IPFW(8)

NOM
ipfw - utilitaire de contrôle pour firewall et comptabilité.

SYNOPSIS
ipfw [-vn] <action-entrée> <motif d'entrée de chaine> ipfw [-vn] <action-contrôle> <motif du paquet> ipfw [-vn] <action-chaine> <type de chaine[s]>

DESCRIPTION
Dans la première forme, l'utilitaire ipfw permet l'ajout et le retrait d'entrées de chaines de blocage/renvoi/comptabilité. Dans la seconde forme, l'utilitaire ipfw contrôle chaque fois qu'un paquet IP du type donné est accepté ou rejeté par un firewall de blocage ou de renvoi. Dans la troisième forme, l'utilitaire ipfw permet des actions globales comme la remise à zéro de compteurs, le vidage ou le listage des entrées de chaines et la valeur des compteurs associés. Les options suivantes sont disponibles : -n ne résout rien. Lors de définition des entrées, n'essaie pas de résoudre une adresse donnée (noms d'hôte/adresses). Pour les listes, affiche les adresses dans le format numérique. Les <actions-entrées> sont :

a[dd]b[locking] - ajoute une entrée au firewall de blocage. d[el]b[locking] - enlève une entrée au firewall de blocage. a[dd]f[orwarding] - ajoute une entrée au firewall de renvoi. d[el]f[orwarding] - enlève une entrée au firewall de renvoi. a[dd]a[ccounting] - ajoute une entrée à la chaine de comptage. d[el]a[ccounting] - supprime une entrée de la chaine de comptage. Les <actions-contrôle> sont : c[heck]b[locking] - contrôle un paquet contre le firewall de blocage. c[heck]f[orwarding] - contrôle un paquet contre le firewall de renvoi. Les <actions-chaines> sont : f[lush] - supprime toutes les entrées des chaines firewall/comptablilité. l[ist] - affiche toutes les entrées des chaines blocage/renvoi/comptabilité. zero[accounting] - Efface les compteurs de chaines (actuellement seulement pour la comptabilisation). Le <motif d'entrée de chaines> est construit comme ceci : Pour les chaines de renvoi/blocage : deny <motif proto/adr> accept <motif proto/adr>

Le <motif proto/adr> est ainsi : all|icmp from <src addr/mask> to <dst addr/mask> tcp|udp from <src addr/mask> [ports] to <dst addr/mask> [ports]

<src addr/mask>: <INET IP addr | nom_domaine> [/mask bits | :mask motif] [ports]: [ port,port....|port:port] où le nom de service peut être utilisé au lieu de la valeur numérique. Lorsqu'une entrée est ajoutée à une chaine et que l'option -v est utilisée, l'entrée est ajoutée avec l'option PRN positionnée. Le <motif de paquet> se construit exactement comme <motif entrée de chaine>. A la commande l[ist] peuvent être passés : f[orwarding]|b[locking]|a[ccounting] pour lister les chaines spécifiques, ou rien pour les lister toutes. L'option -v provoque un changement du format de sortie pour que soient imprimés les compteurs de paquets/octets. Le format de sortie standard correspond parfaitement à <motif entrée de chaine>. A la commande f[lush] peuvent être passés : f[irewall]|a[ccounting] pour supprimer toutes les entrées des chaines de renvoi/blocage ou de la chaine de comptabilisation. Toutes les entrées de chaines sont supprimées si aucun argument n'est donné.

Aucun argument n'est nécessaire à la commande zero[accounting], et tous les compteurs sont réinitialisés.

EXEMPLES
La commande suivante ajoute une entrée qui refuse tous les paquets TCP de hacker.evil.org vers le port telnet de wolf.tambov.su et étant renvoyées par l'hôte : ipfw addf deny tcp from hacker.evil.org to wolf.tambov.su telnet

Cellle-ci inhibe toutes les connexions de tout le réseau "hackers" vers mon hôte : ipfw addb deny all from 123.45.67.8/24 to my.host.org

BUGS
ATTENTION!!ATTENTION!!ATTENTION!!ATTENTION!!ATTENTION!! Ce programme peut mettre votre ordinateur dans un état quasiment inutilisable. La première fois essayez de l'utiliser à partir d'une console et NE faites rien que vous ne comprenez pas. Souvenez vous que "ipfw flush" peut résoudre tous les problèmes. Gardez également à l'esprit que "ipfw policy deny" combiné avec quelques entrées de chaines incorrectes (comme la seule entrée faite pour refuser certains paquets externes) peut isoler votre ordinateur du reste du monde. En plus d'une mauvaise utilisation, le seul bug connu est que les entrées ajoutées avec l'option -v doivent être supprimée avec la même option, mais il n'y a pas moyen de voir cela dans la commande

HISTORY
Initiallement cet utilitaire a été écrit pour BSDI par : Daniel Boulet <danny@BouletFermat.ab.ca> La version FreeBSD a été entièrement écrite par : Ugen J.S.Antsilevich <ugen@NetVision.net.il> Le synopsis est partiellement compatible avec l'ancien. Porté pour Linux par : Alan Cox <Alan.Cox@linux.org>