ipf(5) manページ

この節に記載されているキーワードは、ルールがマッチするか否かを決定するときに、パケットのどの属性を使用するのかを記述するために使用されます。以下の汎用属性がマッチングに使用でき、この順序で使用する必要があります:

tos 異なるサービス型 (Type-Of-Service) 値を持つパケットをフィルタできます。この上、個々のサービスレベルや組み合わせでフィルタできます。 TOS マスクに対する値は、16 進数または 10 進数の整数で表現されます。

ttl パケットを生存時間 (Time-To-Live) 値で選択することもできます。フィルタルールで与えられる値は、マッチが行われるパケットの値と厳密にマッチする必要があります。この値は、10 進数の整数でのみ与えることができます。

proto 特定のプロトコルに対してマッチすることができます。 /etc/protocols 中の全プロトコル名が認識されますし、使用可能です。また、プロトコルを 10 進数で指定することもできます。これにより、あなた独自のプロトコルや新しいプロトコルであるためリストが古くて掲載されていないものに対し、マッチするルールを作成できます。

TCP または UDP パケットにマッチする、特殊なプロトコルキーワード tcp/udp を使用することができます。このキーワードは、同じルールをいくつも書かなくてもよいようにするため、追加されました。

from と to のキーワードは、 IP アドレス (および省略可能なポート番号) とマッチさせるために使用されます。送信元と送信先の「両方の」パラメータを指定する必要があります。

IP アドレスの指定方法は、次の 2 つのうちのいずれかです: 数値によるアドレス/マスクまたは、ホスト名 mask ネットマスク。ホスト名は、hosts ファイルまたは DNS 中 (設定やライブラリに依存します) の有効なホスト名か、ドット付き数値形式です。ネットワーク指定として特別な記法はありませんが、ネットワーク名は認識されます。フィルタルールを DNS に依存させると攻撃の余地を導入してしまうので、勧められません。

ホスト名には特殊な any が許され、0.0.0.0/0 と認識されます (後述のマスク書式参照)。これは全 IP アドレスにマッチします。 "any" だけがマスクを暗黙的に指定しますので、他の状況では、ホスト名はマスクとともに指定する必要があります。ホストとマスクに対して "any" を指定できるものの、この言語においては、意味を持たなくなります。

数値フォーマット "x/y" は、 1 のビットが MSB から開始して y 個連続するマスクの生成を示します。よって、y の値が 16 である場合には、0xffff0000 になります。シンボリックな "x mask y" は、マスク y がドット付き IP 表現、または 0x12345678 の形式の 16 進数であることを示します。ビットマスクが示す IP アドレスの全ビットと、パケットのアドレスとが、厳密にマッチする必要があります; 現在、マッチの意味を反転する方法はありませんし、ビットマスクにて容易に表現可能ではない IP アドレス範囲にマッチさせる方法もありません (たとえるなら、ここまで実現すると、もはや朝食とは言えないですね)。

送信元と送信先のどちらかまたは両者に port マッチを含む場合、 TCP と UDP のパケットに対してのみ適用されます。 proto マッチパラメータが無い場合、どちらのプロトコルのパケットも比較されます。これは、"proto tcp/udp" と等価です。 port の比較を行うときには、サービス名および数値のポート番号のどちらでも使用できます。ポートの比較を行う際、数値形式を比較演算子とともに使用したり、ポート範囲を指定したりできます。ポートが from オブジェクトの一部として登場する場合、送信元ポート番号にマッチします。ポートが to オブジェクトの一部として登場する場合、送信先ポート番号にマッチします。更なる情報は使用例を参照してください。

all キーワードは、本質的に、他のマッチパラメータを伴わない "from any to any" の同義語です。

送信元および送信先のマッチパラメータの後に、次の追加のパラメータを使用可能です:

with ある種のパケットのみが持つ特殊な属性にマッチする場合に使用します。一般に、IP オプションが存在する場合にマッチさせるには、with ipopts を使用します。完全なヘッダを格納するには短かすぎるパケットにマッチさせるには、 with short を使用します。断片化されたパケットにマッチさせるためには、with frag を使用します。更に、IP オプション固有のフィルタリングに関しては、各オプションを列挙可能です。

with キーワードの後にパラメータを続ける前に、語 not または no を挿入し、オプションが存在しない場合にのみフィルタルールがマッチするようにできます。

with 節を連続して記述することが許されます。また、キーワード and を、with の代りに使用することができます。これは、純粋に可読性向上のためです ("with ... and ...")。複数の節を列挙したとき、すべてがマッチするときに、ルールがマッチします。

flags TCP フィルタリングにおいてのみ有効です。使用可能なレターは、TCP ヘッダにて設定可能なフラグの 1 つを表現します。関連は次の通りです:

F - FIN S - SYN R - RST P - PUSH A - ACK U - URG

様々なフラグシンボルを組み合わせて使用できますので、 "SA" はパケット中の SYN-ACK の組み合わせを表現します。 "SFR" などの組み合わせの指定を制限するものはありません。この組み合わせは、規則を守っている TCP 実装では通常生成されません。しかしながら、異常を避けるために、どのフラグに対してフィルタリングしているのかを示す必要があります。このために、どの TCP フラグを比較するのか (すなわち、どのフラグを重要と考えるか) を示すマスクを指定できます。これは、マッチ対象の TCP フラグ集合の後に、"/<flags>" を付けることで実現できます。例えば:

        ... flags S                         # "flags S/AUPRFS" になり、SYN フラグ「のみ」                         # が設定されているパケットにマッチします。
        ... flags SA                         # "flags SA/AUPRFSC" になり、SYN および ACK のフラグ                         # のみが設定されているパケットにマッチします。
        ... flags S/SA                         # SYN-ACK の組のうち、SYN フラグのみが設定されている                         # パケットにのみマッチします。これは共通の「確立」                         # キーワード動作です。"S/SA" は SYN と ACK の組の                         # 「両方」が設定されているものにはマッチ「しません」                         # が、"SFP" にはマッチ「します」。

icmp-type

proto icmp とともに使用した場合にのみ有効であり、 flags とともに使用しては「なりません」。多くのタイプがあり、この言語で認識される短縮形や、これに関連付けられた数値で指定できます。セキュリティの観点からみて最も重要なものは ICMP リダイレクトです。

block	このパケットを、ドロップするように印を付けることを示します。パケットをブロックすることに対し、 ICMP パケット (return-icmp) か、元のパケット送信宛先起源を装う ICMP パケット (return-icmp-as-dest) か、 TCP 「リセット」 (return-rst) の、いずれかの返答パケットを返すよう、フィルタに指示できます。 ICMP パケットは、任意の IP パケットの応答として生成でき、そのタイプを指定することもできます。 TCP リセットは、TCP パケットに対して適用されるルールにおいてのみ使用できます。 return-icmp または return-icmp-as-dest を使うとき、到達不可の 'タイプ' を指定可能です。このタイプとは、ネットワーク到達不可、ポート到達不可、権限による禁止のいずれかです。指定方法は、 return-icmp または return-icmp-as-dest の直後に、タイプに関連する ICMP コードを括弧で括るというものです。例えば block return-icmp(11) ...
とすると、Type-Of-Service (TOS) ICMP 到達不可エラーを返します。
pass	このパケットを、そのままフィルタを通過させるように印を付けます。
log	このパケットのログを取ります (後述のロギング節参照)。パケットがフィルタを通過可能か否かには、影響を与えません。
count	このパケットを、フィルタのアカウンティング統計に含めます。パケットがフィルタを通過可能か否かには、影響を与えません。統計は ipfstat(8) にて閲覧可能です。
call	このアクションは指定されたカーネル内関数を呼び出すために使用されます。カーネル内関数は、特定の呼び出しインタフェースを満す必要があります。カスタマイズしたアクションとセマンティクスを実装し、利用可能なアクションを補うことができます。知識があるハッカーが使用する機能であり、現在のところ文書化されていません。
skip <n>
	フィルタに、次の n フィルタルールをスキップさせます。スキップされる範囲のルールに挿入または除去があった場合、 n の値は適切に調整されます。
auth	これにより、ユーザ空間プログラムを実行して正当性を確認するパケット情報を待つことにより、認証できます。プログラムがカーネルに対してパケット通過を許すか否かの実際のフラグを返すまでの間、パケットは内部バッファに保持されます。パケット通過を許す前または認識されない送信元からのパケットをカーネルに落すよう指示する前に、このようなプログラムは、送信元アドレスを見るかもしれませんし、ユーザからの (パスワード等の) ある種の認証を求めるかもしれません。
preauth
	このクラスのパケットに対しては、更なる明確化のために既に認証されたリストを見るべきであると、フィルタに指示します。更にマッチするルールが見付からないと、パケットは落とされます (FR_PREAUTH は FR_PASS と同じではありません)。更にマッチするルールが見付かると、その結果が使用されます。これが使用される状況は、ユーザがファイアウォールにログインし、このユーザに関する一時的なルールを設定するような場合です。

log	最後にマッチするルールの場合、パケットヘッダが ipl ログに書き込まれます (後述のロギング節参照)。
quick	フィルタを高速化したり後続のルールよりも優先させるために、ルールの「ショートカット」を許します。パケットが quick の印が付いたフィルタルールにマッチする場合、このルールが最後にチェックされるルールになり、「短絡 (short-circuit)」パスにより後続のルールがこのパケットに対して処理されなくなります。 (現在のルールが適用された後に) パケットの現在の状態が、パケットが通過されるかブロックされるかを決定します。
	このオプションが指定されないと、ルールは「継続(fall-through)」ルールとされます。つまり、マッチの結果 (ブロック/通過) が保存され、更なるマッチがあるかをみるため処理が継続されます。
on	マッチ手続きにインタフェース名を組み込みます。インタフェース名は "netstat -i" で表示できます。このオプションを使用すると、指定した方向 (入出力) にこのインタフェースを通過するパケットに対してのみ、このルールがマッチします。このオプションが指定されないと、ルールはこのパケットが置かれたインタフェースに依存せずに (すなわち全インタフェースに) 適用されます。フィルタルールセットは全インタフェースに共通であり、各インタフェースに対してフィルタリストを持つのではありません。
	このオプションは特に、単純な IP 詐称 (IP spoofing) に対する防御として有用です: 指定したインタフェース上で、指定した送信元アドレスであるとされる入力パケットのみを通し、他のパケットをログしたりドロップすることができます。
dup-to	パケットをコピーし、複写したパケットを指定したインタフェースに対して外向きに送ります。また、宛先 IP アドレスを指定して、変更することができます。ネットワークスニファを使用して、ホスト外でログするために有用です。
to	指定したインタフェースにおいて、パケットを外向きキューに移動させます。カーネルのルーティングを回避するために使用でき、パケットに対する残りのカーネル処理をバイパスするためにも使用できます (内向きルールに適用された場合)。よって、ルータではなく、フィルタリングハブやスイッチのように、透過的に動作するファイアウォールを構築することができます。 fastroute キーワードは、このオプションの同義語です。

state	通信セッションのフロー情報を保存します。 TCP, UDP, ICMP の各パケットに関して状態が保存されます。
frags	断片化されたパケットの情報を保存します。この情報は、後に断片化する際に使用します。

head <n>
	新規グループ (番号 n) を作成することを示します。
group <n>
	このルールを、グループ 0 ではなく、グループ (番号 n) に置くことを示します。

body	パケットの内容の最初の 128 バイトを、ヘッダの後でログすることを示します。
first	ログが "keep" オプションと共に使用される場合、本オプションも指定することを勧めます。これにより、トリガとなるパケットのみをログして、この後に状態情報にマッチする全パケットをログしないようになります。
or-block
	なんらかの理由でフィルタがログを取れない場合 (ログ読み取りが非常に遅い場合など)、このパケットに対するこのルールのアクションが block であったと解釈させます。
level <loglevel>
	このパケットの情報ログに、どのログファシリティと優先度を使用するか、またはデフォルトファシリティでどの優先度を使用するかを指定します。情報ログには、ipmon の -s オプションを使用します。

manページ — IPF

名称

内容

解説

文法

フィルタルール

アクション

オプション

マッチングパラメータ

履歴保存

グループ

ロギング

使用例

関連ファイル

関連項目

tos	異なるサービス型 (Type-Of-Service) 値を持つパケットをフィルタできます。この上、個々のサービスレベルや組み合わせでフィルタできます。 TOS マスクに対する値は、16 進数または 10 進数の整数で表現されます。
ttl	パケットを生存時間 (Time-To-Live) 値で選択することもできます。フィルタルールで与えられる値は、マッチが行われるパケットの値と厳密にマッチする必要があります。この値は、10 進数の整数でのみ与えることができます。
proto	特定のプロトコルに対してマッチすることができます。 /etc/protocols 中の全プロトコル名が認識されますし、使用可能です。また、プロトコルを 10 進数で指定することもできます。これにより、あなた独自のプロトコルや新しいプロトコルであるためリストが古くて掲載されていないものに対し、マッチするルールを作成できます。
	TCP または UDP パケットにマッチする、特殊なプロトコルキーワード tcp/udp を使用することができます。このキーワードは、同じルールをいくつも書かなくてもよいようにするため、追加されました。
from と to のキーワードは、 IP アドレス (および省略可能なポート番号) とマッチさせるために使用されます。送信元と送信先の「両方の」パラメータを指定する必要があります。
IP アドレスの指定方法は、次の 2 つのうちのいずれかです: 数値によるアドレス/マスクまたは、ホスト名 mask ネットマスク。ホスト名は、hosts ファイルまたは DNS 中 (設定やライブラリに依存します) の有効なホスト名か、ドット付き数値形式です。ネットワーク指定として特別な記法はありませんが、ネットワーク名は認識されます。フィルタルールを DNS に依存させると攻撃の余地を導入してしまうので、勧められません。
ホスト名には特殊な any が許され、0.0.0.0/0 と認識されます (後述のマスク書式参照)。これは全 IP アドレスにマッチします。 "any" だけがマスクを暗黙的に指定しますので、他の状況では、ホスト名はマスクとともに指定する必要があります。ホストとマスクに対して "any" を指定できるものの、この言語においては、意味を持たなくなります。
数値フォーマット "x/y" は、 1 のビットが MSB から開始して y 個連続するマスクの生成を示します。よって、y の値が 16 である場合には、0xffff0000 になります。シンボリックな "x mask y" は、マスク y がドット付き IP 表現、または 0x12345678 の形式の 16 進数であることを示します。ビットマスクが示す IP アドレスの全ビットと、パケットのアドレスとが、厳密にマッチする必要があります; 現在、マッチの意味を反転する方法はありませんし、ビットマスクにて容易に表現可能ではない IP アドレス範囲にマッチさせる方法もありません (たとえるなら、ここまで実現すると、もはや朝食とは言えないですね)。
送信元と送信先のどちらかまたは両者に port マッチを含む場合、 TCP と UDP のパケットに対してのみ適用されます。 proto マッチパラメータが無い場合、どちらのプロトコルのパケットも比較されます。これは、"proto tcp/udp" と等価です。 port の比較を行うときには、サービス名および数値のポート番号のどちらでも使用できます。ポートの比較を行う際、数値形式を比較演算子とともに使用したり、ポート範囲を指定したりできます。ポートが from オブジェクトの一部として登場する場合、送信元ポート番号にマッチします。ポートが to オブジェクトの一部として登場する場合、送信先ポート番号にマッチします。更なる情報は使用例を参照してください。
all キーワードは、本質的に、他のマッチパラメータを伴わない "from any to any" の同義語です。
送信元および送信先のマッチパラメータの後に、次の追加のパラメータを使用可能です:
with	ある種のパケットのみが持つ特殊な属性にマッチする場合に使用します。一般に、IP オプションが存在する場合にマッチさせるには、with ipopts を使用します。完全なヘッダを格納するには短かすぎるパケットにマッチさせるには、 with short を使用します。断片化されたパケットにマッチさせるためには、with frag を使用します。更に、IP オプション固有のフィルタリングに関しては、各オプションを列挙可能です。
	with キーワードの後にパラメータを続ける前に、語 not または no を挿入し、オプションが存在しない場合にのみフィルタルールがマッチするようにできます。
	with 節を連続して記述することが許されます。また、キーワード and を、with の代りに使用することができます。これは、純粋に可読性向上のためです ("with ... and ...")。複数の節を列挙したとき、すべてがマッチするときに、ルールがマッチします。
flags	TCP フィルタリングにおいてのみ有効です。使用可能なレターは、TCP ヘッダにて設定可能なフラグの 1 つを表現します。関連は次の通りです:
F - FIN S - SYN R - RST P - PUSH A - ACK U - URG
	様々なフラグシンボルを組み合わせて使用できますので、 "SA" はパケット中の SYN-ACK の組み合わせを表現します。 "SFR" などの組み合わせの指定を制限するものはありません。この組み合わせは、規則を守っている TCP 実装では通常生成されません。しかしながら、異常を避けるために、どのフラグに対してフィルタリングしているのかを示す必要があります。このために、どの TCP フラグを比較するのか (すなわち、どのフラグを重要と考えるか) を示すマスクを指定できます。これは、マッチ対象の TCP フラグ集合の後に、"/<flags>" を付けることで実現できます。例えば:
... flags S # "flags S/AUPRFS" になり、SYN フラグ「のみ」 # が設定されているパケットにマッチします。 ... flags SA # "flags SA/AUPRFSC" になり、SYN および ACK のフラグ # のみが設定されているパケットにマッチします。 ... flags S/SA # SYN-ACK の組のうち、SYN フラグのみが設定されている # パケットにのみマッチします。これは共通の「確立」 # キーワード動作です。"S/SA" は SYN と ACK の組の # 「両方」が設定されているものにはマッチ「しません」 # が、"SFP" にはマッチ「します」。
icmp-type
	proto icmp とともに使用した場合にのみ有効であり、 flags とともに使用しては「なりません」。多くのタイプがあり、この言語で認識される短縮形や、これに関連付けられた数値で指定できます。セキュリティの観点からみて最も重要なものは ICMP リダイレクトです。