日本語 man コマンド類 (ja-man-1.1j_5) と日本語 man ドキュメント (ja-man-doc-5.4 (5.4-RELEASE 用) など) をインストールすると、以下のような man コマンド閲覧、キーワード検索が コンソールからできるようになります。
4.11-RELEASE-K, 5.4-RELEASE-K, 5.5-RELEASE-K, 6.0-RELEASE-K から 6.4-RELEASE-K, 7.0-RELEASE-K から 7.4-RELEASE-K, 8.0-RELEASE-K から 8.4-RELEASE-K, 9.0-RELEASE-K から 9.3-RELEASE-K, 10.0-RELEASE-K から 10.3-RELEASE-K, 11.0-RELEASE-K から 11.4-RELEASE-K, 12.0-RELEASE-K, 12.1-RELEASE-K は、 プライベート版 (小金丸が編集してまとめたもの) ですが、 より多くの翻訳したファイルが含まれています。 (5.4-RELEASE-K から 6.4-RELEASE-K, 7.0-RELEASE-K から 7.4-RELEASE-K, 8.0-RELEASE-K から 8.4-RELEASE-K, 9.0-RELEASE-K から 9.3-RELEASE-K, 10.0-RELEASE-K から 10.3-RELEASE-K, 11.0-RELEASE-K から 11.4-RELEASE-K, 12.0-RELEASE-K から 12.3-RELEASE-K, 13.0-RELEASE-K から 13.2-RELEASE-K は、全翻訳済み)
13.3-STABLE-K, 15.0-CURRENT-K は現在、作成中で日々更新されています。
Table of Contents
IPF(8) IPF(8)
名称
ipf - IP パケットの入力と出力のためのパケットのフィルタリングリストを変
更する
書式
ipf [ -6AcdDEInoPrsvVyzZ ] [ -l <block|pass|nomatch> ] [ -T <option
list> ] [ -F <i|o|a|s|S> ] -f <filename> [ -f <filename> [...]]
解説
ipf は、リストされたファイル名をオープンし (標準入力として "-" を扱いま
す)、パケットフィルタ規則セットに追加されるか、または削除される規則の
セットのためにファイルを解析します。
ipf によって処理された各規則は、解析の問題がないなら、カーネル内部のリ
ストに追加されます。規則は、ipf に与えられるとき、それらが現れる順序に
一致して、内部のリストの終わりに追加されます。
オプション
-6 IPv4 と IPv6 規則は、単一のテーブルに格納され、単一のファイルか
ら読み込むことができます。このオプションは、IPv6 規則をロードす
るために、もはや必要ではありません。このオプションは、-F オプ
ションで指定されるとき、無視され、-F オプションは、たとえ、この
オプションが指定されても、IPv4 規則をフラッシュします。
-A アクティブなリストに変更を行うリストを設定します (デフォルト)
-c <language>
このオプションによって、ipf は language をサポートするコンパイラ
のための出力ファイルを生成します。現在のところ、サポートされた唯
一の対象言語は、C (-cc) で、ipf が実行されているとき、2 つのファ
イル - ip_rules.c と ip_rules.h が、カレントディレクトリに生成さ
れます。これらのファイルは、フィルタ規則を静的にカーネルに組み込
むために IPFILTER_COMPILED カーネルオプションと共に使用すること
ができます。
-d デバッグモードをオンにします。フィルタ規則の 16 進数ダンプは、そ
れぞれのものを処理するように生成されます。
-D (有効であるなら) フィルタを無効にします。ロード可能なカーネル
バージョンのために有効ではありません。
-E (無効であるなら) フィルタを有効にします。ロード可能なカーネル
バージョンのために有効ではありません。
-F <i|o|a>
このオプションは、どのフィルタリストをフラッシュするかを指定しま
す。パラメータは、"i" (入力)、"o" (出力) または "a" (すべての
フィルタ規則を削除する) のいずれかであるべきです。適切な文字で始
まる単一文字または全体の単語のいずれかが使用されます。このオプ
ションは、オプションを実行するために使用されるコマンド行の順序で
その他の前、または後でもかまいません。
-F <s|S>
状態テーブルからエントリをフラッシュするために、-F オプション
は、"s" (あらゆる完全でなく確立された接続に関する状態情報を削除
する) または "S" (全体の状態テーブルを削除する) のいずれかと連携
して使用されます 2 つのオプションのただ 1 つだけが与えられます。
完全に確立された接続は、これ以上、完全に確立されていないことを示
すいずれかの方法を逸脱して、5/5 のように ipfstat -s 出力で表示さ
れます。
-F<5|6|7|8|9|10|11>
接続の閉鎖を表す状態が始まり、片側のみか、または完全な接続だけで
ある TCP について、その状態に対応する数を直接使用してそれらの状
態をフラッシュすることは可能です。数は、次の状態に関連します: 5
= close-wait, 6 = fin-wait-1, 7 = closing, 8 = last-ack, 9 =
fin-wait-2, 10 = time-wait, 11 = closed。
-F<number>
-F に供給された引数が 30 より大きいなら、多くの秒より大きいアイ
ドルがあるステートテーブルエントリは、フラッシュされます。
-f <filename>
このオプションは、ipf が、パケットフィルタ規則リストを修正する入
力を取得するために使用されるべきファイルを指定します。
-I アクティブでないリストに変更を行うリストを設定します。
-l <pass|block|nomatch>
-l フラグの使用は、パケットのデフォルトのログ記録を切り替えま
す。このオプションへの有効な引数は、pass、block と nomatch で
す。オプションが設定されるとき、フィルタリングを終了し、設定する
カテゴリと一致するあらゆるパケットは、ログ記録されます。これは、
ログ記録されるロードされた規則のいずれかと一致しないすべてのパ
ケットを引き起こすために最も役に立ちます。
-n このフラグ (変更なし) は、ipf が実際にあらゆる ioctl 呼び出しを
行うこと、または現在の実行しているカーネルを変更する何かを行うこ
とを防止します。
-o (デフォルトの) 入力リストではなく、デフォルトで規則を出力リスト
に追加/出力リストから削除することを強制します。
-P 認証規則テーブルの一時的なエントリとして規則を追加します。
-r 一致するフィルタ規則を内部のリストに追加するのではなく、それらを
削除します。
-s 使用中のアクティブなフィルタリストを "他の" ものと交換します。
-T <optionlist>
このオプションは、ランタイム時に IPFilter カーネル変数を変更する
ことができます。いくつかの変数は、変更のために IPFilter が無効の
状態 (-D) であることを要求しますが、他のものはそうしません。
optionlist パラメータは調整コマンドのコンマで区切られたリストで
す。調整コマンドは、"list" (カーネル内のすべての変数のリスト、そ
れらの最大、最小、と現在の値を検索して取り出す)、単一の変数名
(現在の値を検索して取り出す) と新しい値を設定するために次の代入
がある変数名のいずれかです。次はいくつかの例です。
# IPFilter カーネル調整可能なパラメータを印刷 (表示) します
ipf -T list
# 現在の TCP アイドルタイムアウトを表示し、次にそれを 3600 に
# 設定します
ipf -D -T fr_tcpidletimeout,fr_tcpidletimeout=3600 -E
# 現在の fr_pass と fr_chksrc の値を表示し、次に fr_chksrc を
# 1 に設定します
ipf -T fr_pass,fr_chksrc,fr_chksrc=1
-v 冗長なモードをオンにします。規則処理に関連する情報を表示します。
-V バージョン情報を表示します。これは、ipf バイナリにコンパイルされ
たバージョン情報を表示し、(実行していて/存在するなら) カーネル
コードからそれを取り出します。それが、カーネルに存在するなら、そ
の現在の状態に関する情報は、表示されます (ログ記録がアクティブで
あるか、デフォルトのフィルタリング、その他であるかどうかにかかわ
らず)。
-y 現在のインタフェースの状態リストで IP フィルタによって管理された
カーネル内のインタフェースリストを手動で再同期します。
-z 入力ファイルの規則ごとに、統計値を 0 にリセットし、それらが 0 に
される前の統計値を表示します。
-Z フィルタリングのみのためにカーネルに保持される統計値を 0 にしま
す (これは、破片または状態統計に影響しません)。
環境変数
IPF_PREDEFINED
ipfilter 変数は、ipf(5) の変数を参照、ipfilter と ipnat 変数にア
クセスするシェルを提供している、この環境変数で指定することができ
ます。例えば
IPF_PREDEFINED='my_server="10.1.1.1"; my_client="10.1.1.2";'
関連ファイル
/dev/ipauth
/dev/ipl
/dev/ipstate
関連項目
ipftest(1), mkfilters(1), ipf(4), ipl(4), ipf(5), ipfstat(8), ipmon(8),
ipnat(8)
診断
実際にカーネル内側で影響されるパケットのフィルタリングリストのために
root として実行する必要があります。
バグ
利用者が何か見つけたなら、darrenr@cyber.com で私に電子メールを送ってく
ださい。
IPF(8)