[前に戻る: リストとマクロ] [目次] [次に進む: パケットフィルタリング]

PF: テーブル

目次

• はじめに
• 設定
• pfctl を使用した操作
• アドレスの指定
• アドレスマッチング

はじめに

• フィルタ、スクラブ (scrub)、 ネットワークアドレス変換 (NAT) および リダイレクション ルール中の 送信元および/または送信先アドレス
• ネットワークアドレス変換 (NAT) ルール中の変換アドレス
• リダイレクション ルール中のリダイレクションアドレス
• route-to、reply-to および dup-to フィルタルールオプションの中の送信先アドレス

テーブルは、 pf.conf の中に記述するか、または pfctl(8) を使用するかのいずれかで生成することができます。

設定

• const - テーブルの内容は、テーブルが生成された後は変更できません。 この属性が指定されていない場合には、 securelevel(7) が 2 以上で運用されている場合でも、 アドレスをテーブルに追加したりテーブルから削除したりするのに、いつでも pfctl(8) を使用することができます。
• persist - 参照ルールがなくなっても、カーネルはテーブルを メモリ中に保持します。この属性の指定がない場合には、 このテーブルを参照する最後のルールがフラッシュされた場合に、 カーネルはテーブルをメモリから自動的に除去します。

例:

table <goodguys> { 192.0.2.0/24 }
table <rfc1918> const { 192.168.0.0/16, 172.16.0.0/12, \
   10.0.0.0/8 }
table <spammers> persist

block in on fxp0 from { <rfc1918>, <spammers> } to any
pass  in on fxp0 from <goodguys> to any

アドレスは、以下のような否定 (あるいは "not") 修飾子を使用して 指定することができます。

table <goodguys> { 192.0.2.0/24, !192.0.2.5 }

この例では、goodguys テーブルは、192.0.2.5 を除く 192.0.2.0/24 ネットワークのすべてのアドレスにマッチするようになります。

テーブル名は常に < > で囲むということに注意してください。

テーブルは IP アドレスやネットワークのリストを含む テキストファイルに記述しておくこともできます。

table <spammers> persist file "/etc/spammers"

block in on fxp0 from <spammers> to any

この /etc/spammers ファイルは、IP アドレスのリストおよび/または CIDR ネットワークブロックを一行にひとつ含んでいます。 た、# から始まるすべての行はコメント行と解釈され、無視されます。

pfctl を使用した操作

# pfctl -t spammers -Tadd 218.70.0.0/16

このとき、<spammers> テーブルがまだ存在していない場合には、 これを生成します。テーブル中のアドレスのリストを取得するには以下のようにします。

# pfctl -t spammers -Tshow

# pfctl -t spammers -Tdelete 218.70.0.0/16

pfctl を使用したテーブルの操作についてのより詳しい情報は pfctl(8) を参照してください。

アドレスの指定

アドレスマッチング

table <goodguys> { 172.16.0.0/16, !172.16.1.0/24, 172.16.1.100 }

block in on dc0 all
pass  in on dc0 from <goodguys> to any

dc0 を通過して入ってくるすべてのパケットは、<goodguys> テーブルにマッチする送信元アドレスを持っています。

• 172.16.50.5 - 最も狭いマッチは 172.16.0.0/16 です。 パケットはテーブルにマッチし、通過することができます。
• 172.16.1.25 - 最も狭いマッチは !172.16.1.0/24 です。パケットは テーブル中のエントリにマッチしますが、このエントリは、("!" 修飾子を使用して) 否定されています。ですので、パケットはテーブルにマッチせず、ブロックされます。
• 172.16.1.100 - これは 172.16.1.100 に正確にマッチしています。 パケットはテーブルにマッチし、通過することができます。
• 10.1.4.55 - これはテーブルにはマッチせず、ブロックされます。

[前に戻る: リストとマクロ] [目次] [次に進む: パケットフィルタリング]