名前

iptables/ip6tables — IPv4/IPv6 のパケットフィルタと NAT の管理ツール

書式

iptables [-t table] {-A|-C|-D} chain rule-specification

ip6tables [-t table] {-A|-C|-D} chain rule-specification

iptables [-t table] -I chain [rulenum] rule-specification

iptables [-t table] -R chain rulenum rule-specification

iptables [-t table] -D chain rulenum

iptables [-t table] -S [chain [rulenum]]

iptables [-t table] {-F|-L|-Z} [chain [rulenum]] [options...]

iptables [-t table] -N chain

iptables [-t table] -X [chain]

iptables [-t table] -P chain target

iptables [-t table] -E old-chain-name new-chain-name

rule-specification = [matches...] [target]

match = -m matchname [per-match-options]

target = -j targetname [per-target-options]

説明

iptables と ip6tables は Linux カーネルの IPv4/IPv6 パケットフィルタルールのテーブルの設定・管理・検査に使用される。 複数の異なるテーブルを定義できる。 各テーブルには数個の組み込みチェインがあり、 さらにユーザー定義のチェインを加えることもできる。

各チェインは、パケット群にマッチするルールのリストである。 各ルールはマッチしたパケットに対する処理を規定する。 パケットに対する処理は「ターゲット」と呼ばれ、 同じテーブル内のユーザー定義チェインにジャンプすることもできる。

ターゲット

ファイアウォールのルールでは、 パケットのマッチ条件とターゲットを指定する。 パケットがマッチしない場合、 チェイン内の次のルールが評価される。 パケットがマッチした場合、 ターゲットの値によって次のルールが指定される。 ターゲットの値には、 ユーザー定義チェインの名前、 iptables-extensions(8) に説明があるターゲットのいずれか、 もしくは特別な値 ACCEPT, DROP, RETURN のいずれかを指定する。

ACCEPT はパケット通過、 DROP はパケット廃棄を意味する。 RETURN は、このチェインを辿るのを中止して、 前の (呼び出し元) チェインの次のルールから再開するという意味である。 組み込みチェインの最後に到達した場合、 または組み込みチェインでターゲット RETURN を持つルールにマッチした場合、 パケットをどのように処理するかは、そのチェインのポリシーで指定されたターゲットにより決まる。

テーブル

現在のところ 5 つの独立なテーブルが存在する (ある時点でどのテーブルが存在するかは、 カーネルの設定やどういったモジュールが存在するかに依存する)。

-t, --table table

このコマンドで操作するパケットマッチングテーブルを指定する。 カーネルで自動モジュールローディングが有効になっている場合、 そのテーブルで必要となるモジュールがまだロードされていなければ、 ロードされる。

以下のテーブルがある。

オプション

iptables と ip6tables で使えるオプションは、いくつかのグループに分けられる。

マッチングとターゲットの拡張

iptables は、パケットマッチングとターゲットの拡張を使うことができる。 iptables-extensions(8) man ページに利用できる拡張のリストが載っている。

返り値

いろいろなエラーメッセージが標準エラーに表示される。 正常に動作した場合、 終了コードは 0 である。 不正なコマンドラインパラメータによりエラーが発生した場合は、 終了コード 2 が返される。 その他のエラーの場合は、 終了コード 1 が返される。

バグ

バグ? 何それ?? ;-) http://bugzilla.netfilter.org/ を覗いてみるといいだろう。

IPCHAINS との互換性

iptables は、Rusty Russell の ipchains と非常によく似ている。 大きな違いは、チェイン INPUT と OUTPUT が、それぞれローカルホストに入ってくるパケットと、 ローカルホストから出されるパケットのみしか調べないという点である。 よって、 どのパケットも 3 つあるチェインのうち 1 つしか通らない (ただし、 ループバックトラフィックだけは例外で、 INPUT と OUTPUT の両方のチェインを通る)。 ipchains では、 フォワードされるパケットは 3 つのチェイン全てを通っていた。

その他の大きな違いは、 -i で入力インターフェース、 -o で出力インターフェースを表わし、 FORWARD チェインに入るパケットでは入出力両方のインターフェースが指定可能な点である。

NAT のいろいろな形式が分割された。 オプションの拡張モジュールと組み合わせて、デフォルトの「フィルタ」テーブルを用いた場合でも、 iptables は純粋なパケットフィルタとなる。 これにより、 ipchains で見られた IP マスカレーディングとパケットフィルタリングの組み合せた場合に分かりにくかった点が分かりやすくなっている。 そのため、以下のオプションを指定した場合の動作は違ったものになっている。

 -j MASQ


 -M -S


 -M -L

関連項目

iptables-apply(8), iptables-save(8), iptables-restore(8), iptables-extensions(8),

packet-filtering-HOWTO では、パケットフィルタリングについての詳細な iptables の使用法が説明されている。 NAT-HOWTO には NAT について詳しい説明がある。 netfilter-extensions-HOWTO では、 標準的な配布には含まれない拡張の詳細が説明されている。 netfilter-hacking-HOWTO には、内部構造についての詳細な説明がある。
http://www.netfilter.org/ を参照。

作者

Rusty Russell が最初に iptables を書いた。初期の段階での Michael Neuling との議論の上で書かれた。

Marc Boucher は Rusty に iptables の汎用的なパケット選択のフレームワークを使うように働きかけて、 ipnatctl を使わないようにした。そして、mangle テーブル、所有者マッチング、 mark 機能を書き、いたるところで使われている素晴らしいコードを書いた。

James Morris は TOS ターゲットと tos マッチングを書いた。

Jozsef Kadlecsik は REJECT ターゲットを書いた。

Harald Welte は ULOG ターゲット、NFQUEUE ターゲット、新しい libiptc や TTL, DSCP, ECN のマッチ・ターゲットを書いた。

Netfilter コアチームは、Martin Josefsson, Yasuyuki Kozakai, Jozsef Kadlecsik, Patrick McHardy, James Morris, Pablo Neira Ayuso, Harald Welte, Rusty Russell である。

man ページは元々 Herve Eychenne <rv@wallfire.org> が書いた。

バージョン

この man ページは iptables/ip6tables 1.4.21 について説明している。