 識 別 子 フ ィ ー ル ド (VID)。 0 か ら 4095 の 間 の 10 進 数 の 数 字 。
--vlan-prio [!] prio
優 先 度 フ ィ ー ル ド で 、 0 か ら 7 ま で の 10 進 数 の 数 字 。 VID は 0 ("null VID") か 、 無 指 定 で あ る べ き で す (後 者 の 無 指 定 の 場 合 VID は 0 で あ る と さ れ る ) 。
--vlan-encap [!] type
格 納 さ れ て い る Ethernet フ レ ー ム の type/length の 値 。 0x0000 か ら 0xFFFF の 範 囲 の hex 数 値 か /etc/ethertypes に あ る シ ン ボ ル 名 で 指 定 す る 。
WATCHER EXTENSIONS
watchers は 通 過 す る フ レ ー ム を 観 測 す る だ け で 、 フ レ ー ム を 変 更 し た り 許 可 す る か ど う か の 判 断 を 行 っ た り は し な い 。 こ れ ら の watcher は フ レ ー ム が ル ー ル に マ ッ チ ン グ す る か ど う か を 見 る だ け で 、 そ れ は タ ー ゲ ッ ト が 実 行 さ れ る 前 に 行 わ れ る 。
log
log watcher は フ レ ー ム の 説 明 を syslog に 書 き 出 す 。
|
--log |
デ フ ォ ル ト の logging オ プ シ ョ ン で ロ ギ ン グ を 行 う : log-leve= info , log-prefix="", ip ロ グ な し , arp ロ グ な し 。
--log-level level
logging レ ベ ル を 定 義 す る 。 取 り う る 値 は ebtables -h log を 参 照 す る こ と 。 デ フ ォ ル ト の レ ベ ル は info で あ る 。
--log-prefix text
ロ グ 情 報 の 行 頭 に プ リ ン ト す る text プ レ フ ィ ッ ク ス を 定 義 す る 。
--log-ip
ル ー ル で ip プ ロ ト コ ル に マ ッ チ ン グ し た 際 に 生 成 さ れ る フ レ ー ム の ip 情 報 を ロ グ す る 。 デ フ ォ ル ト で は ip 情 報 は ロ グ さ れ な い 。
--log-ip6
ル ー ル で ipv6 プ ロ ト コ ル に マ ッ チ ン グ し た 際 に 生 成 さ れ る フ レ ー ム の ipv6 情 報 を ロ グ す る 。 デ フ ォ ル ト で は ipv6 情 報 は ロ グ さ れ な い 。
--log-arp
ル ー ル で (r)arp プ ロ ト コ ル マ ッ チ ン グ し た 際 に 生 成 さ れ る フ レ ー ム の (r)arp 情 報 を ロ グ す る 。 デ フ ォ ル ト で は (r)arp 情 報 は ロ グ さ れ な い 。
nflog
nflog watcher
は パ ケ ッ ト を
ロ グ す る た め
に ロ ー ド さ れ
た logging バ ッ ク エ
ン ド に パ ケ ッ
ト を 渡 す 。 こ
れ は 通 常 logging バ
ッ ク エ ン ド nfnetlink_log
と の 組 み 合 わ
せ で 使 用 さ れ
、 こ れ が netlink ソ
ケ ッ ト 経 由 で
パ ケ ッ ト を 指
定 し た マ ル チ
キ ャ ス ト グ ル
ー プ に マ ル チ
キ ャ ス ト す る
。 1 つ あ る い は
複 数 の ユ ー ザ
ス ペ ー ス プ ロ
セ ス が そ の グ
ル ー プ に 参 加
し て パ ケ ッ ト
を 受 け 取 る こ
と が で き る 。
--nflog
デ フ ォ ル ト の logging オ プ シ ョ ン で ロ グ す る 。
--nflog-group nlgroup
パ ケ ッ ト が 送 出 先 で あ る netlink グ ル ー プ (1 か ら 2ˆ32-1 の 間 ) (nfnetlink_log で の み 有 効 )。 デ フ ォ ル ト 値 は 1。
--nflog-prefix prefix
ロ グ メ ッ セ ー ジ に 含 ま れ る プ レ フ ィ ッ ク ス 文 字 列 で 、 最 大 30 文 字 ま で 。 ロ グ の 中 で メ ッ セ ー ジ を 区 別 す る の に 便 利 。
--nflog-range size
ユ ー ザ ス ペ ー ス に コ ピ ー さ れ る バ イ ト 数 (nfnetlink_log で の み 有 効 )。 nfnetlink_log イ ン ス タ ン ス で も 範 囲 指 定 可 能 で 、 こ の オ プ シ ョ ン は そ れ を 上 書 き す る 。
--nflog-threshold size
ユ ー ザ ス ペ ー ス に 送 る 前 に カ ー ネ ル 内 の キ ュ ー イ ン グ す る パ ケ ッ ト の 数 (nfnetlink_log で の み 有 効 )。 大 き な 数 値 に す る と 1 パ ケ ッ ト あ た り の オ ー バ ー ヘ ッ ド は 小 さ く な る が 、 ユ ー ザ ス ペ ー ス に パ ケ ッ ト が 届 く ま で の 遅 延 は 大 き く な る 。 デ フ ォ ル ト 値 は 1。
ulog
ulog watcher は netlink マ ル チ キ ャ ス ト ソ ケ ッ ト を 使 っ て ユ ー ザ ラ ン ド logging デ ー モ ン に パ ケ ッ ト を 渡 す 。 log watcher と の 違 い は 、 パ ケ ッ ト の 説 明 で は な く パ ケ ッ ト 全 体 が ユ ー ザ ス ペ ー ス に 送 信 さ れ る と い う 点 と syslog で は な く netlink マ ル チ キ ャ ス ト ソ ケ ッ ト が 使 わ れ る と い う 点 で あ る 。 こ の watcher で は ユ ー ザ ス ペ ー ス の プ ロ グ ラ ム で パ ケ ッ ト を 解 析 す る こ と が で き 、 物 理 ブ リ ッ ジ の 入 出 力 ポ ー ト の 情 報 も netlink メ ッ セ ー ジ に 含 ま れ て い る 。 ulog watcher モ ジ ュ ー ル は 、 (modprobe な ど で ) カ ー ネ ル に ロ ー ド さ れ る 際 に パ ラ メ ー タ を 2 つ 受 け 取 る こ と が で き る 。 nlbufsiz で 各 netlink マ ル チ キ ャ ス ト グ ル ー プ が 持 つ バ ッ フ ァ の 大 き さ を 指 定 で き る 。 例 え ば nlbufsiz=8192 で は 、 ユ ー ザ ス ペ ー ス に 送 り 出 す 前 に 8kB の 数 の パ ケ ッ ト ま で カ ー ネ ル 内 に 溜 め る こ と が で き る 。 128kB よ り 大 き な 値 を 設 定 す る こ と は で き な い 。 こ こ で の バ ッ フ ァ サ イ ズ は nlgroup そ れ ぞ れ に つ い て 確 保 さ れ る と い う こ と に も 注 意 。 つ ま り 消 費 カ ー ネ ル メ モ リ は そ の 倍 数 で 増 え て い く 。 デ フ ォ ル ト 値 は 4096 で あ る 。 flushtimeout で 、 キ ュ ー が 一 杯 に な ら な か っ た 場 合 に 、 ど れ だ け の 間 待 っ て か ら flush す る か を 、 100 分 の 1 秒 刻 み で 指 定 す る 。 デ フ ォ ル ト 値 は 10 で あ る (0.1秒 ) 。
|
--ulog |
デ フ ォ ル ト の 設 定 を 使 う : ulog-prefix="", ulog-nlgroup=1, ulog-cprange=4096, ulog-qthreshold=1
--ulog-prefix text
ユ ー ザ ス ペ ー ス に 送 ら れ る パ ケ ッ ト に 含 ま れ る プ レ フ ィ ッ ク ス を 定 義 す る 。
--ulog-nlgroup group
ど の netlink グ ル ー プ 番 号 を 使 う か を 定 義 す る (1 か ら 32 の 間 の 数 字 ) 。 iptables ULOG タ ー ゲ ッ ト で 使 わ れ て い る netlink グ ル ー プ 番 号 と ebtables ulog watcher の も の と は 異 な る も の に す る こ と 。 デ フ ォ ル ト の グ ル ー プ 番 号 は 1 で あ る 。
--ulog-cprange range
ル ー ル に マ ッ チ ン グ し た パ ケ ッ ト に つ い て 、 ユ ー ザ ス ペ ー ス に コ ピ ー さ れ る 範 囲 の 最 大 値 を 定 義 す る 。 デ フ ォ ル ト の 範 囲 は 0 で 、 こ れ は nlbufsiz で 指 定 さ れ た 範 囲 の 最 大 値 を 意 味 す る 。 128*1024 よ り 大 き な 値 を 指 定 し て も 意 味 は な い 。 な ぜ な ら 、 ユ ー ザ ス ペ ー ス に 送 ら れ る パ ケ ッ ト サ イ ズ の 上 限 は 128*1024 だ か ら で あ る 。
--ulog-qthreshold threshold
netlink ソ ケ ッ ト 経 由 で ユ ー ザ ス ペ ー ス に 送 り だ す 前 に threshold の 数 ま で パ ケ ッ ト を キ ュ ー イ ン グ す る 。 キ ュ ー が 埋 ま る 以 前 で あ っ て も パ ケ ッ ト は 送 出 さ れ る こ と が あ る こ と に 注 意 す る こ と 。 こ れ は ulog カ ー ネ ル タ イ マ が 達 し た 際 に 起 こ る (こ の タ イ マ の 周 期 は flushtimeout に よ り 決 ま る )。
TARGET EXTENSIONS
arpreply
arpreply
タ ー ゲ ッ ト は
nat
テ ー ブ ル の
PREROUTING
チ ェ イ ン
で 使 う こ と が
で き る 。 タ ー
ゲ ッ ト が ARP リ ク
エ ス ト を 発 見
す る と 、 自 動
的 に ARP reply を 返 す
。 reply に 使 う MAC ア
ド レ ス を 指 定
す る こ と が で
き る 。 プ ロ ト
コ ル は
ARP
で な
け れ ば な ら な
い 。 ARP メ ッ セ ー
ジ が ARP リ ク エ ス
ト で は な か っ
た り 、 ARP リ ク エ
ス ト が Ethernet ネ ッ
ト ワ ー ク 上 の IP
ア ド レ ス に 対
す る も の で は
な か っ た 場 合
、 こ の タ ー ゲ
ッ ト で は 無 視
さ れ る (
CONTINUE
)。 ARP
リ ク エ ス ト が
不 正 だ っ た 場
合 、 破 棄 さ れ
る (
DROP
)。
--arpreply-mac
address
reply に 返 す MAC ア ド レ ス を 指 定 す る 。 Ethernet 送 信 元 MAC ア ド レ ス と ARP ペ イ ロ ー ド 中 の 送 信 元 MAC ア ド レ ス の 両 方 が こ の ア ド レ ス に な る 。
--arpreply-target target
標 準 の タ ー ゲ ッ ト を 指 定 す る 。 ARP reply を 送 信 し た 後 に 、 ebtables が そ の ARP request に 対 し て さ ら に 何 を 行 う か を 指 定 す る 。 デ フ ォ ル ト の タ ー ゲ ッ ト は DROP で あ る 。
dnat
dnat
は
broute
テ ー ブ ル
の
BROUTING
チ ェ イ ン
と 、
nat
テ ー ブ
ル の
PREROUTING
と
OUTPUT
チ ェ イ ン で の
み 使 え る 。 送
信 先 MAC ア ド レ ス
を 変 更 す る と
き に 指 定 す る
。
--to-destination
address
送 信 先 MAC ア ド レ ス を 指 定 し た address に 変 更 す る 。 --to-dst フ ラ グ は こ の オ プ シ ョ ン の エ イ リ ア ス で あ る 。
--dnat-target target
標 準 の タ ー ゲ ッ ト を 指 定 す る 。 dnat を 行 っ た 後 に 、 ebtables が そ の フ レ ー ム に 対 し て さ ら に 何 を 行 う か を 指 定 す る 。 デ フ ォ ル ト の タ ー ゲ ッ ト は ACCEPT で あ る 。 CONTINUE に す る と 、 同 一 フ レ ー ム に 対 し て 複 数 の target extension を 使 え る 。 DROP は BROUTING チ ェ イ ン で redirect タ ー ゲ ッ ト と 使 う と き に の み 意 味 が あ る 。 RETURN を 基 本 チ ェ イ ン で 使 う こ と は で き な い (理 由 は 明 ら か で し ょ う )。
mark
mark
タ ー ゲ ッ ト は
ど の テ ー ブ ル
の ど の チ ェ イ
ン で も 使 え る
。 bridge-nf が カ ー ネ
ル に 組 み 込 ま
れ て い れ ば ebtables
と iptables の 両 方 で mark
で き る 。 ど ち
ら も 同 じ 場 所
に mark を 記 録 す る
の で 、 ebtables と iptables
間 の 通 信 に も
な る 。
--mark-set
value
フ レ ー ム に 非 負 数 の value を mark す る 。
--mark-or value
フ レ ー ム に 非 負 数 の value で OR し た 値 を 記 録 す る 。
--mark-and value
フ レ ー ム に 非 負 数 の value で AND し た 値 を 記 録 す る 。
--mark-xor value
フ レ ー ム に 非 負 数 の value で XOR し た 値 を 記 録 す る 。
--mark-target target
標 準 の タ ー ゲ ッ ト を 指 定 す る 。 mark を 行 っ た 後 に 、 ebtables が そ の フ レ ー ム に 対 し て さ ら に 何 を 行 う か を 指 定 す る 。 デ フ ォ ル ト の タ ー ゲ ッ ト は ACCEPT で あ る 。 CONTINUE に す る と 、 後 続 の チ ェ イ ン の ル ー ル で フ レ ー ム に 対 し て 何 ら か の 他 の 処 理 が で き る 。
redirect
redirect
タ ー ゲ ッ ト は
MAC タ ー ゲ ッ ト
ア ド レ ス を フ
レ ー ム が 到 達
し た ブ リ ッ ジ
デ バ イ ス の も
の に 変 更 す る
。 こ の タ ー ゲ
ッ ト は
broute
テ ー
ブ ル の
BROUTING
チ ェ
イ ン と
nat
テ ー
ブ ル の
PREROUTING
チ
ェ イ ン で の み
使 え る 。
BROUTING
チ
ェ イ ン で は ブ
リ ッ ジ ポ ー ト
の MAC ア ド レ ス が
送 信 先 ア ド レ
ス と し て 使 わ
れ 、
PREROUTING
チ ェ
イ ン で は ブ リ
ッ ジ の MAC ア ド レ
ス が 使 わ れ る
。
--redirect-target
target
標 準 の タ ー ゲ ッ ト を 指 定 す る 。 MAC リ ダ イ レ ク ト を 行 っ た 後 に 、 ebtables が さ ら に 何 を 行 う か を 指 定 す る 。 デ フ ォ ル ト の タ ー ゲ ッ ト は ACCEPT で あ る 。 CONTINUE に す る と 、 同 一 フ レ ー ム に 対 し て 複 数 の target extension を 使 え る 。 BROUTING チ ェ イ ン 中 で DROP を 使 う と 、 そ の フ レ ー ム は route さ れ る 。 RETURN も 使 う こ と が で き る 。 RETURN を 基 本 チ ェ イ ン で 使 う こ と は で き な い 。
snat
snat
タ ー ゲ ッ ト は
nat
テ ー ブ ル の
POSTROUTING
で の み 使
う こ と が で き
る 。 送 信 元 MAC ア
ド レ ス を 変 更
す る 際 に 使 い
る 。
--to-source
address
送 信 元 MAC ア ド レ ス を 指 定 し た address に 変 更 す る 。 --to-src フ ラ グ は こ の オ プ シ ョ ン の エ イ リ ア ス で あ る 。
--snat-target target
標 準 の タ ー ゲ ッ ト を 指 定 す る 。 snat を 行 っ た 後 に 、 ebtables が さ ら に 何 を 行 う か を 指 定 す る 。 デ フ ォ ル ト の タ ー ゲ ッ ト は ACCEPT で あ る 。 CONTINUE に す る と 、 同 一 フ レ ー ム に 対 し て 複 数 の target extension を 使 え る 。 DROP は 意 味 を な さ な い が 、 実 行 す る こ と は で き る 。 RETURN も 使 え る 。 RETURN を 基 本 チ ェ イ ン で 使 う こ と は で き な い 。
--snat-arp
パ ケ ッ ト が arp メ ッ セ ー ジ で あ り 、 か つ 、 arp ヘ ッ ダ 中 の ハ ー ド ウ ェ ア ア ド レ ス の 長 さ が 6 バ イ ト で あ っ た 場 合 に 、 arp ヘ ッ ダ 中 の ハ ー ド ウ ェ ア 送 信 元 ア ド レ ス も 変 更 す る 。
フ ァ イ ル
/etc/ethertypes /var/lib/ebtables/lock
環 境 変 数
EBTABLES_ATOMIC_FILE
メ ー リ ン グ リ ス ト
http://netfilter.org/mailinglists.html 参 照
関 連 項 目
iptables (8), brctl (8), ifconfig (8), route (8)
http://ebtables.sf.net 参 照