Man page - ipfwadm(8)

Manual

IPFWADM

名 前
書 式
説 明
オ プ シ ョ ン
CATEGORIES
COMMANDS
PARAMETERS
OTHER OPTIONS
フ ァ イ ル
関 連 項 目
著 者
訳 者

---

名 前

ipfwadm - IP フ ァ イ ヤ ー ウ ォ ー ル と ア カ ウ ン ト 制 御 の 管 理

書 式

ipfwadm -A コ マ ン ド パ ラ メ ー タ [オ プ シ ョ ン ]
ipfwadm -I コ マ ン ド パ ラ メ ー タ [オ プ シ ョ ン ]
ipfwadm -O コ マ ン ド パ ラ メ ー タ [オ プ シ ョ ン ]
ipfwadm -F コ マ ン ド パ ラ メ ー タ [オ プ シ ョ ン ]
ipfwadm -M [ -l | -s ] [オ プ シ ョ ン ]

説 明

Ipfwadm は 、 Linuxカ ー ネ ル で の IPフ ァ イ ヤ ー ウ ォ ー ル と ア カ ウ ン ト 制 御 の 規 則 を 設 定 ・ 更 新 お よ び 調 査 す る た め の も の で あ る 。 こ れ ら の 制 御 規 則 は 4つ の 種 類 に 分 け る 事 が で き る 。 そ れ ら は す な わ ち 、 IPパ ケ ッ ト の ア カ ウ ン ト 制 御 (accounting of IP packets)、 IP入 力 フ ァ イ ヤ ー ウ ォ ー ル (the IP input firewall)、 IP出 力 フ ァ イ ヤ ー ウ ォ ー ル (the IP output firewall)、 そ し て IP転 送 フ ァ イ ヤ ー ウ ォ ー ル (the IP forwarding firewall) で あ る 。 こ れ ら そ れ ぞ れ の 種 類 は 、 そ れ ぞ れ 別 の 条 件 リ ス ト で 制 御 さ れ る 。

詳 細 は ipfw (4) を 参 照 の 事 。

オ プ シ ョ ン

ipfwadm で 指 定 可 能 な オ プ シ ョ ン は い く つ か の グ ル ー プ に 分 類 で き る 。

CATEGORIES

以 下 に 示 す フ ラ グ は コ マ ン ド に 与 え る 条 件 の 種 類 を 指 定 す る の に 用 い る 。 :
-A [ direction ]

IPア カ ウ ン ト 規 則 オ プ シ ョ ン と し て 、 direction(方 向 ) を 指 定 す る 事 が で き る ( in (入 力 方 向 ), out (出 力 方 向 ), or both (双 方 向 )), 指 定 さ れ た 入 力 方 向 ま た は 出 力 方 向 の パ ケ ッ ト の み が カ ウ ン ト さ れ る 。 デ フ ォ ル ト で は both (双 方 向 ) で あ る 。

	-I		IP 入 力 フ ァ イ ヤ ー ウ ォ ー ル 条 件 。
	-O		IP 出 力 フ ァ イ ヤ ー ウ ォ ー ル 条 件 。
	-F		IP 転 送 フ ァ イ ヤ ー ウ ォ ー ル 。
	-M		IP マ ス カ レ ー ド 設 定 。

こ の 設 定 は -l (list:リ ス ト ) ま た は -s (set timeout values:タ イ ム ア ウ ト 値 設 定 ) コ マ ン ド と の 組 み 合 わ せ で の み 使 用 可 能 で あ る 。

厳 密 に は 、 こ れ ら の オ プ シ ョ ン の う ち 一 つ を 必 ず 指 定 す る 事 。

COMMANDS

次 に 示 す オ プ シ ョ ン は 実 際 の 動 作 を 指 定 す る も の で あ る 。 こ れ ら の う ち 一 つ だ け を 書 式 で 示 さ れ た 方 法 で コ マ ン ド ラ イ ン に て 指 定 す る 。
-a [ policy ]

設 定 し た 条 件 の 最 後 に 一 つ 以 上 の 条 件 を 追 加 す る 。 ア カ ウ ン ト 条 件 の 設 定 の 場 合 は 、 policyの 設 定 を 行 わ な い 事 。 フ ァ イ ヤ ー ウ ォ ー ル 条 件 の 設 定 の 場 合 は 、 以 下 に 示 す う ち の 一 つ を 指 定 す る 事 。 accept(許 可 ) , deny (不 許 可 ), ま た は reject (拒 絶 )

ソ ー ス (元 ) と デ ス テ ィ ネ ー シ ョ ン (先 )の ホ ス ト 名 が 一 つ 以 上 の ア ド レ ス で あ っ た 場 合 は そ れ ら の 考 え ら れ う る 組 み 合 わ せ が 追 加 さ れ る 。

-i [ policy ]

設 定 し た 条 件 の 先 頭 に 一 つ 以 上 の 条 件 を 挿 入 す る 。 詳 細 な 書 式 に つ い て は -a を 参 照 の 事

-d [ policy ]

設 定 し た 条 件 の う ち 、 一 つ 以 上 の 条 件 を 削 除 す る 。 意 味 合 い と し て は 追 加 /挿 入 コ マ ン ド と 同 じ で あ る 。 指 定 す る パ ラ メ ー タ は す で に 追 加 /挿 入 し た コ マ ン ド と 全 く 同 じ に す る 事 。 異 な る 場 合 は 不 一 致 と な り 、 そ の 条 件 は 削 除 さ れ な い 。 ま た 、 最 初 に 一 致 し た 条 件 だ け が 削 除 さ れ る 。

	-l		設 定 し た 条 件 の 一 覧 を 表 示 す る 。 こ の コ マ ン ド は -z (reset counters to zero： カ ウ ン タ の ０ リ セ ッ ト )コ マ ン ド と 組 み 合 わ せ て 使 用 で き る 。 こ の 場 合 、 パ ケ ッ ト と バ イ ト カ ウ ン タ は 、 現 在 の 値 を 表 示 し た 直 後 に リ セ ッ ト さ れ る 。 -x オ プ シ ョ ン を 付 け な い と 、 パ ケ ッ ト と バ イ ト カ ウ ン タ (が 指 定 さ れ て い れ ば ) は 数 値 K ま た は 数 値 M で 表 示 さ れ る 。 こ こ で 、 1Kは 1000で あ り 、 1Mは 1000Kを 意 味 す る 。 (最 も 近 い 整 数 に 丸 め ら れ る ) 下 記 の -e と -x の フ ラ グ の 多 く の 機 能 も 参 照 の 事 。
	-z		設 定 し た 条 件 の パ ケ ッ ト 数 と バ イ ト 数 の カ ウ ン タ を リ セ ッ ト す る 。 こ の コ マ ン ド は -l (リ ス ト ： list)コ マ ン ド と の 組 み 合 わ せ て 使 用 す る 事 が 多 い で あ ろ う 。
	-f		設 定 し た 条 件 を 抹 消 す る 。

-p policy

選 択 し た フ ァ イ ヤ ー ウ ォ ー ル タ イ プ の デ フ ォ ル ト の "policy"を 変 更 す る 。 与 え る べ き "policy"は accept 、 deny 、 ま た は reject の 内 の 一 つ で な け れ ば な ら な い 。 デ フ ォ ル ト "policy"は 一 致 す る 条 件 が な い 場 合 に 使 用 す る 。 こ の 設 定 は IPフ ァ イ ヤ ー ウ ォ ー ル に の み 有 効 で あ る 。 よ っ て 下 記 の -I 、 -O 、 ま た は -F の フ ラ グ と の 組 み 合 わ せ で 使 用 す る 。

-s tcp tcpfin udp

IPマ ス カ レ ー ド で 使 用 す る タ イ ム ア ウ ト 値 を 変 更 す る 。 こ の コ マ ン ド は 常 に 3つ の パ ラ メ ー タ を と り 、 そ れ ら は そ れ ぞ れ 秒 の 単 位 で TCPセ シ ョ ン 、 FINパ ケ ッ ト を 受 け た 後 の TCPセ シ ョ ン 、 UDPパ ケ ッ ト の タ イ ム ア ウ ト 値 を 記 述 す る 。 タ イ ム ア ウ ト 値 と し て 0を 指 定 し た 場 合 は 、 現 在 そ の エ ン ト リ で 使 用 し て い る 値 が そ の ま ま 引 き 継 が れ る 。 こ の 設 定 は 、 -M フ ラ グ と の 組 み 合 わ せ で の み 有 効 で あ る 。

	-c		選 択 し た フ ァ イ ヤ ー ウ ォ ー ル に お い て 、 こ の IPパ ケ ッ ト が accept(許 可 )、 deny (不 許 可 )、 ま た は reject (拒 絶 )で あ る か ど う か を 確 認 す る 。 こ の 設 定 は 、 -I , -O , ま た は -F フ ラ グ と の 組 み 合 わ せ で の み 有 効 で あ る 。
	-h		Help(ヘ ル プ )で あ る 。 コ マ ン ド の 記 法 を (現 在 は 非 常 に 簡 単 に )表 示 す る 。

PARAMETERS

以 下 に 示 す パ ラ メ ー タ は append(追 加 )、 insert(挿 入 )、 delete(削 除 ) ま た は check(確 認 )と 組 み 合 わ せ て 使 用 可 能 で あ る 。
-P protocol

設 定 条 件 ま た は 確 認 す べ き パ ケ ッ ト の プ ロ ト コ ル を 示 す 。 記 述 す る 事 が で き る プ ロ ト コ ル と し て は tcp 、 udp 、 icmp 、 ま た は all(全 て ) の プ ロ ト コ ル の う ち の 一 つ で あ る 。 all を 指 定 し た 場 合 は こ の オ プ シ ョ ン が 省 略 さ れ て い る 場 合 に と り う る す べ て の プ ロ ト コ ル が 対 象 に な る 。 All は check(確 認 )コ マ ン ド と の 組 み 合 わ せ で 用 い る 事 は な い で あ ろ う 。

-S address [/ mask ] [ port ...]

ソ ー ス の 指 定 (オ プ シ ョ ン )。 Address は host名 、 ネ ッ ト ワ ー ク 名 お よ び IPア ド レ ス に よ る 指 定 が 可 能 で あ る 。 mask は ネ ッ ト ワ ー ク マ ス ク に よ る 指 定 と 数 値 に よ る 指 定 が 可 能 で あ り 、 数 値 に よ る 指 定 は 左 側 か ら の ネ ッ ト マ ス ク ビ ッ ト 数 を 指 定 す る 。 よ っ て 、 マ ス ク 値 24 は 255.255.255.0 と 等 価 で あ る 。
ソ ー ス は 一 つ 以 上 の ポ ー ト ま た は ICMPタ イ プ を 含 む 。 そ れ ぞ れ の 指 定 は service名 、 port番 号 、 ま た は (数 値 で の )ICMP タ イ プ で 指 定 で き る 。 こ の 章 の 残 り の 部 分 で 記 述 す る port は 、 port番 号 ま た は ICMPタ イ プ を 示 す 。 こ れ ら の 指 定 の 内 、 port番 号 の 範 囲 を 指 定 す る 場 合 は 、 port : port と 、 記 述 す る 。 さ ら に 、 ソ ー ス (元 )と デ ス テ ィ ネ ー シ ョ ン (先 )の 指 定 で き る 合 計 port 数 は IP_FW_MAX_PORTS (現 状 10)を 超 え て は な ら な い 。 こ こ で 、 portの 範 囲 指 定 の 場 合 は ２ と 数 え る 。
TCP、 UDPま た は ICMPパ ケ ッ ト の 「 最 初 の フ ラ グ メ ン ト で な い 」 部 分 は 常 に フ ァ イ ヤ ー ウ ォ ー ル に 許 可 さ れ る 。 ア カ ウ ン ト 制 御 に お い て は 、 こ れ ら の 二 番 目 以 降 の フ ラ グ メ ン ト は 特 別 に 扱 わ れ 、 種 々 の 方 法 で カ ウ ン ト で き る 。 port番 号 0xFFFF(65535)が 二 番 目 以 降 の TCPま た は UDPパ ケ ッ ト と し て 扱 わ れ る 。 こ れ ら の port番 号 0xFFFFの パ ケ ッ ト は ア カ ウ ン ト 目 的 で 用 い ら れ る 。 0xFF (255)は ICMPパ ケ ッ ト の 二 番 目 以 降 に 相 当 す る も の と し て 扱 わ れ る 。 ま た 、 ICMPタ イ プ が 0xFFの パ ケ ッ ト は ア カ ウ ン ト 目 的 で 用 い ら れ る 。 注 意 す べ き は 、 記 述 し た コ マ ン ド や プ ロ ト コ ル は 、 portを 暗 黙 に 制 限 す る 。 portは 下 記 プ ロ ト コ ル と の 組 み 合 わ せ で 使 用 す る 。 tcp 、 udp 、 ま た は icmp
こ の オ プ シ ョ ン が 省 略 さ れ た 場 合 は 、 デ フ ォ ル ト の ア ド レ ス /ネ ッ ト マ ス ク と し て 0.0.0.0/0 (す べ て の ア ド レ ス に 適 合 す る も の )が ソ ー ス ア ド レ ス と し て 使 用 さ れ る 。 チ ェ ッ ク コ マ ン ド に お い て は こ の オ プ シ ョ ン が 必 須 で あ り 、 必 ず 1つ の ポ ー ト が 指 定 さ れ て い な け れ ば な ら な い 。

-D address [/ mask ] [ port ...]

デ ス テ ィ ネ ー シ ョ ン (先 )を 指 定 す る 。 (オ プ シ ョ ン ) 記 法 の 詳 細 に 関 し て は -S 記 法 、 省 略 時 標 準 値 、 そ の 他 の 指 定 項 目 に つ い て は (source： ソ ー ス )フ ラ グ の 項 を 参 照 の 事 。 注 意 す べ き は 、 ICMPタ イ プ は -D フ ラ グ と の 組 み 合 わ せ で は 使 用 で き な い 。 す な わ ち 、 -S フ ラ グ の 後 に 指 定 す る 事 。

-V address

オ プ シ ョ ン と し て 、 パ ケ ッ ト が 受 け 取 ら れ る ま た は 送 ら れ る 時 に 経 由 す る イ ン タ フ ェ ー ス の ア ド レ ス を 指 定 す る 。 Address は host名 で も 数 値 に よ る IPア ド レ ス で も よ い 。 host名 が 指 定 さ れ た 場 合 は 、 た だ 一 つ の IPア ド レ ス に 割 り 当 て ら れ る 。 こ の オ プ シ ョ ン が 省 略 さ れ た 場 合 は 、 ア ド レ ス は 0.0.0.0 が 仮 定 さ れ 、 特 別 に ど の イ ン タ フ ェ ー ス ア ド レ ス も 適 合 さ れ る 。 チ ェ ッ ク コ マ ン ド に お い て は こ の オ プ シ ョ ン が 必 須 で あ る 。

-W name

オ プ シ ョ ン と し て 、 パ ケ ッ ト が 受 け 取 ら れ る ま た は 送 ら れ る 時 に 経 由 す る イ ン タ フ ェ ー ス の 名 前 を 指 定 す る 。 こ の オ プ シ ョ ン が 省 略 さ れ た 場 合 は 、 名 前 は empty string(空 文 字 列 )が 仮 定 さ れ 、 特 別 に ど の イ ン タ フ ェ ー ス 名 も 適 合 さ れ る 。 チ ェ ッ ク コ マ ン ド に お い て は こ の オ プ シ ョ ン が 必 須 で あ る 。

OTHER OPTIONS

以 下 に 示 す オ プ シ ョ ン が 使 用 可 能 で あ る 。

-b

Bidirectional(双 方 向 )モ ー ド 。

指 定 し た 条 件 を 双 方 向 の IPパ ケ ッ ト に 適 合 す る 。 こ の オ プ シ ョ ン は append(追 加 )、 insert(挿 入 )ま た は delete(削 除 ) コ マ ン ド と 組 み 合 わ せ て 使 用 可 能 で あ る 。

	-e		Extended output(拡 張 出 力 )。 こ の オ プ シ ョ ン を 指 定 す る と list(リ ス ト )コ マ ン ド で の 出 力 で イ ン タ フ ェ ー ス と (も し あ れ ば )設 定 条 件 を 表 示 す る 。 フ ァ イ ヤ ー ウ ォ ー ル リ ス ト に お い て は 、 パ ケ ッ ト と バ イ ト カ ウ ン タ 値 (デ フ ォ ル ト の 状 態 で は 、 ア カ ウ ン ト 制 御 を 行 っ て い る バ イ ト カ ウ ン タ 値 の み が 表 示 さ れ る )お よ び TOSマ ス ク を 出 力 す る 。 -M と の 組 み 合 わ せ で 使 用 し た 場 合 は 、 delta sequence numbersに 関 連 し た 情 報 が 表 示 さ れ る 。 こ の オ プ シ ョ ン は list(リ ス ト )コ マ ン ド と の 組 み 合 わ せ で の み 有 効 で あ る 。
	-k		TCPパ ケ ッ ト の ACKビ ッ ト が セ ッ ト さ れ て い る も の の み 適 合 す る 。 (こ の オ プ シ ョ ン は 他 の プ ロ ト コ ル で は 無 視 さ れ る ) こ の オ プ シ ョ ン は append(追 加 )、 insert(挿 入 )ま た は delete(削 除 ) コ マ ン ド と 組 み 合 わ せ て 使 用 可 能 で あ る 。
	-m		転 送 用 の マ ス カ レ ー ド パ ケ ッ ト の 許 可 。

こ の オ プ シ ョ ン を 指 定 し た 場 合 、 パ ケ ッ ト が ロ ー カ ル ホ ス ト か ら の も の で あ れ ば マ ス カ レ ー ド パ ケ ッ ト と し て 扱 わ れ る 。 さ ら に 、 逆 向 き の パ ケ ッ ト は 自 動 的 に 逆 マ ス カ レ ー ド パ ケ ッ ト と し て 扱 わ れ 、 フ ァ イ ヤ ー ウ ォ ー ル を バ イ パ ス す る 。 こ の オ プ シ ョ ン は 、 転 送 フ ァ イ ヤ ー ウ ォ ー ル の 場 合 で "policy"と し て accept (ま た は デ フ ォ ル ト の "policy"と し て accept が 指 定 さ れ て い る 場 合 )に 使 用 可 能 で 、 さ ら に カ ー ネ ル コ ン パ イ ル 時 に

CONFIG_IP_MASQUERADE が 定 義 さ れ て い な け れ ば な ら な い 。

	-n		Numeric output(数 値 で の 出 力 )。 IPア ド レ ス と port番 号 を 数 値 で 表 示 す る 。 デ フ ォ ル ト で は 、 そ れ ら を (で き る な ら ば )host名 、 ネ ッ ト ワ ー ク 名 お よ び service名 で 表 示 す る 。
	-o		適 合 し た パ ケ ッ ト に 対 す る カ ー ネ ル ロ ギ ン グ を 行 う 。 あ る 条 件 に 対 し て こ の オ プ シ ョ ン を 設 定 す る と Linuxカ ー ネ ル は 適 合 し た パ ケ ッ ト (IPヘ ッ ダ フ ィ ー ル ド の ほ と ん ど )の 情 報 を printk () 関 数 を 使 っ て 出 力 す る 。 こ の オ プ シ ョ ン は Linuxカ ー ネ ル コ ン パ イ ル 時 に CONFIG_IP_FIREWALL_VERBOSE を 定 義 し た 場 合 に 有 効 で あ る 。 こ の オ プ シ ョ ン は append(追 加 )、 insert(挿 入 )ま た は delete(削 除 ) コ マ ン ド と 組 み 合 わ せ で の み 有 効 で あ る 。

-r [ port ]

ロ ー カ ル ソ ケ ッ ト に リ ダ イ レ ク ト す る 。 こ の オ プ シ ョ ン が 設 定 さ れ て い る 場 合 は 、 も し そ の パ ケ ッ ト が リ モ ー ト の ホ ス ト か ら 送 ら れ た も の で あ っ て も こ の 条 件 に し た が っ て ロ ー カ ル の ソ ケ ッ ト に リ ダ イ レ ク ト さ れ る 。 リ ダ イ レ ク ト を 行 う ポ ー ト 番 号 が 0の 場 合 (デ フ ォ ル ト で あ る )は 、 そ の パ ケ ッ ト の デ ス テ ィ ネ ー シ ョ ン ポ ー ト が リ ダ イ レ ク ト さ れ る ポ ー ト と し て 用 い ら れ る 。

こ の オ プ シ ョ ン は 、 入 力 フ ァ イ ヤ ー ウ ォ ー ル の 場 合 で "policy"と し て accept が 指 定 さ れ て い る 場 合 に 使 用 可 能 で 、 さ ら に カ ー ネ ル コ ン パ イ ル 時 に CONFIG_IP_TRANSPARENT_PROXY が 定 義 さ れ て い な け れ ば な ら な い 。

-t andmask xormask

IPヘ ッ ダ の TOSフ ィ ー ル ド を 改 変 す る と き に 用 い る マ ス ク (マ ス カ レ ー ド の 有 無 に 関 わ ら ず )フ ァ イ ヤ ー ウ ォ ー ル の 条 件 に よ り パ ケ ッ ト が 許 可 さ れ た 場 合 に 、 そ の パ ケ ッ ト の TOSフ ィ ー ル ド に 対 し て 初 め に 指 定 し た マ ス ク 値 と ビ ッ ト 毎 に AND(論 理 積 )し 、 さ ら に そ の 結 果 に 対 し て 次 の マ ス ク 値 と ビ ッ ト 毎 に XOR(排 他 的 論 理 和 )を 行 う 。 そ れ ぞ れ の マ ス ク は 16進 数 の 8ビ ッ ト で 指 定 す る 。 こ の オ プ シ ョ ン は append(追 加 )、 insert(挿 入 )ま た は delete(削 除 ) コ マ ン ド と 組 み 合 わ せ て で の み 有 効 で あ り 、 ア カ ウ ン ト 制 御 や 、 reject(拒 絶 )や deny(不 許 可 )の フ ァ イ ヤ ー ウ ォ ー ル 制 御 の コ マ ン ド 時 に は 意 味 を 持 た な い 。

-v

Verbose output(詳 細 出 力 )。

条 件 や パ ケ ッ ト の 追 加 、 削 除 お よ び 確 認 に お い て 詳 細 情 報 を 出 力 す る 。 こ の オ プ シ ョ ン は append(追 加 )、 insert(挿 入 )、 delete(削 除 ) ま た は check(確 認 )コ マ ン ド と 組 み 合 わ せ で の み 有 効 で あ る 。

	-x		Expand numbers(拡 張 数 値 出 力 )。 パ ケ ッ ト 数 お よ び バ イ ト カ ウ ン タ 値 の 出 力 に お い て 、 K(1000倍 )や M(1000K倍 )と い っ た 丸 め た 値 で は な く 、 正 確 な 値 を 出 力 す る 。 こ の オ プ シ ョ ン は カ ウ ン ト 値 が 出 力 さ れ る 場 合 に の み 有 効 で あ る 。 (オ プ シ ョ ン -e 参 照 の 事 )。
	-y		TCPパ ケ ッ ト の SYNビ ッ ト が セ ッ ト さ れ て お り 、 ACKビ ッ ト が リ セ ッ ト さ れ て い る も の の み 適 合 す る 。 (こ の オ プ シ ョ ン は 他 の プ ロ ト コ ル で は 無 視 さ れ る ) こ の オ プ シ ョ ン は append(追 加 )、 insert(挿 入 )ま た は delete(削 除 ) コ マ ン ド と 組 み 合 わ せ て 使 用 可 能 で あ る 。

フ ァ イ ル

/proc/net/ip_acct
/proc/net/ip_input
/proc/net/ip_output
/proc/net/ip_forward
/proc/net/ip_masquerade

関 連 項 目

ipfw(4)

著 者

Jos Vos <jos@xos.nl>
X/OS Experts in Open Systems BV, Amsterdam, The Netherlands

訳 者

柴 田 (ひ ) 尚 明 <shibata@opost1.netspace.or.jp> 1997/02/15 ver. 0.0

---