bpf(4) manページ

次のような ioctl(2) コマンドコードが <net/bpf.h> で定義されています。すべてのコマンドには次のようなインクルードファイルが必要です。

        #include <sys/types.h>
        #include <sys/time.h>
        #include <sys/ioctl.h>
        #include <net/bpf.h>

さらに、 BIOCGETIF と BIOCSETIF は、 < sys/socket.h> と < net/if.h> を必要とします。

FIONREAD と SIOCGIFADDR 以外にも、次のようなコマンドをオープンした bpf ファイルに適用できます。 ioctl(2) への (3 番目の) 引数は、指定の型へのポインタでなければなりません。

BIOCGBLEN (u_int) bpf ファイル上で読み込みを行うために必要なバッファ長を返します。

BIOCSBLEN (u_int) bpf ファイル上で読み込みを行うためのバッファ長を設定します。バッファは、ファイルが BIOCSETIF によってインタフェースに接続される前に設定されなければなりません。要求されたバッファサイズが適用できなかった場合は、許容できるサイズで最も近いものに設定され、それが引数の中に返されます。このサイズでないパケットがバッファを通ったときには、読み込みコールは EIO の値で終了します。

BIOCGDLT (u_int) 接続されたインタフェースの下にあるデータリンク層の型を返します。インタフェースが指定されていなかった場合 EINVAL が返されます。デバイスの型は、 "DLT_" が前に付いた形であり、 < net/bpf.h> で定義されています。

BIOCPROMISC 強制的にインタフェースを無差別 (promiscuous) モードにします。ローカルホストに向けられたもののみならずすべてのパケットが処理されます。複数のファイルが与えられたインタフェースを監視することができるので、そのインタフェースを無差別でないモードでオープンした監視者でもパケットを無差別に受信することができてしまいます。この問題は適当なフィルタで矯正することができます。

BIOCFLUSH 到着パケットのバッファをフラッシュし、BIOCGSTATS で返される集計値をリセットします。

BIOCGETIF (struct ifreq) ファイルが監視しているハードウェアインタフェースの名前を返します。名前は ifreq 構造体の ifr_name フィールドに返されます。他のフィールドはすべて未定義となります。

BIOCSETIF (struct ifreq) ファイルに関連付けるハードウェアインタフェースを設定します。このコマンドは、どんなパケットを読み込むよりも前に実行されなければいけません。デバイスは、 ifreq 構造体の ifr_name フィールドを使って名前で示されます。さらに BIOCFLUSH の動作を実行します。

BIOCSRTIMEOUT
BIOCGRTIMEOUT

(struct timeval) タイムアウトパラメータを設定または取得します。引数には、読み込み要求でタイムアウトするまでの待ち時間の長さを指定します。このパラメータは、 open(2) により 0 に初期化され、タイムアウトしないことを指示します。

BIOCGSTATS (struct bpf_stat) パケット集計値の次の構造体を返します:
struct bpf_stat { u_int bs_recv; /* 受信したパケット数 */ u_int bs_drop; /* 落としたパケット数 */ };

フィールドは次のようになります:

bs_recv オープンまたはリセット後に、この記述子によって受信したパケット数 (最後の読み込みコールからバッファされているものを含みます)。

bs_drop フィルタが受け取りはしたが、バッファのオーバフローによりカーネルが落としたパケットの数 (つまり、アプリケーションの読み込みがパケットの流量に追いついていないということです)。

BIOCIMMEDIATE (u_int) 引数の真偽値に基づいて ``直接モード'' を有効または無効にします。直接モードが有効なとき、パケットを受け取ると読み込みはただちに返されます。無効なとき、入力はカーネルバッファがいっぱいになるか、またはタイムアウトが起こるまでブロックされます。これは、リアルタイムにメッセージに応答しなければならない rarpd(8) のようなプログラムには便利です。新しいファイルに対しては、デフォルトではオフになります。

BIOCSETF (struct bpf_program) 興味のないパケットを捨てるためにカーネルが使うフィルタプログラムを設定します。次の構造体を通して命令を並べた配列とその長さが渡されます:
struct bpf_program { int bf_len; struct bpf_insn *bf_insns; };

フィルタプログラムは bf_insns フィールドで指定され、 'struct bpf_insn' の構造体中におけるプログラムの長さが bf_len フィールドで与えられます。そして、 BIOCFLUSH の動作が実行されます。フィルタ言語の説明についてはフィルタマシンのセクションを見て下さい。

BIOCVERSION (struct bpf_version) 現在カーネルに認識されているフィルタ言語のメジャーおよびマイナバージョン番号を返します。フィルタをインストールする前に、アプリケーションは、動作しているカーネルと現在のバージョンとが互換性があるかどうかを調べなければなりません。メジャー番号が一致し、アプリケーションのマイナ番号がカーネルのマイナ番号に等しいか、それ以下ならバージョン番号は互換性があります。カーネルのバージョン番号は以下の構造体で返されます:
struct bpf_version { u_short bv_major; u_short bv_minor; };

現在のバージョン番号は < net/bpf.h> 中の BPF_MAJOR_VERSION と BPF_MINOR_VERSION によって与えられます。互換性のないフィルタでは、予期しない動作に終わるかもしれません (最もありそうなのは、 ioctl() によってエラーが返されるか、または偶然にパケットが一致することです)。

struct bpf_hdr { struct timeval bh_tstamp; /* タイムスタンプ */ u_long bh_caplen; /* キャプチャされた部分の長さ */ u_long bh_datalen; /* パケットのオリジナルの長さ */ u_short bh_hdrlen; /* bpf ヘッダの長さ (この構造体 + 境界調整パディング) */ };

フィルタプログラムは命令を並べた配列であり、すべての分岐がコードの前方に向かうものであり、また、 return 命令で終わるものです。各命令は、アキュムレータ、インデックスレジスタ、一時メモリ記憶、および暗黙のプログラムカウンタから成る疑似マシン状態上で何らかの動作を行ないます。

次の構造体が命令フォーマットの定義です:

struct bpf_insn {
        u_short code;
        u_char  jt;
        u_char  jf;
        u_long k;
};

k フィールドは命令によって異なる用法で用いられ、 jt と jf フィールドは分岐命令によってオフセットとして用いられます。操作コードは半階層的な形で符号化されます。命令には 8 つのクラス BPF_LD, BPF_LDX, BPF_ST, BPF_STX, BPF_ALU, BPF_JMP, BPF_RET, BPF_MISC があります。他のいろいろなモードと操作ビットは実際の命令を与えるためにビット加算 (or) され、クラスに変換されます。クラスとモードは < net/bpf.h> 内で定義されています。

以下は定義されたそれぞれの bpf 命令です。便宜的に A がアキュムレータ、X がインデックスレジスタ、 P[] がパケットデータ、M[] が寄せ集めの一時メモリ記憶であるとします。 P[i:n] はパケット内の ``i'' バイトオフセットのデータを指し、ワード (n=4)、符号無し半ワード (n=2)、符号無しバイト (n=1) に翻訳されます。 M[i] は、一時メモリ記憶の中で i 番目のワードを指し、ワード単位のアドレスだけが割り振られます。メモリ記憶は 0 から BPF_MEMWORDS - 1 に番号付けされます。 k, jt, jf は、命令定義の中で対応するフィールドになります。``len'' は、パケット長を参照します。

BPF_LD これらの命令は、値をアキュムレータに複写します。ソースオペランドの型は、``アドレッシングモード'' で指定され、定数 ( BPF_IMM) でも、固定オフセットのパケットデータ ( BPF_ABS) 、可変オフセットのパケットデータ ( BPF_IND) 、パケット長 ( BPF_LEN) 、一時メモリ記憶内のワード ( BPF_MEM) をとり得ます。 BPF_IND と BPF_ABS の場合、データサイズは、ワード ( BPF_W) 、ハーフワード ( BPF_H) 、バイト ( BPF_B) のいずれかでなければなりません。使用可能な全 BPF_LD 命令の意味は次の通りです。

BPF_LD+BPF_W+BPF_ABS A <- P[k:4]

BPF_LD+BPF_H+BPF_ABS A <- P[k:2]

BPF_LD+BPF_B+BPF_ABS A <- P[k:1]

BPF_LD+BPF_W+BPF_IND A <- P[X+k:4]

BPF_LD+BPF_H+BPF_IND A <- P[X+k:2]

BPF_LD+BPF_B+BPF_IND A <- P[X+k:1]

BPF_LD+BPF_W+BPF_LEN A <- len

BPF_LD+BPF_IMM A <- k

BPF_LD+BPF_MEM A <- M[k]

BPF_LDX これらの命令は値をインデックスレジスタにロードします。この命令のときのアドレッシングモードは、アキュムレータへのロード時よりも厳密ですが、IP ヘッダ長をロードする効果的な方法である BPF_MSH を含んでいることに注目して下さい。

BPF_LDX+BPF_W+BPF_IMM X <- k

BPF_LDX+BPF_W+BPF_MEM X <- M[k]

BPF_LDX+BPF_W+BPF_LEN X <- len

BPF_LDX+BPF_B+BPF_MSH X <- 4*(P[k:1]&0xf)

BPF_ST この命令はアキュムレータを一時メモリに退避します。行き先の可能性が一つしかないのでアドレッシングモードは不要です。

BPF_ST M[k] <- A

BPF_STX

この命令はインデックスレジスタを一時メモリに退避します。

BPF_STX M[k] <- X

BPF_ALU

alu 命令は、アキュムレータとインデックスレジスタまたは定数間の操作を実行し、結果をアキュムレータに戻します。バイナリ操作のためにはソースモードが必要です ( BPF_K または BPF_X
.Pc。

BPF_ALU+BPF_ADD+BPF_K A <- A + k

BPF_ALU+BPF_SUB+BPF_K A <- A - k

BPF_ALU+BPF_MUL+BPF_K A <- A * k

BPF_ALU+BPF_DIV+BPF_K A <- A / k

BPF_ALU+BPF_AND+BPF_K A <- A & k

BPF_ALU+BPF_OR+BPF_K A <- A | k

BPF_ALU+BPF_LSH+BPF_K A <- A << k

BPF_ALU+BPF_RSH+BPF_K A <- A >> k

BPF_ALU+BPF_ADD+BPF_X A <- A + X

BPF_ALU+BPF_SUB+BPF_X A <- A - X

BPF_ALU+BPF_MUL+BPF_X A <- A * X

BPF_ALU+BPF_DIV+BPF_X A <- A / X

BPF_ALU+BPF_AND+BPF_X A <- A & X

BPF_ALU+BPF_OR+BPF_X A <- A | X

BPF_ALU+BPF_LSH+BPF_X A <- A << X

BPF_ALU+BPF_RSH+BPF_X A <- A >> X

BPF_ALU+BPF_NEG A <- -A

BPF_JMP ジャンプ命令はフロー制御を変更します。条件ジャンプはアキュムレータと、定数 ( BPF_K) またはインデックスレジスタ ( BPF_X) 間の比較を行ないます。結果が真 (つまり非 0) であった場合に真の分岐が選択され、そうでなければ偽の分岐が選択されます。ジャンプオフセットは 8 ビットに符号化されるので、最長ジャンプは 256 命令分です。しかし、常時ジャンプ操作コード ( BPF_JA) は、オフセットとして 32 ビットの k フィールドを使用し、離れた任意の行き先を許します。すべての条件は慣習的に符号無し比較を用います。

BPF_JMP+BPF_JA pc += k

BPF_JMP+BPF_JGT+BPF_K pc += (A > k) ? jt : jf

BPF_JMP+BPF_JGE+BPF_K pc += (A >= k) ? jt : jf

BPF_JMP+BPF_JEQ+BPF_K pc += (A == k) ? jt : jf

BPF_JMP+BPF_JSET+BPF_K pc += (A & k) ? jt : jf

BPF_JMP+BPF_JGT+BPF_X pc += (A > X) ? jt : jf

BPF_JMP+BPF_JGE+BPF_X pc += (A >= X) ? jt : jf

BPF_JMP+BPF_JEQ+BPF_X pc += (A == X) ? jt : jf

BPF_JMP+BPF_JSET+BPF_X pc += (A & X) ? jt : jf

BPF_RET リターン命令はフィルタプログラムを終了し、受信するパケットの量を指定します (すなわち、切り詰め量を返します)。戻り値 0 は、そのパケットが無視されるべきであることを表しています。戻り値は定数 ( BPF_K) またはアキュムレータ ( BPF_A) のいずれかです。

BPF_RET+BPF_A A バイト受信

BPF_RET+BPF_K k バイト受信

BPF_MISC 上記のクラスに適合しないものや、追加されるべき新しい命令のために、その他のカテゴリが作られました。現在、インデックスレジスタをアキュムレータに複写する、またはその逆を行なうレジスタ転送命令があります。

BPF_MISC+BPF_TAX X <- A

BPF_MISC+BPF_TXA A <- X

bpf インタフェースは、配列の初期化を手助けする次のマクロを提供しています: BPF_STMT(opcode, operand) と BPF_JUMP(opcode, operand, true_offset, false_offset)

struct bpf_insn insns[] = { BPF_STMT(BPF_LD+BPF_H+BPF_ABS, 12), BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, ETHERTYPE_REVARP, 0, 3), BPF_STMT(BPF_LD+BPF_H+BPF_ABS, 20), BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, REVARP_REQUEST, 0, 1), BPF_STMT(BPF_RET+BPF_K, sizeof(struct ether_arp) + sizeof(struct ether_header)), BPF_STMT(BPF_RET+BPF_K, 0), };

struct bpf_insn insns[] = { BPF_STMT(BPF_LD+BPF_H+BPF_ABS, 12), BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, ETHERTYPE_IP, 0, 8), BPF_STMT(BPF_LD+BPF_W+BPF_ABS, 26), BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, 0x8003700f, 0, 2), BPF_STMT(BPF_LD+BPF_W+BPF_ABS, 30), BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, 0x80037023, 3, 4), BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, 0x80037023, 0, 3), BPF_STMT(BPF_LD+BPF_W+BPF_ABS, 30), BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, 0x8003700f, 0, 1), BPF_STMT(BPF_RET+BPF_K, (u_int)-1), BPF_STMT(BPF_RET+BPF_K, 0), };

struct bpf_insn insns[] = { BPF_STMT(BPF_LD+BPF_H+BPF_ABS, 12), BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, ETHERTYPE_IP, 0, 10), BPF_STMT(BPF_LD+BPF_B+BPF_ABS, 23), BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, IPPROTO_TCP, 0, 8), BPF_STMT(BPF_LD+BPF_H+BPF_ABS, 20), BPF_JUMP(BPF_JMP+BPF_JSET+BPF_K, 0x1fff, 6, 0), BPF_STMT(BPF_LDX+BPF_B+BPF_MSH, 14), BPF_STMT(BPF_LD+BPF_H+BPF_IND, 14), BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, 79, 2, 0), BPF_STMT(BPF_LD+BPF_H+BPF_IND, 16), BPF_JUMP(BPF_JMP+BPF_JEQ+BPF_K, 79, 0, 1), BPF_STMT(BPF_RET+BPF_K, (u_int)-1), BPF_STMT(BPF_RET+BPF_K, 0), };

`bh_tstamp`	パケットフィルタによって、そのパケットが処理された時刻
`bh_caplen`	パケットのキャプチャされた部分の長さ。これは切り詰め量の最小値で、フィルタとパケット長によって指定されています。
`bh_datalen`	経路から離れたパケット長。この値はフィルタで指定された切り詰め量には依存しません。
`bh_hdrlen`	bpf ヘッダの長さ。これは `sizeof(struct bpf_hdr)` に等しいとは限りません。

manページ — BPF

名称

内容

書式

解説

IOCTL

BPF ヘッダ

フィルタマシン

使用例

関連項目

関連ファイル

バグ

歴史

著者

`BIOCGBLEN`	(`u_int`) bpf ファイル上で読み込みを行うために必要なバッファ長を返します。
`BIOCSBLEN`	(`u_int`) bpf ファイル上で読み込みを行うためのバッファ長を設定します。バッファは、ファイルが `BIOCSETIF` によってインタフェースに接続される前に設定されなければなりません。要求されたバッファサイズが適用できなかった場合は、許容できるサイズで最も近いものに設定され、それが引数の中に返されます。このサイズでないパケットがバッファを通ったときには、読み込みコールは `EIO` の値で終了します。
`BIOCGDLT`	(`u_int`) 接続されたインタフェースの下にあるデータリンク層の型を返します。インタフェースが指定されていなかった場合 `EINVAL` が返されます。デバイスの型は、 "`DLT_`" が前に付いた形であり、 < `net/bpf.h`> で定義されています。
`BIOCPROMISC`	強制的にインタフェースを無差別 (promiscuous) モードにします。ローカルホストに向けられたもののみならずすべてのパケットが処理されます。複数のファイルが与えられたインタフェースを監視することができるので、そのインタフェースを無差別でないモードでオープンした監視者でもパケットを無差別に受信することができてしまいます。この問題は適当なフィルタで矯正することができます。
`BIOCFLUSH`	到着パケットのバッファをフラッシュし、BIOCGSTATS で返される集計値をリセットします。
`BIOCGETIF`	(`struct ifreq`) ファイルが監視しているハードウェアインタフェースの名前を返します。名前は `ifreq` 構造体の ifr_name フィールドに返されます。他のフィールドはすべて未定義となります。
`BIOCSETIF`	(`struct ifreq`) ファイルに関連付けるハードウェアインタフェースを設定します。このコマンドは、どんなパケットを読み込むよりも前に実行されなければいけません。デバイスは、 `ifreq` 構造体の `ifr_name` フィールドを使って名前で示されます。さらに `BIOCFLUSH` の動作を実行します。
`BIOCSRTIMEOUT` `BIOCGRTIMEOUT`
	(`struct timeval`) タイムアウトパラメータを設定または取得します。引数には、読み込み要求でタイムアウトするまでの待ち時間の長さを指定します。このパラメータは、 open(2) により 0 に初期化され、タイムアウトしないことを指示します。
`BIOCGSTATS`	(`struct bpf_stat`) パケット集計値の次の構造体を返します: struct bpf_stat { u_int bs_recv; /* 受信したパケット数 / u_int bs_drop; / 落としたパケット数 */ }; フィールドは次のようになります:

`bs_recv`	オープンまたはリセット後に、この記述子によって受信したパケット数 (最後の読み込みコールからバッファされているものを含みます)。
`bs_drop`	フィルタが受け取りはしたが、バッファのオーバフローによりカーネルが落としたパケットの数 (つまり、アプリケーションの読み込みがパケットの流量に追いついていないということです)。

`BPF_LD+BPF_W+BPF_ABS`	A <- P[k:4]
`BPF_LD+BPF_H+BPF_ABS`	A <- P[k:2]
`BPF_LD+BPF_B+BPF_ABS`	A <- P[k:1]
`BPF_LD+BPF_W+BPF_IND`	A <- P[X+k:4]
`BPF_LD+BPF_H+BPF_IND`	A <- P[X+k:2]
`BPF_LD+BPF_B+BPF_IND`	A <- P[X+k:1]
`BPF_LD+BPF_W+BPF_LEN`	A <- len
`BPF_LD+BPF_IMM`	A <- k
`BPF_LD+BPF_MEM`	A <- M[k]

`BPF_LDX+BPF_W+BPF_IMM`	X <- k
`BPF_LDX+BPF_W+BPF_MEM`	X <- M[k]
`BPF_LDX+BPF_W+BPF_LEN`	X <- len
`BPF_LDX+BPF_B+BPF_MSH`	X <- 4*(P[k:1]&0xf)

`BPF_STX`
	この命令はインデックスレジスタを一時メモリに退避します。

`BPF_ALU`
	alu 命令は、アキュムレータとインデックスレジスタまたは定数間の操作を実行し、結果をアキュムレータに戻します。バイナリ操作のためにはソースモードが必要です ( `BPF_K` または `BPF_X` .Pc。

`BPF_ALU+BPF_ADD+BPF_K`	A <- A + k
`BPF_ALU+BPF_SUB+BPF_K`	A <- A - k
`BPF_ALU+BPF_MUL+BPF_K`	A <- A * k
`BPF_ALU+BPF_DIV+BPF_K`	A <- A / k
`BPF_ALU+BPF_AND+BPF_K`	A <- A & k
`BPF_ALU+BPF_OR+BPF_K`	A <- A \| k
`BPF_ALU+BPF_LSH+BPF_K`	A <- A << k
`BPF_ALU+BPF_RSH+BPF_K`	A <- A >> k
`BPF_ALU+BPF_ADD+BPF_X`	A <- A + X
`BPF_ALU+BPF_SUB+BPF_X`	A <- A - X
`BPF_ALU+BPF_MUL+BPF_X`	A <- A * X
`BPF_ALU+BPF_DIV+BPF_X`	A <- A / X
`BPF_ALU+BPF_AND+BPF_X`	A <- A & X
`BPF_ALU+BPF_OR+BPF_X`	A <- A \| X
`BPF_ALU+BPF_LSH+BPF_X`	A <- A << X
`BPF_ALU+BPF_RSH+BPF_X`	A <- A >> X
`BPF_ALU+BPF_NEG`	A <- -A

`BPF_JMP+BPF_JA`	pc += k
`BPF_JMP+BPF_JGT+BPF_K`	pc += (A > k) ? jt : jf
`BPF_JMP+BPF_JGE+BPF_K`	pc += (A >= k) ? jt : jf
`BPF_JMP+BPF_JEQ+BPF_K`	pc += (A == k) ? jt : jf
`BPF_JMP+BPF_JSET+BPF_K`	pc += (A & k) ? jt : jf
`BPF_JMP+BPF_JGT+BPF_X`	pc += (A > X) ? jt : jf
`BPF_JMP+BPF_JGE+BPF_X`	pc += (A >= X) ? jt : jf
`BPF_JMP+BPF_JEQ+BPF_X`	pc += (A == X) ? jt : jf
`BPF_JMP+BPF_JSET+BPF_X`	pc += (A & X) ? jt : jf

`BPF_RET+BPF_A`	A バイト受信
`BPF_RET+BPF_K`	k バイト受信