Manpages

名 前

ipfwadm − IP フ ァ イ ヤ ー ウ ォ ー ル と ア カ ウ ン ト 制 御 の 管 理

書 式

ipfwadm -A コ マ ン ド パ ラ メ ー タ [オ プ シ ョ ン ]
ipfwadm -I コ マ ン ド パ ラ メ ー タ [オ プ シ ョ ン ]
ipfwadm -O コ マ ン ド パ ラ メ ー タ [オ プ シ ョ ン ]
ipfwadm -F コ マ ン ド パ ラ メ ー タ [オ プ シ ョ ン ]
ipfwadm -M [ -l | -s ] [オ プ シ ョ ン ]

説 明

Ipfwadm は 、 Linuxカ ー ネ ル で の IPフ ァ イ ヤ ー ウ ォ ー ル と ア カ ウ ン ト 制 御 の 規 則 を 設 定 ・ 更 新 お よ び 調 査 す る た め の も の で あ る 。 こ れ ら の 制 御 規 則 は 4つ の 種 類 に 分 け る 事 が で き る 。 そ れ ら は す な わ ち 、 IPパ ケ ッ ト の ア カ ウ ン ト 制 御 (accounting of IP packets)、 IP入 力 フ ァ イ ヤ ー ウ ォ ー ル (the IP input firewall)、 IP出 力 フ ァ イ ヤ ー ウ ォ ー ル (the IP output firewall)、 そ し て IP転 送 フ ァ イ ヤ ー ウ ォ ー ル (the IP forwarding firewall) で あ る 。 こ れ ら そ れ ぞ れ の 種 類 は 、 そ れ ぞ れ 別 の 条 件 リ ス ト で 制 御 さ れ る 。 詳 細 は ipfw(4) を 参 照 の 事 。

オ プ シ ョ ン

ipfwadm で 指 定 可 能 な オ プ シ ョ ン は い く つ か の グ ル ー プ に 分 類 で き る 。

CATEGORIES 以 下 に 示 す フ ラ グ は コ マ ン ド に 与 え る 条 件 の 種 類 を 指 定 す る の に 用 い る 。 :
-A [direction]

IPア カ ウ ン ト 規 則 オ プ シ ョ ン と し て 、 direction(方 向 ) を 指 定 す る 事 が で き る (in(入 力 方 向 ), out(出 力 方 向 ), or both(双 方 向 )), 指 定 さ れ た 入 力 方 向 ま た は 出 力 方 向 の パ ケ ッ ト の み が カ ウ ン ト さ れ る 。 デ フ ォ ル ト で は both(双 方 向 ) で あ る 。

厳 密 に は 、 こ れ ら の オ プ シ ョ ン の う ち 一 つ を 必 ず 指 定 す る 事 。

COMMANDS 次 に 示 す オ プ シ ョ ン は 実 際 の 動 作 を 指 定 す る も の で あ る 。 こ れ ら の う ち 一 つ だ け を 書 式 で 示 さ れ た 方 法 で コ マ ン ド ラ イ ン に て 指 定 す る 。
-a [policy] 設 定 し た 条 件 の 最 後 に 一 つ 以 上 の 条 件 を 追 加 す る 。 ア カ ウ ン ト 条 件 の 設 定 の 場 合 は 、 policyの 設 定 を 行 わ な い 事 。 フ ァ イ ヤ ー ウ ォ ー ル 条 件 の 設 定 の 場 合 は 、 以 下 に 示 す う ち の 一 つ を 指 定 す る 事 。 accept(許 可 ), deny(不 許 可 ), ま た は reject(拒 絶 ) ソ ー ス (元 ) と デ ス テ ィ ネ ー シ ョ ン (先 )の ホ ス ト 名 が 一 つ 以 上 の ア ド レ ス で あ っ た 場 合 は そ れ ら の 考 え ら れ う る 組 み 合 わ せ が 追 加 さ れ る 。
-i [policy] 設 定 し た 条 件 の 先 頭 に 一 つ 以 上 の 条 件 を 挿 入 す る 。 詳 細 な 書 式 に つ い て は -a を 参 照 の 事
-d [policy] 設 定 し た 条 件 の う ち 、 一 つ 以 上 の 条 件 を 削 除 す る 。 意 味 合 い と し て は 追 加 /挿 入 コ マ ン ド と 同 じ で あ る 。 指 定 す る パ ラ メ ー タ は す で に 追 加 /挿 入 し た コ マ ン ド と 全 く 同 じ に す る 事 。 異 な る 場 合 は 不 一 致 と な り 、 そ の 条 件 は 削 除 さ れ な い 。 ま た 、 最 初 に 一 致 し た 条 件 だ け が 削 除 さ れ る 。

to zero： カ ウ ン タ の ０ リ セ ッ ト )コ マ ン ド と 組 み 合 わ せ て 使 用 で き る 。 こ の 場 合 、 パ ケ ッ ト と バ イ ト カ ウ ン タ は 、 現 在 の 値 を 表 示 し た 直 後 に リ セ ッ ト さ れ る 。 -x オ プ シ ョ ン を 付 け な い と 、 パ ケ ッ ト と バ イ ト カ ウ ン タ (が 指 定 さ れ て い れ ば ) は 数 値 K ま た は 数 値 M で 表 示 さ れ る 。 こ こ で 、 1Kは 1000で あ り 、 1Mは 1000Kを 意 味 す る 。 (最 も 近 い 整 数 に 丸 め ら れ る ) 下 記 の -e と -x の フ ラ グ の 多 く の 機 能 も 参 照 の 事 。

-l (リ ス ト ： list)コ マ ン ド と の 組 み 合 わ せ て 使 用 す る 事 が 多 い で あ ろ う 。

-p policy 選 択 し た フ ァ イ ヤ ー ウ ォ ー ル タ イ プ の デ フ ォ ル ト の "policy"を 変 更 す る 。 与 え る べ き "policy"は accept、 deny、 ま た は reject の 内 の 一 つ で な け れ ば な ら な い 。 デ フ ォ ル ト "policy"は 一 致 す る 条 件 が な い 場 合 に 使 用 す る 。 こ の 設 定 は IPフ ァ イ ヤ ー ウ ォ ー ル に の み 有 効 で あ る 。 よ っ て 下 記 の -I、 -O、 ま た は -F の フ ラ グ と の 組 み 合 わ せ で 使 用 す る 。
-s tcp tcpfin udp

IPマ ス カ レ ー ド で 使 用 す る タ イ ム ア ウ ト 値 を 変 更 す る 。 こ の コ マ ン ド は 常 に 3つ の パ ラ メ ー タ を と り 、 そ れ ら は そ れ ぞ れ 秒 の 単 位 で TCPセ シ ョ ン 、 FINパ ケ ッ ト を 受 け た 後 の TCPセ シ ョ ン 、 UDPパ ケ ッ ト の タ イ ム ア ウ ト 値 を 記 述 す る 。 タ イ ム ア ウ ト 値 と し て 0を 指 定 し た 場 合 は 、 現 在 そ の エ ン ト リ で 使 用 し て い る 値 が そ の ま ま 引 き 継 が れ る 。 こ の 設 定 は 、 -M フ ラ グ と の 組 み 合 わ せ で の み 有 効 で あ る 。

可 )、 deny (不 許 可 )、 ま た は reject (拒 絶 )で あ る か ど う か を 確 認 す る 。 こ の 設 定 は 、 -I, -O, ま た は -F フ ラ グ と の 組 み 合 わ せ で の み 有 効 で あ る 。

PARAMETERS 以 下 に 示 す パ ラ メ ー タ は append(追 加 )、 insert(挿 入 )、 delete(削 除 ) ま た は check(確 認 )と 組 み 合 わ せ て 使 用 可 能 で あ る 。
-P protocol 設 定 条 件 ま た は 確 認 す べ き パ ケ ッ ト の プ ロ ト コ ル を 示 す 。 記 述 す る 事 が で き る プ ロ ト コ ル と し て は tcp、 udp、 icmp、 ま た は all(全 て ) の プ ロ ト コ ル の う ち の 一 つ で あ る 。 all を 指 定 し た 場 合 は こ の オ プ シ ョ ン が 省 略 さ れ て い る 場 合 に と り う る す べ て の プ ロ ト コ ル が 対 象 に な る 。 All は check(確 認 )コ マ ン ド と の 組 み 合 わ せ で 用 い る 事 は な い で あ ろ う 。
-S address[/mask] [port ...] ソ ー ス の 指 定 (オ プ シ ョ ン )。 Address は host名 、 ネ ッ ト ワ ー ク 名 お よ び IPア ド レ ス に よ る 指 定 が 可 能 で あ る 。 mask は ネ ッ ト ワ ー ク マ ス ク に よ る 指 定 と 数 値 に よ る 指 定 が 可 能 で あ り 、 数 値 に よ る 指 定 は 左 側 か ら の ネ ッ ト マ ス ク ビ ッ ト 数 を 指 定 す る 。 よ っ て 、 マ ス ク 値 24 は 255.255.255.0 と 等 価 で あ る 。 ソ ー ス は 一 つ 以 上 の ポ ー ト ま た は ICMPタ イ プ を 含 む 。 そ れ ぞ れ の 指 定 は service名 、 port番 号 、 ま た は (数 値 で の )ICMP タ イ プ で 指 定 で き る 。 こ の 章 の 残 り の 部 分 で 記 述 す る port は 、 port番 号 ま た は ICMPタ イ プ を 示 す 。 こ れ ら の 指 定 の 内 、 port番 号 の 範 囲 を 指 定 す る 場 合 は 、 port:port と 、 記 述 す る 。 さ ら に 、 ソ ー ス (元 )と デ ス テ ィ ネ ー シ ョ ン (先 )の 指 定 で き る 合 計 port 数 は IP_FW_MAX_PORTS (現 状 10)を 超 え て は な ら な い 。 こ こ で 、 portの 範 囲 指 定 の 場 合 は ２ と 数 え る 。

TCP、 UDPま た は ICMPパ ケ ッ ト の 「 最 初 の フ ラ グ メ ン ト で な い 」 部 分 は 常 に フ ァ イ ヤ ー ウ ォ ー ル に 許 可 さ れ る 。 ア カ ウ ン ト 制 御 に お い て は 、 こ れ ら の 二 番 目 以 降 の フ ラ グ メ ン ト は 特 別 に 扱 わ れ 、 種 々 の 方 法 で カ ウ ン ト で き る 。 port番 号 0xFFFF(65535)が 二 番 目 以 降 の TCPま た は UDPパ ケ ッ ト と し て 扱 わ れ る 。 こ れ ら の port番 号 0xFFFFの パ ケ ッ ト は ア カ ウ ン ト 目 的 で 用 い ら れ る 。 0xFF (255)は ICMPパ ケ ッ ト の 二 番 目 以 降 に 相 当 す る も の と し て 扱 わ れ る 。 ま た 、 ICMPタ イ プ が 0xFFの パ ケ ッ ト は ア カ ウ ン ト 目 的 で 用 い ら れ る 。 注 意 す べ き は 、 記 述 し た コ マ ン ド や プ ロ ト コ ル は 、 portを 暗 黙 に 制 限 す る 。 portは 下 記 プ ロ ト コ ル と の 組 み 合 わ せ で 使 用 す る 。 tcp、 udp、 ま た は icmp こ の オ プ シ ョ ン が 省 略 さ れ た 場 合 は 、 デ フ ォ ル ト の ア ド レ ス /ネ ッ ト マ ス ク と し て 0.0.0.0/0 (す べ て の ア ド レ ス に 適 合 す る も の )が ソ ー ス ア ド レ ス と し て 使 用 さ れ る 。 チ ェ ッ ク コ マ ン ド に お い て は こ の オ プ シ ョ ン が 必 須 で あ り 、 必 ず 1つ の ポ ー ト が 指 定 さ れ て い な け れ ば な ら な い 。

-D address[/mask] [port ...] デ ス テ ィ ネ ー シ ョ ン (先 )を 指 定 す る 。 (オ プ シ ョ ン ) 記 法 の 詳 細 に 関 し て は -S 記 法 、 省 略 時 標 準 値 、 そ の 他 の 指 定 項 目 に つ い て は (source： ソ ー ス )フ ラ グ の 項 を 参 照 の 事 。 注 意 す べ き は 、 ICMPタ イ プ は -D フ ラ グ と の 組 み 合 わ せ で は 使 用 で き な い 。 す な わ ち 、 -S フ ラ グ の 後 に 指 定 す る 事 。
-V address オ プ シ ョ ン と し て 、 パ ケ ッ ト が 受 け 取 ら れ る ま た は 送 ら れ る 時 に 経 由 す る イ ン タ フ ェ ー ス の ア ド レ ス を 指 定 す る 。 Address は host名 で も 数 値 に よ る IPア ド レ ス で も よ い 。 host名 が 指 定 さ れ た 場 合 は 、 た だ 一 つ の IPア ド レ ス に 割 り 当 て ら れ る 。 こ の オ プ シ ョ ン が 省 略 さ れ た 場 合 は 、 ア ド レ ス は 0.0.0.0 が 仮 定 さ れ 、 特 別 に ど の イ ン タ フ ェ ー ス ア ド レ ス も 適 合 さ れ る 。 チ ェ ッ ク コ マ ン ド に お い て は こ の オ プ シ ョ ン が 必 須 で あ る 。
-W name オ プ シ ョ ン と し て 、 パ ケ ッ ト が 受 け 取 ら れ る ま た は 送 ら れ る 時 に 経 由 す る イ ン タ フ ェ ー ス の 名 前 を 指 定 す る 。 こ の オ プ シ ョ ン が 省 略 さ れ た 場 合 は 、 名 前 は empty string(空 文 字 列 )が 仮 定 さ れ 、 特 別 に ど の イ ン タ フ ェ ー ス 名 も 適 合 さ れ る 。 チ ェ ッ ク コ マ ン ド に お い て は こ の オ プ シ ョ ン が 必 須 で あ る 。

OTHER OPTIONS 以 下 に 示 す オ プ シ ョ ン が 使 用 可 能 で あ る 。