名前¶

ipchains - IP ファイアウォール管理

書式¶

ipchains -[ADC] チェイン ルールの詳細 [オプション]
ipchains -[RI] チェイン ルール番号 ルールの詳細 [オプション]
ipchains -D チェイン ルール番号 [オプション]
ipchains -[LFZNX] [チェイン] [オプション]
ipchains -P チェイン ターゲット [オプション]
ipchains -M [ -L | -S ] [オプション]

説明¶

ipchains は Linux カーネル中の IP ファイアウォールのルールを設定し、保守し、 検査するためのものである。 これらのルールは、4 つのカテゴリに分類できる - IP input (入力) チェイン、IP output (出力) チェイン、 IP forward (転送) チェイン、そしてユーザ定義チェインである。

これら各々のカテゴリ毎に、ルールの一覧表【訳注: table/テーブル】が 用意される。 これらルールはユーザ定義チェインのどれか一つを参照することもある。 詳細については ipfw(4) を参照のこと。

ターゲット¶

ファイアウォールルールでは、パケットの判定基準とターゲットを指定する。 対象パケットがマッチしないと、チェイン中の次のルールが検査される。 ルールに一致する場合、次のルールはターゲットの値によって指定される。 ターゲットの値はユーザ定義チェインの名前か、または特別な値である ACCEPT, DENY, REJECT, MASQ, REDIRECT, RETURN のうちの 1 つである。

ACCEPT は、対象パケットを通過させる。 DENY は、対象パケットを床へ落とし、捨て去る。 REJECT は、対象パケットを捨て去るという点では DENY と同じだが、 DENY よりも 礼儀正しく、デバッグし易くなっている。 何故なら、パケットを捨てる際に対象パケットを捨てたことを示す ICMP メッセージを送信元に返信するからである。 ( DENY と REJECT は、 ICMP パケットに関しては動作が同じであることに注意されたい。)

MASQ は forward チェインとユーザ定義チェインに対してのみ有効であり、且つカーネルが CONFIG_IP_MASQUERADE 付きでコンパイルされている場合にだけ使用できる。 これにより、パケットはあたかもローカルホストから発信されたかのように マスカレードされる。 更に、受信されるパケットは先にマスカレードされたホストに対する返答として 認識されると共に、自動的にマスカレード外し (demasquerade) が行われ、 forward チェインのチェックから外される。

REDIRECT は input チェインとユーザ定義チェインに対してのみ有効であり、カーネルが CONFIG_IP_TRANSPARENT_PROXY 付きでコンパイルされている場合にだけ使用できる。 このターゲットにより、リモートホスト宛に送信されたパケットであっても ローカルのソケットへ振り向けられる。 リダイレクト先のポートにデフォルト値である 0 が指定されていると、 そのパケットの宛先ポートがリダイレクト先のポートとして使用される。 このターゲットを用いる時は、オプションの引数としてポート番号が指定できる。

ユーザ定義チェインの終りに達するか、またはターゲット RETURN を持つルールにマッチした場合、以前の (呼び出し元の) チェイン中の次の ルールが評価される。 組み込み済みチェインの終りに達するか、または組み込み済みチェインのルールの ターゲットとして RETURN にマッチした場合、チェインに指定されたポリシーがそのパケットの運命を 決定する。

オプション¶

ipchains が認識するオプションは、幾つかのグループに分類できる。

ファイル¶

/proc/net/ip_fwchains
/proc/net/ip_masquerade

返り値¶

各種エラーメッセージは標準エラー出力に出力される。 正常動作時の終了コードは 0 である。 無効な、或は誤ったコマンド行パラメータに起因すると思われるエラーは、 終了コード 2 を発生する。 その他のエラーでの終了コードは 1 である。

バグ¶

ターミナルからの入力により forward チェインへルールが挿入または追加された ときに IP 転送機能が有効になっていない場合で --no-warnings を 指定していなければ、誤りを修正するまで IP 転送が行われないことを警告する メッセージが標準出力へ表示される。 これは、(2.0 カーネルには存在しなかった) 必要条件に気付かないユーザを助け るためのものである。

パケットカウンタとバイトカウンタを 1 つのチェインの分だけリセットする 方法は無い。これはカーネルの制限である。

ループの検知は ipchains では行われない。 ループ状態にあるパケットは破棄されログに記録されるが、 うっかりループを作ってしまうことを考慮して、ログから見つけ出すことが 必要である。

新しい 2.1 カーネルのパケットスケジューリングのルーチンを詳述する文書が リリースされる迄、パケットのマーキングの効果に関する説明は意図的に 曖昧にしている。

(組み込み済みチェインの) ポリシーカウンタを 0 にする方法は無い 。

注意¶

ipchains は、新しい IP ファイアウォールツリーを利用するという点で、Jos Vos 作の ipfwadm とは大きく異なっている。 ipchains の機能は ipfwadm のスーパーセットであり、コマンドはほぼ 1 対 1 で 対応付けることができる。 新しいコマンド名は、より理に適ったものであると思う。 とはいえ、注意すべき変更点もいくつか存在する。

フラグメントの扱いが異なる。 従来は、2 番目以降のフラグメントを全て通過させていた (通常、これは安全である)。 現在では、これらをフィルタすることができる。 すなわち、 ipfwadm からルールを変換する際には、フラグメントを許可する ルールを明示しなければならない。 同様に、送信元及び宛先ポートに 0xFFFF (ICMP では 0xFF) を指定して チェックする、古い統計 (accounting)ルールを探す必要がある。 これはフラグメントの統計を取る古い方法である。

統計 (accounting) ルールは、現在は input チェインと output チェインへ 統合されている。 以前の挙動と同じようにするには以下のようにすればよい -
ipchains -N acctin
ipchains -N acctout
ipchains -N acctio
ipchains -I input -j acctio
ipchains -I input -j acctin
ipchains -I output -j acctio
ipchains -I output -j acctout
これは 3 つのユーザ定義チェイン、 acctin, acctout , acctio, を生成する。 これらはあらゆる統計ルールを含められる。 (これらのルールは -j フラグを使わず指定するべきである。 そうすれば、パケットはこれらのチェインを単に無傷のまま通過する。)

カーネルが MASQ ターゲットや REDIRECT ターゲットが不適切なところにある (つまり、 forward ルール以外に MASQ があったり、入力ルール以外に REDIRECT がある等) のを見つけると、syslog にメッセージを記録し、そのパケットは破棄される。

SYN 及び ACK に合致する際の古い挙動 (従来、非 TCP パケットに対しては 無視されていた) が変更された。 非 TCP パケット固有のルールに対する SYN オプションは誤りである。

ACK マッチングオプション ( -k フラグ) は、もはやサポートされない。 ! と -y との組み合わせがこれに相当する)。

現在では、TOS の最下位ビットを設定・変更する TOS マスクを 明記するのはエラーになる - 以前の TOS マスクの場合、そのような試みはカーネル内部で黙って 変更されていた。

現在、 -b フラグは単に送信元及び宛先の指定を反転させるルールの組合せを 挿入或は削除する為だけになった。

インターフェースをアドレスで指定する方法は無い。インターフェース名を使うこと。

関連項目¶

ipfw(4)

著者¶

Rusty Russell <rusty@linuxcare.com>。細かな点まで校正してくれた Hans Persson にお礼が言いたい。今後私が書く文書は、全部彼に読んでもらいたい!

翻訳者¶

大神 淳 <ati@ff.iij4u.or.jp>
松田 陽一 <matsuda@palnet.or.jp>

日本語版校正¶

白方 健太郎 <argrath@ub32.org>
武井 伸光 <takei@webmasters.gr.jp>
元木 顕弘 <amotoki@dd.iij4u.or.jp>
関根 達夫 <tsekine@isoternet.org>