日本語 man コマンド類 (ja-man-1.1j_5) と日本語 man ドキュメント (ja-man-doc-5.4 (5.4-RELEASE 用) など) をインストールすると、以下のような man コマンド閲覧、キーワード検索が コンソールからできるようになります。
4.11-RELEASE-K, 5.4-RELEASE-K, 5.5-RELEASE-K, 6.0-RELEASE-K から 6.4-RELEASE-K, 7.0-RELEASE-K から 7.4-RELEASE-K, 8.0-RELEASE-K から 8.4-RELEASE-K, 9.0-RELEASE-K から 9.3-RELEASE-K, 10.0-RELEASE-K から 10.3-RELEASE-K, 11.0-RELEASE-K から 11.4-RELEASE-K, 12.0-RELEASE-K, 12.1-RELEASE-K は、 プライベート版 (小金丸が編集してまとめたもの) ですが、 より多くの翻訳したファイルが含まれています。 (5.4-RELEASE-K から 6.4-RELEASE-K, 7.0-RELEASE-K から 7.4-RELEASE-K, 8.0-RELEASE-K から 8.4-RELEASE-K, 9.0-RELEASE-K から 9.3-RELEASE-K, 10.0-RELEASE-K から 10.3-RELEASE-K, 11.0-RELEASE-K から 11.4-RELEASE-K, 12.0-RELEASE-K から 12.3-RELEASE-K, 13.0-RELEASE-K から 13.2-RELEASE-K は、全翻訳済み)
13.3-STABLE-K, 15.0-CURRENT-K は現在、作成中で日々更新されています。
Table of Contents
BLACKHOLE(4) FreeBSD カーネルインタフェースマニュアル BLACKHOLE(4)
名称
blackhole -- 拒否された SCTP、TCP または UDP 接続試みに関する振る舞いを操
作するための sysctl(8) MIB
書式
sysctl net.inet.sctp.blackhole[={0 | 1 | 2}]
sysctl net.inet.tcp.blackhole[={0 | 1 | 2}]
sysctl net.inet.udp.blackhole[={0 | 1}]
解説
blackhole sysctl(8) MIB は、接続要求が、ソケットの listen (接続を受け付
け) がない SCTP、TCP または UDP ポートで受信されるとき、制御システムの振
る舞いのために使用されます。
blackhole (ブラックホール) の振る舞いは、脆弱なサービスを検出する試みでシ
ステムをポートスキャンする攻撃者の速度を落とすために役に立ちます。また、
それは、サービス攻撃の試みられた拒否の速度を落とすことができます。
SCTP
SCTP blackhole MIB をある数の値に設定することは、着信 INIT への応答で
ABORT パケットを送信することを防止します。2 の MIB 値は、同じことを行いま
すが、予想外のパケットが受信されるとき、ABORT パケットを送信することも防
止します。
TCP
通常の振る舞いは、TCP SYN セグメントが接続を受け付けるソケットがないポー
トで受信される場合、システムが RST セグメントを返し、接続をやめます。接続
システムは、``接続拒否'' としてこれを考えます。1 つの数値として TCP
blackhole (ブラックホール) MIB を設定することによって、着信 SYN セグメン
トは単に落とされ、RST はブラックホールがシステムに現われたものとして送信
されません。MIB 値を 2 に設定することによって、クローズされたポートに到着
するどんなセグメントも RST を返さずに落とされます。これは、ステルス (内
密) ポートスキャンに対する保護をある程度を提供します。
UDP
blackhole の振る舞いを有効にすることは、ソケットの listen (接続を受け付
け) ないポートに到着する UDP データグラムへの応答で ICMP ポートアクセス不
能のメッセージの送信をオフに切り替えます。この振る舞いが、システムに
traceroute(8) の実行をリモートシステムから防ぐことを注意されなければなり
ません。
警告
SCTP、TCP と UDP ブラックホール機能は、ファイアウォールソリューションの置
き換えと見なすべきではありません。より良いセキュリティは、利用可能なファ
イアウォールパッケージの 1 つとともに使用される blackhole sysctl(8) MIB
から成るでしょう。
このメカニズムは、システムを安全にすることの代わりではありません。それは
他のセキュリティメカニズムと一緒に使用されるべきです。
関連項目
ip(4), sctp(4), tcp(4), udp(4), ipf(8), ipfw(8), pfctl(8), sysctl(8)
歴史
TCP と UDP blackhole MIB は、FreeBSD 4.0 ではじめて登場しました。
SCTP blackhole MIB は、FreeBSD 9.1 ではじめて登場しました。
作者
Geoffrey M. Rehmet
FreeBSD 11.2 September 6, 2015 FreeBSD 11.2