名 前
ipfwadm − IP フ ァ イ ヤ ー ウ ォ ー ル と ア カ ウ ン ト 制 御 の 管 理
書 式
ipfwadm
-A コ マ ン ド パ ラ
メ ー タ [オ プ シ
ョ ン ]
ipfwadm -I コ マ ン ド パ
ラ メ ー タ [オ プ
シ ョ ン ]
ipfwadm -O コ マ ン ド パ
ラ メ ー タ [オ プ
シ ョ ン ]
ipfwadm -F コ マ ン ド パ
ラ メ ー タ [オ プ
シ ョ ン ]
ipfwadm -M [ -l | -s ] [オ プ シ
ョ ン ]
説 明
Ipfwadm は 、 Linuxカ ー ネ ル で の IPフ ァ イ ヤ ー ウ ォ ー ル と ア カ ウ ン ト 制 御 の 規 則 を 設 定 ・ 更 新 お よ び 調 査 す る た め の も の で あ る 。 こ れ ら の 制 御 規 則 は 4つ の 種 類 に 分 け る 事 が で き る 。 そ れ ら は す な わ ち 、 IPパ ケ ッ ト の ア カ ウ ン ト 制 御 (accounting of IP packets)、 IP入 力 フ ァ イ ヤ ー ウ ォ ー ル (the IP input firewall)、 IP出 力 フ ァ イ ヤ ー ウ ォ ー ル (the IP output firewall)、 そ し て IP転 送 フ ァ イ ヤ ー ウ ォ ー ル (the IP forwarding firewall) で あ る 。 こ れ ら そ れ ぞ れ の 種 類 は 、 そ れ ぞ れ 別 の 条 件 リ ス ト で 制 御 さ れ る 。 詳 細 は ipfw(4) を 参 照 の 事 。
オ プ シ ョ ン
ipfwadm で 指 定 可 能 な オ プ シ ョ ン は い く つ か の グ ル ー プ に 分 類 で き る 。
CATEGORIES
以 下 に 示 す フ
ラ グ は コ マ ン
ド に 与 え る 条
件 の 種 類 を 指
定 す る の に 用
い る 。 :
-A [direction]
IPア カ ウ ン ト 規 則 オ プ シ ョ ン と し て 、 direction(方 向 ) を 指 定 す る 事 が で き る (in(入 力 方 向 ), out(出 力 方 向 ), or both(双 方 向 )), 指 定 さ れ た 入 力 方 向 ま た は 出 力 方 向 の パ ケ ッ ト の み が カ ウ ン ト さ れ る 。 デ フ ォ ル ト で は both(双 方 向 ) で あ る 。
-I |
IP 入 力 フ ァ イ ヤ ー ウ ォ ー ル 条 件 。 | ||
-O |
IP 出 力 フ ァ イ ヤ ー ウ ォ ー ル 条 件 。 | ||
-F |
IP 転 送 フ ァ イ ヤ ー ウ ォ ー ル 。 | ||
-M |
IP マ ス カ レ ー ド 設 定 。 こ の 設 定 は -l (list:リ ス ト ) ま た は -s (set timeout values:タ イ ム ア ウ ト 値 設 定 ) コ マ ン ド と の 組 み 合 わ せ で の み 使 用 可 能 で あ る 。 |
厳 密 に は 、 こ れ ら の オ プ シ ョ ン の う ち 一 つ を 必 ず 指 定 す る 事 。
COMMANDS
次 に 示 す オ プ
シ ョ ン は 実 際
の 動 作 を 指 定
す る も の で あ
る 。 こ れ ら の
う ち 一 つ だ け
を 書 式 で 示 さ
れ た 方 法 で コ
マ ン ド ラ イ ン
に て 指 定 す る
。
-a [policy] 設 定 し た
条 件 の 最 後 に
一 つ 以 上 の 条
件 を 追 加 す る
。 ア カ ウ ン ト
条 件 の 設 定 の
場 合 は 、 policyの 設
定 を 行 わ な い
事 。 フ ァ イ ヤ
ー ウ ォ ー ル 条
件 の 設 定 の 場
合 は 、 以 下 に
示 す う ち の 一
つ を 指 定 す る
事 。 accept(許 可 ),
deny(不 許 可 ), ま た
は reject(拒 絶 ) ソ ー
ス (元 ) と デ ス テ
ィ ネ ー シ ョ ン
(先 )の ホ ス ト 名
が 一 つ 以 上 の
ア ド レ ス で あ
っ た 場 合 は そ
れ ら の 考 え ら
れ う る 組 み 合
わ せ が 追 加 さ
れ る 。
-i [policy] 設 定 し た
条 件 の 先 頭 に
一 つ 以 上 の 条
件 を 挿 入 す る
。 詳 細 な 書 式
に つ い て は -a
を 参 照 の 事
-d [policy] 設 定 し た
条 件 の う ち 、
一 つ 以 上 の 条
件 を 削 除 す る
。 意 味 合 い と
し て は 追 加 /挿
入 コ マ ン ド と
同 じ で あ る 。
指 定 す る パ ラ
メ ー タ は す で
に 追 加 /挿 入 し
た コ マ ン ド と
全 く 同 じ に す
る 事 。 異 な る
場 合 は 不 一 致
と な り 、 そ の
条 件 は 削 除 さ
れ な い 。 ま た
、 最 初 に 一 致
し た 条 件 だ け
が 削 除 さ れ る
。
-l 設 定 し た 条 件 の 一 覧 を 表 示 す る 。 こ の コ マ ン ド は |
-z (reset counters |
to zero: カ ウ ン タ の 0 リ セ ッ ト )コ マ ン ド と 組 み 合 わ せ て 使 用 で き る 。 こ の 場 合 、 パ ケ ッ ト と バ イ ト カ ウ ン タ は 、 現 在 の 値 を 表 示 し た 直 後 に リ セ ッ ト さ れ る 。 -x オ プ シ ョ ン を 付 け な い と 、 パ ケ ッ ト と バ イ ト カ ウ ン タ (が 指 定 さ れ て い れ ば ) は 数 値 K ま た は 数 値 M で 表 示 さ れ る 。 こ こ で 、 1Kは 1000で あ り 、 1Mは 1000Kを 意 味 す る 。 (最 も 近 い 整 数 に 丸 め ら れ る ) 下 記 の -e と -x の フ ラ グ の 多 く の 機 能 も 参 照 の 事 。
-z 設 定 し た 条 件 の パ ケ ッ ト 数 と バ イ ト 数 の カ ウ ン タ を リ セ ッ ト す る 。 こ の コ マ ン ド は |
-l (リ ス ト : list)コ マ ン ド と の 組 み 合 わ せ て 使 用 す る 事 が 多 い で あ ろ う 。
-f 設 定 し た 条 件 を 抹 消 す る 。 |
-p policy
選 択 し た フ ァ
イ ヤ ー ウ ォ ー
ル タ イ プ の デ
フ ォ ル ト の
"policy"を 変 更 す
る 。 与 え る べ
き "policy"は accept、
deny、 ま た は reject
の 内 の 一 つ で
な け れ ば な ら
な い 。 デ フ ォ
ル ト "policy"は 一
致 す る 条 件 が
な い 場 合 に 使
用 す る 。 こ の
設 定 は IPフ ァ イ
ヤ ー ウ ォ ー ル
に の み 有 効 で
あ る 。 よ っ て
下 記 の -I、
-O、 ま た は -F
の フ ラ グ と の
組 み 合 わ せ で
使 用 す る 。
-s tcp tcpfin udp
IPマ ス カ レ ー ド で 使 用 す る タ イ ム ア ウ ト 値 を 変 更 す る 。 こ の コ マ ン ド は 常 に 3つ の パ ラ メ ー タ を と り 、 そ れ ら は そ れ ぞ れ 秒 の 単 位 で TCPセ シ ョ ン 、 FINパ ケ ッ ト を 受 け た 後 の TCPセ シ ョ ン 、 UDPパ ケ ッ ト の タ イ ム ア ウ ト 値 を 記 述 す る 。 タ イ ム ア ウ ト 値 と し て 0を 指 定 し た 場 合 は 、 現 在 そ の エ ン ト リ で 使 用 し て い る 値 が そ の ま ま 引 き 継 が れ る 。 こ の 設 定 は 、 -M フ ラ グ と の 組 み 合 わ せ で の み 有 効 で あ る 。
-c 選 択 し た フ ァ イ ヤ ー ウ ォ ー ル に お い て 、 こ の |
IPパ ケ ッ ト が accept(許 |
可 )、 deny (不 許 可 )、 ま た は reject (拒 絶 )で あ る か ど う か を 確 認 す る 。 こ の 設 定 は 、 -I, -O, ま た は -F フ ラ グ と の 組 み 合 わ せ で の み 有 効 で あ る 。
-h |
Help(ヘ ル プ )で あ る 。 コ マ ン ド の 記 法 を (現 在 は 非 常 に 簡 単 に )表 示 す る 。 |
PARAMETERS
以 下 に 示 す パ
ラ メ ー タ は append(追
加 )、 insert(挿 入 )、
delete(削 除 ) ま た は
check(確 認 )と 組 み 合
わ せ て 使 用 可
能 で あ る 。
-P protocol 設 定 条 件
ま た は 確 認 す
べ き パ ケ ッ ト
の プ ロ ト コ ル
を 示 す 。 記 述
す る 事 が で き
る プ ロ ト コ ル
と し て は tcp、
udp、 icmp、 ま た
は all(全 て ) の プ
ロ ト コ ル の う
ち の 一 つ で あ
る 。 all を 指 定
し た 場 合 は こ
の オ プ シ ョ ン
が 省 略 さ れ て
い る 場 合 に と
り う る す べ て
の プ ロ ト コ ル
が 対 象 に な る
。 All は check(確 認
)コ マ ン ド と の
組 み 合 わ せ で
用 い る 事 は な
い で あ ろ う 。
-S address[/mask] [port ...]
ソ ー ス の 指 定
(オ プ シ ョ ン )。
Address は host名 、 ネ
ッ ト ワ ー ク 名
お よ び IPア ド レ
ス に よ る 指 定
が 可 能 で あ る
。 mask は ネ ッ ト
ワ ー ク マ ス ク
に よ る 指 定 と
数 値 に よ る 指
定 が 可 能 で あ
り 、 数 値 に よ
る 指 定 は 左 側
か ら の ネ ッ ト
マ ス ク ビ ッ ト
数 を 指 定 す る
。 よ っ て 、 マ
ス ク 値 24 は
255.255.255.0 と 等 価 で
あ る 。 ソ ー ス
は 一 つ 以 上 の
ポ ー ト ま た は
ICMPタ イ プ を 含 む
。 そ れ ぞ れ の
指 定 は service名 、
port番 号 、 ま た は
(数 値 で の )ICMP タ イ
プ で 指 定 で き
る 。 こ の 章 の
残 り の 部 分 で
記 述 す る port は
、 port番 号 ま た は
ICMPタ イ プ を 示 す
。 こ れ ら の 指
定 の 内 、 port番 号
の 範 囲 を 指 定
す る 場 合 は 、
port:port と 、 記 述
す る 。 さ ら に
、 ソ ー ス (元 )と
デ ス テ ィ ネ ー
シ ョ ン (先 )の 指
定 で き る 合 計 port
数 は IP_FW_MAX_PORTS (現 状
10)を 超 え て は な
ら な い 。 こ こ
で 、 portの 範 囲 指
定 の 場 合 は 2
と 数 え る 。
TCP、 UDPま た は ICMPパ ケ ッ ト の 「 最 初 の フ ラ グ メ ン ト で な い 」 部 分 は 常 に フ ァ イ ヤ ー ウ ォ ー ル に 許 可 さ れ る 。 ア カ ウ ン ト 制 御 に お い て は 、 こ れ ら の 二 番 目 以 降 の フ ラ グ メ ン ト は 特 別 に 扱 わ れ 、 種 々 の 方 法 で カ ウ ン ト で き る 。 port番 号 0xFFFF(65535)が 二 番 目 以 降 の TCPま た は UDPパ ケ ッ ト と し て 扱 わ れ る 。 こ れ ら の port番 号 0xFFFFの パ ケ ッ ト は ア カ ウ ン ト 目 的 で 用 い ら れ る 。 0xFF (255)は ICMPパ ケ ッ ト の 二 番 目 以 降 に 相 当 す る も の と し て 扱 わ れ る 。 ま た 、 ICMPタ イ プ が 0xFFの パ ケ ッ ト は ア カ ウ ン ト 目 的 で 用 い ら れ る 。 注 意 す べ き は 、 記 述 し た コ マ ン ド や プ ロ ト コ ル は 、 portを 暗 黙 に 制 限 す る 。 portは 下 記 プ ロ ト コ ル と の 組 み 合 わ せ で 使 用 す る 。 tcp、 udp、 ま た は icmp こ の オ プ シ ョ ン が 省 略 さ れ た 場 合 は 、 デ フ ォ ル ト の ア ド レ ス /ネ ッ ト マ ス ク と し て 0.0.0.0/0 (す べ て の ア ド レ ス に 適 合 す る も の )が ソ ー ス ア ド レ ス と し て 使 用 さ れ る 。 チ ェ ッ ク コ マ ン ド に お い て は こ の オ プ シ ョ ン が 必 須 で あ り 、 必 ず 1つ の ポ ー ト が 指 定 さ れ て い な け れ ば な ら な い 。
-D
address[/mask] [port ...] デ
ス テ ィ ネ ー シ
ョ ン (先 )を 指 定
す る 。 (オ プ シ
ョ ン ) 記 法 の 詳
細 に 関 し て は
-S 記 法 、 省 略
時 標 準 値 、 そ
の 他 の 指 定 項
目 に つ い て は
(source: ソ ー ス )フ
ラ グ の 項 を 参
照 の 事 。 注 意
す べ き は 、 ICMPタ
イ プ は -D フ ラ
グ と の 組 み 合
わ せ で は 使 用
で き な い 。 す
な わ ち 、 -S フ
ラ グ の 後 に 指
定 す る 事 。
-V address オ プ シ ョ
ン と し て 、 パ
ケ ッ ト が 受 け
取 ら れ る ま た
は 送 ら れ る 時
に 経 由 す る イ
ン タ フ ェ ー ス
の ア ド レ ス を
指 定 す る 。 Address
は host名 で も 数 値
に よ る IPア ド レ
ス で も よ い 。
host名 が 指 定 さ れ
た 場 合 は 、 た
だ 一 つ の IPア ド
レ ス に 割 り 当
て ら れ る 。 こ
の オ プ シ ョ ン
が 省 略 さ れ た
場 合 は 、 ア ド
レ ス は 0.0.0.0 が 仮
定 さ れ 、 特 別
に ど の イ ン タ
フ ェ ー ス ア ド
レ ス も 適 合 さ
れ る 。 チ ェ ッ
ク コ マ ン ド に
お い て は こ の
オ プ シ ョ ン が
必 須 で あ る 。
-W name オ プ シ ョ
ン と し て 、 パ
ケ ッ ト が 受 け
取 ら れ る ま た
は 送 ら れ る 時
に 経 由 す る イ
ン タ フ ェ ー ス
の 名 前 を 指 定
す る 。 こ の オ
プ シ ョ ン が 省
略 さ れ た 場 合
は 、 名 前 は empty
string(空 文 字 列 )が
仮 定 さ れ 、 特
別 に ど の イ ン
タ フ ェ ー ス 名
も 適 合 さ れ る
。 チ ェ ッ ク コ
マ ン ド に お い
て は こ の オ プ
シ ョ ン が 必 須
で あ る 。
OTHER OPTIONS 以 下 に 示 す オ プ シ ョ ン が 使 用 可 能 で あ る 。
-b |
Bidirectional(双 方 向 )モ ー ド 。 指 定 し た 条 件 を 双 方 向 の IPパ ケ ッ ト に 適 合 す る 。 こ の オ プ シ ョ ン は append(追 加 )、 insert(挿 入 )ま た は delete(削 除 ) コ マ ン ド と 組 み 合 わ せ て 使 用 可 能 で あ る 。 | ||||||||||||||||||
-e |
Extended output(拡 張 出 力 )。 こ の オ プ シ ョ ン を 指 定 す る と list(リ ス ト )コ マ ン ド で の 出 力 で イ ン タ フ ェ ー ス と (も し あ れ ば )設 定 条 件 を 表 示 す る 。 フ ァ イ ヤ ー ウ ォ ー ル リ ス ト に お い て は 、 パ ケ ッ ト と バ イ ト カ ウ ン タ 値 (デ フ ォ ル ト の 状 態 で は 、 ア カ ウ ン ト 制 御 を 行 っ て い る バ イ ト カ ウ ン タ 値 の み が 表 示 さ れ る )お よ び TOSマ ス ク を 出 力 す る 。 -M と の 組 み 合 わ せ で 使 用 し た 場 合 は 、 delta sequence numbersに 関 連 し た 情 報 が 表 示 さ れ る 。 こ の オ プ シ ョ ン は list(リ ス ト )コ マ ン ド と の 組 み 合 わ せ で の み 有 効 で あ る 。 | ||||||||||||||||||
-k |
TCPパ ケ ッ ト の ACKビ ッ ト が セ ッ ト さ れ て い る も の の み 適 合 す る 。 (こ の オ プ シ ョ ン は 他 の プ ロ ト コ ル で は 無 視 さ れ る ) こ の オ プ シ ョ ン は append(追 加 )、 insert(挿 入 )ま た は delete(削 除 ) コ マ ン ド と 組 み 合 わ せ て 使 用 可 能 で あ る 。 転 送 用 の マ ス カ レ ー ド パ ケ ッ ト の 許 可 。 こ の オ プ シ ョ ン を 指 定 し た 場 合 、 パ ケ ッ ト が ロ ー カ ル ホ ス ト か ら の も の で あ れ ば マ ス カ レ ー ド パ ケ ッ ト と し て 扱 わ れ る 。 さ ら に 、 逆 向 き の パ ケ ッ ト は 自 動 的 に 逆 マ ス カ レ ー ド パ ケ ッ ト と し て 扱 わ れ 、 フ ァ イ ヤ ー ウ ォ ー ル を バ イ パ ス す る 。 こ の オ プ シ ョ ン は 、 転 送 フ ァ イ ヤ ー ウ ォ ー ル の 場 合 で "policy"と し て accept (ま た は デ フ ォ ル ト の "policy"と し て accept が 指 定 さ れ て い る 場 合 )に 使 用 可 能 で 、 さ ら に カ ー ネ ル コ ン パ イ ル 時 に CONFIG_IP_MASQUERADE が 定 義 さ れ て い な け れ ば な ら な い 。
|