Man page - ipchains(8)

Manual

IPCHAINS

名 前
書 式
説 明
タ ー ゲ ッ ト
オ プ シ ョ ン
コ マ ン ド
引 数
そ の 他 の オ プ シ ョ ン
フ ァ イ ル
返 り 値
バ グ
注 意
関 連 項 目
著 者
翻 訳 者
日 本 語 版 校 正

---

名 前

ipchains - IP フ ァ イ ア ウ ォ ー ル 管 理

書 式

ipchains -[ADC] チ ェ イ ン ル ー ル の 詳 細 [オ プ シ ョ ン ]
ipchains -[RI] チ ェ イ ン ル ー ル 番 号 ル ー ル の 詳 細 [オ プ シ ョ ン ]
ipchains -D チ ェ イ ン ル ー ル 番 号 [オ プ シ ョ ン ]
ipchains -[LFZNX] [チ ェ イ ン ] [オ プ シ ョ ン ]
ipchains -P チ ェ イ ン タ ー ゲ ッ ト [オ プ シ ョ ン ]
ipchains -M [ -L | -S ] [オ プ シ ョ ン ]

説 明

ipchains は Linux カ ー ネ ル 中 の IP フ ァ イ ア ウ ォ ー ル の ル ー ル を 設 定 し 、 保 守 し 、 検 査 す る た め の も の で あ る 。 こ れ ら の ル ー ル は 、 4 つ の カ テ ゴ リ に 分 類 で き る - IP input (入 力 ) チ ェ イ ン 、 IP output (出 力 ) チ ェ イ ン 、 IP forward (転 送 ) チ ェ イ ン 、 そ し て ユ ー ザ 定 義 チ ェ イ ン で あ る 。

こ れ ら 各 々 の カ テ ゴ リ 毎 に 、 ル ー ル の 一 覧 表 【 訳 注 : table/テ ー ブ ル 】 が 用 意 さ れ る 。 こ れ ら ル ー ル は ユ ー ザ 定 義 チ ェ イ ン の ど れ か 一 つ を 参 照 す る こ と も あ る 。 詳 細 に つ い て は ipfw (4) を 参 照 の こ と 。

タ ー ゲ ッ ト

フ ァ イ ア ウ ォ ー ル ル ー ル で は 、 パ ケ ッ ト の 判 定 基 準 と タ ー ゲ ッ ト を 指 定 す る 。 対 象 パ ケ ッ ト が マ ッ チ し な い と 、 チ ェ イ ン 中 の 次 の ル ー ル が 検 査 さ れ る 。 ル ー ル に 一 致 す る 場 合 、 次 の ル ー ル は タ ー ゲ ッ ト の 値 に よ っ て 指 定 さ れ る 。 タ ー ゲ ッ ト の 値 は ユ ー ザ 定 義 チ ェ イ ン の 名 前 か 、 ま た は 特 別 な 値 で あ る ACCEPT , DENY , REJECT , MASQ , REDIRECT , RETURN の う ち の 1 つ で あ る 。
ACCEPT は 、 対 象 パ ケ ッ ト を 通 過 さ せ る 。 DENY は 、 対 象 パ ケ ッ ト を 床 へ 落 と し 、 捨 て 去 る 。 REJECT は 、 対 象 パ ケ ッ ト を 捨 て 去 る と い う 点 で は DENY と 同 じ だ が 、 DENY よ り も 礼 儀 正 し く 、 デ バ ッ グ し 易 く な っ て い る 。 何 故 な ら 、 パ ケ ッ ト を 捨 て る 際 に 対 象 パ ケ ッ ト を 捨 て た こ と を 示 す ICMP メ ッ セ ー ジ を 送 信 元 に 返 信 す る か ら で あ る 。 ( DENY と REJECT は 、 ICMP パ ケ ッ ト に 関 し て は 動 作 が 同 じ で あ る こ と に 注 意 さ れ た い 。 )
MASQ は forward チ ェ イ ン と ユ ー ザ 定 義 チ ェ イ ン に 対 し て の み 有 効 で あ り 、 且 つ カ ー ネ ル が CONFIG_IP_MASQUERADE 付 き で コ ン パ イ ル さ れ て い る 場 合 に だ け 使 用 で き る 。 こ れ に よ り 、 パ ケ ッ ト は あ た か も ロ ー カ ル ホ ス ト か ら 発 信 さ れ た か の よ う に マ ス カ レ ー ド さ れ る 。 更 に 、 受 信 さ れ る パ ケ ッ ト は 先 に マ ス カ レ ー ド さ れ た ホ ス ト に 対 す る 返 答 と し て 認 識 さ れ る と 共 に 、 自 動 的 に マ ス カ レ ー ド 外 し (demasquerade) が 行 わ れ 、 forward チ ェ イ ン の チ ェ ッ ク か ら 外 さ れ る 。
REDIRECT は input チ ェ イ ン と ユ ー ザ 定 義 チ ェ イ ン に 対 し て の み 有 効 で あ り 、 カ ー ネ ル が CONFIG_IP_TRANSPARENT_PROXY 付 き で コ ン パ イ ル さ れ て い る 場 合 に だ け 使 用 で き る 。 こ の タ ー ゲ ッ ト に よ り 、 リ モ ー ト ホ ス ト 宛 に 送 信 さ れ た パ ケ ッ ト で あ っ て も ロ ー カ ル の ソ ケ ッ ト へ 振 り 向 け ら れ る 。 リ ダ イ レ ク ト 先 の ポ ー ト に デ フ ォ ル ト 値 で あ る 0 が 指 定 さ れ て い る と 、 そ の パ ケ ッ ト の 宛 先 ポ ー ト が リ ダ イ レ ク ト 先 の ポ ー ト と し て 使 用 さ れ る 。 こ の タ ー ゲ ッ ト を 用 い る 時 は 、 オ プ シ ョ ン の 引 数 と し て ポ ー ト 番 号 が 指 定 で き る 。
ユ ー ザ 定 義 チ ェ イ ン の 終 り に 達 す る か 、 ま た は タ ー ゲ ッ ト RETURN を 持 つ ル ー ル に マ ッ チ し た 場 合 、 以 前 の (呼 び 出 し 元 の ) チ ェ イ ン 中 の 次 の ル ー ル が 評 価 さ れ る 。 組 み 込 み 済 み チ ェ イ ン の 終 り に 達 す る か 、 ま た は 組 み 込 み 済 み チ ェ イ ン の ル ー ル の タ ー ゲ ッ ト と し て RETURN に マ ッ チ し た 場 合 、 チ ェ イ ン に 指 定 さ れ た ポ リ シ ー が そ の パ ケ ッ ト の 運 命 を 決 定 す る 。

オ プ シ ョ ン

ipchains が 認 識 す る オ プ シ ョ ン は 、 幾 つ か の グ ル ー プ に 分 類 で き る 。

コ マ ン ド

こ れ ら の オ プ シ ョ ン は 実 行 す る 特 定 の 機 能 を 指 定 す る - 以 下 に 特 別 に 指 定 の な い 限 り 、 コ マ ン ド ラ イ ン で は こ れ ら の オ プ シ ョ ン の う ち い ず れ か 一 つ し か 指 定 す る こ と が で き な い 。 ロ ン グ バ ー ジ ョ ン の コ マ ン ド や オ プ シ ョ ン 名 は 、 必 ず し も 完 全 な 形 の 名 前 で 指 定 す る 必 要 は な く 、 ipchains が 他 の オ プ シ ョ ン と 識 別 す る こ と が で き る だ け の 長 さ が あ れ ば 十 分 で あ る 。 【 訳 注 : 例 え ば 、 --append の 場 合 、 --a で 始 ま る オ プ シ ョ ン 名 は 他 に な い の で 、 --app で も 可 で あ る 。 】
-A, --append

選 択 し た チ ェ イ ン の 末 尾 に 1 つ 以 上 の ル ー ル を 追 加 す る 。 名 前 解 決 の 結 果 、 発 信 元 ア ド レ ス と 宛 先 ア ド レ ス の 両 方 ま た は い ず れ か の 名 前 が 1 つ 以 上 の IP ア ド レ ス を 持 つ 場 合 、 ル ー ル は 各 々 の 可 能 な ア ド レ ス の 組 合 せ 毎 に 追 加 さ れ る 。

-D, --delete

選 択 し た チ ェ イ ン か ら 、 1 つ 以 上 の ル ー ル を 削 除 す る 。 こ の コ マ ン ド に は 2 つ の バ ー ジ ョ ン が あ る - ル ー ル は (最 初 の ル ー ル を 1 と し て 数 え 始 め て ) チ ェ イ ン 中 の 番 号 で 指 定 さ れ る か 、 一 致 す る ル ー ル に て 指 定 さ れ る 。

-R, --replace

選 択 し た チ ェ イ ン の ル ー ル を 置 き 換 え る 。 名 前 解 決 の 結 果 、 発 信 元 と 宛 先 の 両 方 ま た は い ず れ か の 名 前 が 複 数 の IP ア ド レ ス を 持 つ 場 合 、 コ マ ン ド の 実 行 は 失 敗 す る 。 ル ー ル に は 1 か ら 始 ま る 番 号 が 振 ら れ る 。

-I, --insert

選 択 し た チ ェ イ ン へ 、 1 つ 以 上 の ル ー ル を 指 定 の ル ー ル 番 号 で 挿 入 す る 。 従 っ て 、 ル ー ル 番 号 に 1 を 指 定 す る と 、 そ の ル ー ル は チ ェ イ ン の 先 頭 に 挿 入 さ れ る 。

-L, --list

選 択 し た チ ェ イ ン に 含 ま れ る 全 て の ル ー ル を 一 覧 表 示 す る 。 チ ェ イ ン を 指 定 し な い と 、 全 て の チ ェ イ ン が 一 覧 表 示 さ れ る 。 チ ェ イ ン を 指 定 し な い 時 に 、 -Z (ゼ ロ ) オ プ シ ョ ン と の 組 み 合 わ せ は 有 効 で あ る 。 正 確 な 出 力 は 他 の 引 数 の 指 定 に よ っ て 行 わ れ る 。

-F, --flush

選 択 し た チ ェ イ ン の 内 容 を 一 気 に 消 去 す る 。 こ れ は 全 て の ル ー ル を 一 つ ず つ 削 除 す る こ と と 等 価 で あ る 。

-Z, --zero

全 て の チ ェ イ ン の パ ケ ッ ト カ ウ ン タ と バ イ ト カ ウ ン タ を ゼ ロ に 初 期 化 す る 。 カ ウ ン タ が ク リ ア さ れ る 直 前 に そ の 値 を 見 た い 時 の 為 に 、 -L, --list (リ ス ト ) オ プ シ ョ ン と の 組 み 合 わ せ は 有 効 で あ る - カ ウ ン タ の ク リ ア を 行 う 際 、 特 定 の チ ェ イ ン を 指 定 す る こ と は 出 来 な い 。 ( 全 て の チ ェ イ ン が 表 示 さ れ る と 共 に ク リ ア さ れ る )

-N, --new-chain

指 定 し た 名 前 の ユ ー ザ 定 義 チ ェ イ ン を 新 た に 作 成 す る 。 既 存 の タ ー ゲ ッ ト と 同 じ 名 前 は 使 用 で き な い 。

-X, --delete-chain

指 定 し た ユ ー ザ 定 義 チ ェ イ ン を 削 除 す る 。 削 除 対 象 チ ェ イ ン へ の 参 照 が 存 在 し て は な ら な い (参 照 さ れ て い る 場 合 は 、 そ の チ ェ イ ン を 削 除 す る 前 に 、 参 照 元 の ル ー ル を 削 除 す る か 、 或 は 他 の チ ェ イ ン へ 移 動 し な け れ ば な ら な い )。 引 数 が 与 え ら れ な か っ た 場 合 、 ipchains は 組 み 込 み 済 み チ ェ イ ン を 除 く 全 て の ユ ー ザ 定 義 チ ェ イ ン を 削 除 し よ う と す る 。

-P, --policy

チ ェ イ ン の ポ リ シ ー を 指 定 し た タ ー ゲ ッ ト に 設 定 す る 。 正 し い タ ー ゲ ッ ト に つ い て は 、 タ ー ゲ ッ ト の 項 を 参 照 。 ポ リ シ ー を 持 つ こ と が で き る の は ユ ー ザ 定 義 で は な い チ ェ イ ン だ け で あ り 、 組 み 込 み 済 み チ ェ イ ン も ユ ー ザ 定 義 チ ェ イ ン も ポ リ シ ー の タ ー ゲ ッ ト と は な り 得 な い 。

-M, --masquerading

こ の オ プ シ ョ ン は 、 ( -L オ プ シ ョ ン と 組 み 合 わ せ て ) 現 在 マ ス カ レ ー ド さ れ て い る 接 続 を 閲 覧 し た り 、 ( -S オ プ シ ョ ン と 組 み 合 わ せ て ) カ ー ネ ル に マ ス カ レ ー ド の 値 を 設 定 す る 。

-S, --set tcp tcpfin udp

IP マ ス カ レ ー ド に 使 用 す る タ イ ム ア ウ ト 値 を 変 更 す る 。 こ の コ マ ン ド は 常 に 3 つ の パ ラ メ ー タ を 取 り 、 そ れ ぞ れ 、 TCP セ ッ シ ョ ン 、 FIN パ ケ ッ ト 受 信 後 の TCP セ ッ シ ョ ン 、 UDP パ ケ ッ ト に 対 す る タ イ ム ア ウ ト 値 (秒 ) を 表 す 。 タ イ ム ア ウ ト 値 0 は 、 対 応 す る 項 目 の 現 在 の タ イ ム ア ウ ト 値 が 保 持 さ れ る こ と を 意 味 す る 。 こ の オ プ シ ョ ン は 、 -M フ ラ グ と の 組 み 合 わ せ の 時 の み 使 用 で き る 。

-C, --check

選 択 し た チ ェ イ ン で 与 え ら れ た パ ケ ッ ト を 照 合 す る 。 こ の パ ケ ッ ト を 、 ネ ッ ト ワ ー ク か ら 来 た "本 物 の " パ ケ ッ ト の よ う に 扱 わ せ る こ と で カ ー ネ ル ル ー チ ン の テ ス ト に 使 え る 。 組 み 込 み 済 み チ ェ イ ン や ユ ー ザ 定 義 チ ェ イ ン を チ ェ ッ ク す る の に も 使 え る 。 フ ァ イ ア ウ ォ ー ル の ル ー ル を 規 定 し た 引 数 は 、 テ ス ト 用 パ ケ ッ ト を 構 築 す る の に も 使 え る 。 特 に 、 -s (発 信 元 )、 -d (宛 先 )、 -p (プ ロ ト コ ル )、 -i (イ ン タ ー フ ェ ー ス ) フ ラ グ は 必 ず 指 定 す る 。

-h, --help

コ マ ン ド の 書 式 に 関 す る (今 の と こ ろ は 非 常 に 簡 単 な ) 説 明 を 表 示 す る 。 オ プ シ ョ ン に icmp を 指 定 す る と 、 ICMP 名 の 一 覧 を 表 示 す る 。

-V, --version

単 に ipchains の バ ー ジ ョ ン 番 号 を 表 示 す る 。

引 数

下 記 に 示 す パ ラ メ ー タ は (追 加 (append), 削 除 (delete), 置 換 (replace), 挿 入 (insert) 及 び チ ェ ッ ク (check) の 各 コ マ ン ド に て 用 い ら れ る ) ル ー ル の 指 定 を 補 う 。
-p, --protocol [!] protocol

チ ェ ッ ク 対 象 と な る ル ー ル ま た は パ ケ ッ ト の プ ロ ト コ ル 。 プ ロ ト コ ル に は tcp , udp , icmp , all , の ど れ か 一 つ を 指 定 す る 。 ま た は こ れ ら の プ ロ ト コ ル に 対 応 し た プ ロ ト コ ル 番 号 や 、 こ れ ら の プ ロ ト コ ル に 対 応 し て い な い 番 号 を 指 定 で き る 。 ま た 、 /etc/protocols に あ る プ ロ ト コ ル 名 で の 指 定 も 許 さ れ る 。 プ ロ ト コ ル 指 定 の 前 に "!" を 置 く と 、 そ の プ ロ ト コ ル を 指 定 し な い こ と に な る 。 数 値 0 は all と 等 価 で あ る 。 プ ロ ト コ ル all は 全 て の プ ロ ト コ ル と 一 致 し 、 こ の オ プ シ ョ ン が 省 略 さ れ た 場 合 の デ フ ォ ル ト 値 で あ る 。 all は check コ マ ン ド と 組 み 合 わ せ て は な ら な い 。

-s, --source, --src [!] address [/ mask ] [!] [ port[:port] ]

発 信 元 の 指 定 。 address は 、 ホ ス ト 名 ・ ネ ッ ト ワ ー ク 名 ・ 素 の IP ア ド レ ス の い ず れ で も よ い 。 mask は 、 ネ ッ ト マ ス ク ・ 単 な る 数 (ネ ッ ト マ ス ク の 左 側 か ら 数 え た 1 の 個 数 ) の い ず れ で も よ い 。 し た が っ て 、 24 と い う mask の 値 は 、 255.255.255.0 と 等 価 で あ る 。 ア ド レ ス 指 定 の 前 に "!" を 置 く と 、 そ の ア ド レ ス を 指 定 し な い こ と に な る 。
発 信 元 に は ポ ー ト 指 定 ま た は ICMP タ イ プ を 含 め て も よ い 。 こ れ は サ ー ビ ス 名 、 ポ ー ト 番 号 、 ICMP タ イ プ の 数 値 、 あ る い は
ipchains -h icmp
コ マ ン ド で 表 示 さ れ る ICMP タ イ プ 名 の い ず れ か で よ い 。
こ れ ら ICMP 名 の 多 く は タ イ プ と コ ー ド の 両 方 を 参 照 す る こ と に 注 意 さ れ た い 。 よ っ て 、 -d フ ラ グ の 後 の ICMP コ ー ド の 指 定 は 誤 り で あ る 。 こ の 節 の 残 り の 部 分 で は 、 port は ポ ー ト 指 定 ま た は ICMP タ イ プ の い ず れ か を 意 味 す る 。 対 象 と す る ポ ー ト の 範 囲 を port : port と い う 書 式 で 指 定 す る こ と も で き る 。 最 初 の ポ ー ト を 省 略 す る と 、 "0" と み な さ れ る 。 最 後 の ポ ー ト を 省 略 す る と 、 "65535" と み な さ れ る 。
ポ ー ト は 、 tcp , udp , icmp プ ロ ト コ ル と の 組 み 合 わ せ で の み 指 定 可 能 で あ る 。 ポ ー ト 指 定 の 前 に "!" を 置 く と 、 そ の ポ ー ト を 指 定 し な い こ と に な る 。 check コ マ ン ド が 指 定 さ れ た 場 合 、 厳 密 に 1 つ の ポ ー ト が 必 要 で あ る 。 -f (fragment) フ ラ グ が 指 定 さ れ た 場 合 、 ポ ー ト の 指 定 は 許 さ れ な い 。

--source-port [!] [ port[:port] ]

発 信 元 ポ ー ト ま た は 発 信 元 ポ ー ト 範 囲 の 、 個 別 指 定 を 可 能 と す る 。 詳 細 に つ い て は 、 前 出 の -s フ ラ グ に 関 す る 解 説 を 参 照 の こ と 。 フ ラ グ --sport は 、 こ の オ プ シ ョ ン の 別 名 で あ る 。

-d, --destination, --dst [!] address [/ mask ] [!] [ port[:port] ]

宛 先 指 定 。 構 文 に つ い て の 詳 細 な 説 明 は 、 -s (source) フ ラ グ の 解 説 を 参 照 の こ と 。 ポ ー ト を 持 た な い ICMP に 対 し て は 、 "宛 先 ポ ー ト " は 数 字 の ICMP コ ー ド を 表 す 。

--destination-port [!] [ port[:port] ]

ポ ー ト の 個 別 指 定 を 可 能 と す る 。 詳 細 に つ い て は 、 -s フ ラ グ の 解 説 を 参 照 の こ と 。 フ ラ グ --dport は 、 こ の オ プ シ ョ ン の 別 名 で あ る 。

--icmp-type [!] typename

ICMP タ イ プ の 指 定 を 可 能 に す る (正 し い ICMP タ イ プ 名 を 確 認 す る に は 、 -h icmp オ プ シ ョ ン を 使 用 す る )。 宛 先 指 定 に ICMP タ イ プ を 付 加 す る よ り も 、 こ れ を 利 用 す る ほ う が よ り 便 利 な 場 合 が 多 い 。

-j, --jump target

こ れ は ル ー ル の タ ー ゲ ッ ト を 指 定 す る - す な わ ち 、 ル ー ル に マ ッ チ し た パ ケ ッ ト の 行 く 末 で あ る 。 タ ー ゲ ッ ト は ユ ー ザ 定 義 チ ェ イ ン (但 し 、 当 該 ル ー ル が 含 ま れ て い る も の を 除 く ) か 、 パ ケ ッ ト の 運 命 を 直 接 決 定 す る 特 定 の タ ー ゲ ッ ト の う ち の 一 つ が 指 定 可 能 で あ る 。 ル ー ル 中 で こ の オ プ シ ョ ン が 省 略 さ れ た 場 合 に は 、 パ ケ ッ ト の 運 命 に は 全 く 影 響 し な い が 、 ル ー ル の カ ウ ン タ の 値 は 増 加 す る 。

-i, --interface [!] name

(input チ ェ イ ン に お い て は ) 受 信 し た パ ケ ッ ト が 通 過 す る イ ン タ ー フ ェ ー ス 名 、 (forward 及 び output チ ェ イ ン に お い て は ) 送 信 さ れ る パ ケ ッ ト が 通 過 す る イ ン タ ー フ ェ ー ス 名 を 指 定 す る 。 こ の オ プ シ ョ ン が 省 略 さ れ た 場 合 は 空 文 字 列 と 見 な さ れ 、 全 て の イ ン タ ー フ ェ ー ス 名 を 指 定 す る こ と と 同 じ 意 味 に な る 。 イ ン タ フ ェ ー ス 名 の 前 に "!" が 置 か れ る と 、 そ の イ ン タ ー フ ェ ー ス を 指 定 し な い と い う 意 味 に な る 。 イ ン タ フ ェ ー ス 名 の 末 尾 の "+" は 前 方 一 致 を 示 し 、 "+" の 直 前 ま で の 文 字 列 で 始 ま る イ ン タ フ ェ ー ス の 全 て に マ ッ チ す る 。

[!] -f, --fragment

寸 断 さ れ た (fragment: フ ラ グ メ ン ト ) パ ケ ッ ト の う ち 2 番 目 以 降 の フ ラ グ メ ン ト だ け を 参 照 す る ル ー ル で あ る こ と を 意 味 す る 。 そ の よ う な パ ケ ッ ト (ま た は ICMP タ イ プ ) の 発 信 元 ポ ー ト や 宛 先 ポ ー ト を 識 別 す る 方 法 は 無 い の で 、 こ の 類 の パ ケ ッ ト は あ ら ゆ る ル ー ル と マ ッ チ し な い 。 "-f" フ ラ グ の 前 に "!" が あ る と 、 2番 目 以 降 の フ ラ グ メ ン ト を 参 照 し な い 。

そ の 他 の オ プ シ ョ ン

以 下 の オ プ シ ョ ン を 追 加 す る こ と が で き る -
-b, --bidirectional

双 方 向 モ ー ド 。 ル ー ル は IP パ ケ ッ ト に 対 し 双 方 向 に マ ッ チ す る - こ れ は 発 信 元 と 宛 先 を 交 換 し て ル ー ル を 繰 り 返 し て 記 述 す る こ と と 同 じ 効 果 を も た ら す 。 TCP syn パ ケ ッ ト の 送 出 を 許 可 す る 設 定 に -b ル ー ル を 適 応 す る と 、 TCP syn パ ケ ッ ト で な い パ ケ ッ ト の 受 け 取 り を 許 可 す る 設 定 に は な ら な い 。 【 訳 注 : -b フ ラ グ が 反 対 を 意 味 す る か ら と い っ て 、 "TCP synパ ケ ッ ト " の 反 対 の 意 味 で "非 SYNパ ケ ッ ト " と い う 対 応 に な っ た り 、 "パ ケ ッ ト の 送 出 " の 反 対 の 意 味 で "パ ケ ッ ト の 受 け と り " と い う 対 応 に は な ら な い 。 意 味 が 反 対 に な る の は 発 信 元 ア ド レ ス と 宛 先 ア ド レ ス の 交 換 に よ る パ ケ ッ ト の 方 向 だ け で あ り 、 "SYN パ ケ ッ ト " が "非 SYNパ ケ ッ ト " に は な ら な い し 、 input チ ェ イ ン か ら output チ ェ イ ン に 扱 い が 変 わ る 訳 で も な い 。 】 つ ま り 、 -b フ ラ グ は 使 わ ず に 、 き ち ん と 一 つ ず つ ル ー ル を 指 定 し た ほ う が よ い 。

-v, --verbose

詳 細 表 示 。 こ の オ プ シ ョ ン は 、 コ マ ン ド の イ ン タ ー フ ェ ー ス ア ド レ ス ・ (も し あ れ ば ) ル ー ル の オ プ シ ョ ン ・ TOS マ ス ク ・ パ ケ ッ ト と バ イ ト の カ ウ ン タ を 一 覧 表 に し て 表 示 す る 。 カ ウ ン タ 表 示 の 後 の ’K’, ’M’, ’G’ は 各 々 、 1000, 1,000,000, 1,000,000,000 倍 を 意 味 す る 。 (但 し 、 -x フ ラ グ は こ の 表 示 方 法 を 変 更 す る 。 ) -M と 組 み 合 わ せ て 使 う と 、 デ ル タ シ ー ケ ン ス 番 号 (delta sequence numbers) に 関 連 す る 情 報 も 表 示 さ れ る 。 追 加 、 挿 入 、 削 除 、 置 換 に こ の オ プ シ ョ ン を 適 用 す る と 、 ル ー ル の 詳 細 情 報 が 表 示 さ れ る よ う に な る 。

-n, --numeric

数 値 で の 出 力 。 IP ア ド レ ス と ポ ー ト 番 号 が 数 値 形 式 で 出 力 さ れ る 。 デ フ ォ ル ト で は 、 ipchains は そ れ ら を ホ ス ト 名 、 ネ ッ ト ワ ー ク 名 、 或 は サ ー ビ ス 名 で (出 来 る だ け )表 示 し よ う と 試 み る 。

-l, --log

マ ッ チ し た パ ケ ッ ト を カ ー ネ ル の ロ グ に 記 録 す る 。 ル ー ル に こ の オ プ シ ョ ン が 設 定 さ れ る 時 、 Linux カ ー ネ ル は printk() 関 数 を 通 じ て 、 マ ッ チ し た パ ケ ッ ト 全 て の (多 く は IP ヘ ッ ダ フ ィ ー ル ド に 関 す る ) 情 報 を 出 力 す る 。

-o, --output [maxsize]

マ ッ チ し た パ ケ ッ ト を ユ ー ザ 空 間 の デ バ イ ス へ コ ピ ー す る 。 こ れ は 現 在 主 に ユ ー ザ 空 間 で フ ァ イ ア ウ ォ ー ル の 効 果 を 使 っ て 何 か し た い 開 発 者 が 使 用 す る 。 オ プ シ ョ ン 引 数 の 最 大 サ イ ズ は コ ピ ー さ れ る パ ケ ッ ト の 最 大 数 を 制 限 す る 為 に 使 わ れ る 。 こ の オ プ シ ョ ン は カ ー ネ ル を CONFIG_IP_FIREWALL_NETLINK を 設 定 し て コ ン パ イ ル し た 時 の み 有 効 で あ る 。

-m, --mark markvalue

マ ッ チ し た パ ケ ッ ト に 印 を 付 け る 。 パ ケ ッ ト に は 32 ビ ッ ト の 符 号 無 し の 数 値 で 印 が 付 け ら れ 、 そ の 値 に よ っ て (そ の う ち ) そ の パ ケ ッ ト が 内 部 で ど の よ う に 扱 わ れ る か が 変 更 で き る よ う に な る だ ろ う 。 あ な た が カ ー ネ ル ハ ッ カ ー で な け れ ば 、 こ の オ プ シ ョ ン は 気 に し な く て 良 い 。 マ ー ク 値 が + 或 は - か ら 始 ま る 際 に は 、 (ゼ ロ か ら 始 ま る ) 現 在 の マ ー ク 値 か ら そ の 値 を 加 算 或 は 減 算 す る 。

-t, --TOS andmask xormask

IP ヘ ッ ダ 内 の TOS フ ィ ー ル ド を 変 更 す る 為 に 使 用 さ れ る マ ス ク 。 パ ケ ッ ト が ル ー ル に マ ッ チ す る 時 、 そ の TOS フ ィ ー ル ド は 1 番 目 の マ ス ク で ビ ッ ト 単 位 の 論 理 積 が 行 わ れ 、 そ の 結 果 は 2 番 目 の マ ス ク で ビ ッ ト 単 位 の 排 他 的 論 理 和 が 行 わ れ る 。 マ ス ク 値 は 16 進 の 8 ビ ッ ト 値 で 指 定 す る 。 TOS フ ィ ー ル ド の LSB は 不 変 で な け れ ば な ら な い (RFC 1349) 。 こ れ を 変 更 し よ う と す る と 、 拒 絶 さ れ る 。 す な わ ち 、 TOS ビ ッ ト が 1 つ 以 上 設 定 さ れ て い る も の が こ れ に 該 当 す る 。 パ ケ ッ ト に 複 数 の TOS ビ ッ ト を 設 定 し よ う と す る と 、 (標 準 出 力 を 通 じ て ) ワ ー ニ ン グ メ ッ セ ー ジ を 出 す 。 そ の よ う な TOS 値 を 持 つ パ ケ ッ ト が 当 該 ル ー ル に 到 達 す る こ と は あ り 得 な い と わ か っ て い る な ら 、 ワ ー ニ ン グ メ ッ セ ー ジ は 無 視 で き る 。 勿 論 、 TOS の 操 作 は ル ー ル の タ ー ゲ ッ ト が DENY 或 は REJECT の 場 合 に は 無 意 味 で あ る 。

-x, --exact

番 号 表 示 の 拡 張 。 パ ケ ッ ト 及 び バ イ ト カ ウ ン タ の 値 を K (1000倍 )、 M (1000K倍 ) 或 は G (1000M倍 )で 丸 め た 値 で な く 、 正 確 な 値 で 表 示 す る 。 こ の オ プ シ ョ ン は -L コ マ ン ド で の み 有 効 で あ る 。

[!] -y, --syn

TCP パ ケ ッ ト の 内 、 SYN ビ ッ ト が セ ッ ト さ れ ACK ビ ッ ト と FIN ビ ッ ト が ク リ ア さ れ た パ ケ ッ ト に の み マ ッ チ す る 。 そ の よ う な パ ケ ッ ト は 、 TCP 接 続 の 開 始 要 求 に 使 用 さ れ る 。 例 え ば 、 あ る イ ン タ ー フ ェ ー ス へ 到 着 す る そ の よ う な パ ケ ッ ト を 遮 断 す る と 、 内 向 き の TCP 接 続 を 防 止 す る が 、 外 向 き の TCP 接 続 は 影 響 を 受 け な い 。 こ の オ プ シ ョ ン は 、 プ ロ ト コ ル の 種 類 が TCP に 設 定 さ れ て い る 場 合 に の み 意 味 を 持 つ 。 "-y" の 前 に "!" フ ラ グ が あ る と 、 こ の オ プ シ ョ ン の 判 定 結 果 が 否 定 さ れ る 。 【 訳 注 : -y の 場 合 、 各 々 の ビ ッ ト の 条 件 は "SYN=1 and ACK=0 and FIN=0" の 組 合 せ に の み マ ッ チ す る 。 "! -y" は こ の 否 定 な の で 、 各 ビ ッ ト の 組 合 せ が 上 記 以 外 の 全 て の パ ケ ッ ト が マ ッ チ す る 。 す な わ ち 、 "SYN=0 or ACK=1 or FIN=1" と い う 条 件 に な る 。 SYN ビ ッ ト が 0 で あ れ ば 良 い の は 言 う ま で も な く 、 例 え ば "SYN=1 and ACK=1 and FIN=0" と い う 組 合 せ で も マ ッ チ す る 。 】

--line-numbers

ル ー ル を 一 覧 表 示 す る 際 、 各 ル ー ル の 先 頭 に そ の ル ー ル の チ ェ イ ン 中 で の 位 置 に 対 応 す る 行 番 号 を 追 加 す る 。

--no-warnings

全 て の 警 告 を 無 効 に す る 。

フ ァ イ ル

/proc/net/ip_fwchains
/proc/net/ip_masquerade

返 り 値

各 種 エ ラ ー メ ッ セ ー ジ は 標 準 エ ラ ー 出 力 に 出 力 さ れ る 。 正 常 動 作 時 の 終 了 コ ー ド は 0 で あ る 。 無 効 な 、 或 は 誤 っ た コ マ ン ド 行 パ ラ メ ー タ に 起 因 す る と 思 わ れ る エ ラ ー は 、 終 了 コ ー ド 2 を 発 生 す る 。 そ の 他 の エ ラ ー で の 終 了 コ ー ド は 1 で あ る 。

バ グ

タ ー ミ ナ ル か ら の 入 力 に よ り forward チ ェ イ ン へ ル ー ル が 挿 入 ま た は 追 加 さ れ た と き に IP 転 送 機 能 が 有 効 に な っ て い な い 場 合 で --no-warnings を 指 定 し て い な け れ ば 、 誤 り を 修 正 す る ま で IP 転 送 が 行 わ れ な い こ と を 警 告 す る メ ッ セ ー ジ が 標 準 出 力 へ 表 示 さ れ る 。 こ れ は 、 (2.0 カ ー ネ ル に は 存 在 し な か っ た ) 必 要 条 件 に 気 付 か な い ユ ー ザ を 助 け る た め の も の で あ る 。

パ ケ ッ ト カ ウ ン タ と バ イ ト カ ウ ン タ を 1 つ の チ ェ イ ン の 分 だ け リ セ ッ ト す る 方 法 は 無 い 。 こ れ は カ ー ネ ル の 制 限 で あ る 。

ル ー プ の 検 知 は ipchains で は 行 わ れ な い 。 ル ー プ 状 態 に あ る パ ケ ッ ト は 破 棄 さ れ ロ グ に 記 録 さ れ る が 、 う っ か り ル ー プ を 作 っ て し ま う こ と を 考 慮 し て 、 ロ グ か ら 見 つ け 出 す こ と が 必 要 で あ る 。

新 し い 2.1 カ ー ネ ル の パ ケ ッ ト ス ケ ジ ュ ー リ ン グ の ル ー チ ン を 詳 述 す る 文 書 が リ リ ー ス さ れ る 迄 、 パ ケ ッ ト の マ ー キ ン グ の 効 果 に 関 す る 説 明 は 意 図 的 に 曖 昧 に し て い る 。

(組 み 込 み 済 み チ ェ イ ン の ) ポ リ シ ー カ ウ ン タ を 0 に す る 方 法 は 無 い 。

注 意

ipchains は 、 新 し い IP フ ァ イ ア ウ ォ ー ル ツ リ ー を 利 用 す る と い う 点 で 、 Jos Vos 作 の ipfwadm と は 大 き く 異 な っ て い る 。 ipchains の 機 能 は ipfwadm の ス ー パ ー セ ッ ト で あ り 、 コ マ ン ド は ほ ぼ 1 対 1 で 対 応 付 け る こ と が で き る 。 新 し い コ マ ン ド 名 は 、 よ り 理 に 適 っ た も の で あ る と 思 う 。 と は い え 、 注 意 す べ き 変 更 点 も い く つ か 存 在 す る 。

フ ラ グ メ ン ト の 扱 い が 異 な る 。 従 来 は 、 2 番 目 以 降 の フ ラ グ メ ン ト を 全 て 通 過 さ せ て い た (通 常 、 こ れ は 安 全 で あ る )。 現 在 で は 、 こ れ ら を フ ィ ル タ す る こ と が で き る 。 す な わ ち 、 ipfwadm か ら ル ー ル を 変 換 す る 際 に は 、 フ ラ グ メ ン ト を 許 可 す る ル ー ル を 明 示 し な け れ ば な ら な い 。 同 様 に 、 送 信 元 及 び 宛 先 ポ ー ト に 0xFFFF (ICMP で は 0xFF) を 指 定 し て チ ェ ッ ク す る 、 古 い 統 計 (accounting)ル ー ル を 探 す 必 要 が あ る 。 こ れ は フ ラ グ メ ン ト の 統 計 を 取 る 古 い 方 法 で あ る 。

統 計 (accounting) ル ー ル は 、 現 在 は input チ ェ イ ン と output チ ェ イ ン へ 統 合 さ れ て い る 。 以 前 の 挙 動 と 同 じ よ う に す る に は 以 下 の よ う に す れ ば よ い -
ipchains -N acctin
ipchains -N acctout
ipchains -N acctio
ipchains -I input -j acctio
ipchains -I input -j acctin
ipchains -I output -j acctio
ipchains -I output -j acctout
こ れ は 3 つ の ユ ー ザ 定 義 チ ェ イ ン 、 acctin , acctout , acctio , を 生 成 す る 。 こ れ ら は あ ら ゆ る 統 計 ル ー ル を 含 め ら れ る 。 (こ れ ら の ル ー ル は -j フ ラ グ を 使 わ ず 指 定 す る べ き で あ る 。 そ う す れ ば 、 パ ケ ッ ト は こ れ ら の チ ェ イ ン を 単 に 無 傷 の ま ま 通 過 す る 。 )

カ ー ネ ル が MASQ タ ー ゲ ッ ト や REDIRECT タ ー ゲ ッ ト が 不 適 切 な と こ ろ に あ る (つ ま り 、 forward ル ー ル 以 外 に MASQ が あ っ た り 、 入 力 ル ー ル 以 外 に REDIRECT が あ る 等 ) の を 見 つ け る と 、 syslog に メ ッ セ ー ジ を 記 録 し 、 そ の パ ケ ッ ト は 破 棄 さ れ る 。

SYN 及 び ACK に 合 致 す る 際 の 古 い 挙 動 (従 来 、 非 TCP パ ケ ッ ト に 対 し て は 無 視 さ れ て い た ) が 変 更 さ れ た 。 非 TCP パ ケ ッ ト 固 有 の ル ー ル に 対 す る SYN オ プ シ ョ ン は 誤 り で あ る 。

ACK マ ッ チ ン グ オ プ シ ョ ン ( -k フ ラ グ ) は 、 も は や サ ポ ー ト さ れ な い 。 ! と -y と の 組 み 合 わ せ が こ れ に 相 当 す る )。

現 在 で は 、 TOS の 最 下 位 ビ ッ ト を 設 定 ・ 変 更 す る TOS マ ス ク を 明 記 す る の は エ ラ ー に な る - 以 前 の TOS マ ス ク の 場 合 、 そ の よ う な 試 み は カ ー ネ ル 内 部 で 黙 っ て 変 更 さ れ て い た 。

現 在 、 -b フ ラ グ は 単 に 送 信 元 及 び 宛 先 の 指 定 を 反 転 さ せ る ル ー ル の 組 合 せ を 挿 入 或 は 削 除 す る 為 だ け に な っ た 。

イ ン タ ー フ ェ ー ス を ア ド レ ス で 指 定 す る 方 法 は 無 い 。 イ ン タ ー フ ェ ー ス 名 を 使 う こ と 。

関 連 項 目

ipfw(4)

著 者

Rusty Russell <rusty@linuxcare.com>。 細 か な 点 ま で 校 正 し て く れ た Hans Persson に お 礼 が 言 い た い 。 今 後 私 が 書 く 文 書 は 、 全 部 彼 に 読 ん で も ら い た い !

翻 訳 者

大 神 淳 <ati@ff.iij4u.or.jp>
松 田 陽 一 <matsuda@palnet.or.jp>

日 本 語 版 校 正

白 方 健 太 郎 <argrath@ub32.org>
武 井 伸 光 <takei@webmasters.gr.jp>
元 木 顕 弘 <amotoki@dd.iij4u.or.jp>
関 根 達 夫 <tsekine@isoternet.org>

---