release/man8/iptables.8

   1 .\"*******************************************************************
   2 .\"
   3 .\" This file was generated with po4a. Translate the source file.
   4 .\"
   5 .\"*******************************************************************
   6 .\"
   7 .\" Japanese Version Copyright (c) 2001, 2004 Yuichi SATO
   8 .\"         all right reserved.
   9 .\" Translated 2001-07-29, Yuichi SATO <ysato@h4.dion.ne.jp>
  10 .\" Updated & Modified 2001-09-12, Yuichi SATO
  11 .\" Updated 2003-05-28, System Design and Research Institute Co., Ltd.
  12 .\" Updated & Modified 2004-02-21, Yuichi SATO <ysato444@yahoo.co.jp>
  13 .\" Updated 2013-04-08, Akihiro MOTOKI <amotoki@gmail.com>
  14 .\"
  15 .TH IPTABLES 8 "" "iptables 1.4.21" "iptables 1.4.21"
  16 .\"
  17 .\" Man page written by Herve Eychenne <rv@wallfire.org> (May 1999)
  18 .\" It is based on ipchains page.
  19 .\" TODO: add a word for protocol helpers (FTP, IRC, SNMP-ALG)
  20 .\"
  21 .\" ipchains page by Paul ``Rusty'' Russell March 1997
  22 .\" Based on the original ipfwadm man page by Jos Vos <jos@xos.nl>
  23 .\"
  24 .\"     This program is free software; you can redistribute it and/or modify
  25 .\"     it under the terms of the GNU General Public License as published by
  26 .\"     the Free Software Foundation; either version 2 of the License, or
  27 .\"     (at your option) any later version.
  28 .\"
  29 .\"     This program is distributed in the hope that it will be useful,
  30 .\"     but WITHOUT ANY WARRANTY; without even the implied warranty of
  31 .\"     MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
  32 .\"     GNU General Public License for more details.
  33 .\"
  34 .\"     You should have received a copy of the GNU General Public License
  35 .\"     along with this program; if not, write to the Free Software
  36 .\"     Foundation, Inc., 675 Mass Ave, Cambridge, MA 02139, USA.
  37 .\"
  38 .\"
  39 .SH 名前
  40 iptables/ip6tables \(em IPv4/IPv6 のパケットフィルタと NAT の管理ツール
  41 .SH 書式
  42 \fBiptables\fP [\fB\-t\fP \fItable\fP] {\fB\-A\fP|\fB\-C\fP|\fB\-D\fP} \fIchain\fP
  43 \fIrule\-specification\fP
  44 .P
  45 \fBip6tables\fP [\fB\-t\fP \fItable\fP] {\fB\-A\fP|\fB\-C\fP|\fB\-D\fP} \fIchain
  46 rule\-specification\fP
  47 .PP
  48 \fBiptables\fP [\fB\-t\fP \fItable\fP] \fB\-I\fP \fIchain\fP [\fIrulenum\fP]
  49 \fIrule\-specification\fP
  50 .PP
  51 \fBiptables\fP [\fB\-t\fP \fItable\fP] \fB\-R\fP \fIchain rulenum rule\-specification\fP
  52 .PP
  53 \fBiptables\fP [\fB\-t\fP \fItable\fP] \fB\-D\fP \fIchain rulenum\fP
  54 .PP
  55 \fBiptables\fP [\fB\-t\fP \fItable\fP] \fB\-S\fP [\fIchain\fP [\fIrulenum\fP]]
  56 .PP
  57 \fBiptables\fP [\fB\-t\fP \fItable\fP] {\fB\-F\fP|\fB\-L\fP|\fB\-Z\fP} [\fIchain\fP [\fIrulenum\fP]]
  58 [\fIoptions...\fP]
  59 .PP
  60 \fBiptables\fP [\fB\-t\fP \fItable\fP] \fB\-N\fP \fIchain\fP
  61 .PP
  62 \fBiptables\fP [\fB\-t\fP \fItable\fP] \fB\-X\fP [\fIchain\fP]
  63 .PP
  64 \fBiptables\fP [\fB\-t\fP \fItable\fP] \fB\-P\fP \fIchain target\fP
  65 .PP
  66 \fBiptables\fP [\fB\-t\fP \fItable\fP] \fB\-E\fP \fIold\-chain\-name new\-chain\-name\fP
  67 .PP
  68 rule\-specification = [\fImatches...\fP] [\fItarget\fP]
  69 .PP
  70 match = \fB\-m\fP \fImatchname\fP [\fIper\-match\-options\fP]
  71 .PP
  72 target = \fB\-j\fP \fItargetname\fP [\fIper\-target\-options\fP]
  73 .SH 説明
  74 \fBiptables\fP と \fBip6tables\fP は Linux カーネルの IPv4/IPv6
  75 パケットフィルタルールのテーブルの設定・管理・検査に使用される。 複数の異なるテーブルを定義できる。 各テーブルには数個の組み込みチェインがあり、
  76 さらにユーザー定義のチェインを加えることもできる。
  77 .PP
  78 各チェインは、パケット群にマッチするルールのリストである。 各ルールはマッチしたパケットに対する処理を規定する。
  79 パケットに対する処理は「ターゲット」と呼ばれ、 同じテーブル内のユーザー定義チェインにジャンプすることもできる。
  80 .SH ターゲット
  81 ファイアウォールのルールでは、 パケットのマッチ条件とターゲットを指定する。 パケットがマッチしない場合、 チェイン内の次のルールが評価される。
  82 パケットがマッチした場合、 ターゲットの値によって次のルールが指定される。 ターゲットの値には、 ユーザー定義チェインの名前、
  83 \fBiptables\-extensions\fP(8) に説明があるターゲットのいずれか、 もしくは特別な値 \fBACCEPT\fP, \fBDROP\fP,
  84 \fBRETURN\fP のいずれかを指定する。
  85 .PP
  86 \fBACCEPT\fP はパケット通過、  \fBDROP\fP はパケット廃棄を意味する。  \fBRETURN\fP は、このチェインを辿るのを中止して、 前の
  87 (呼び出し元) チェインの次のルールから再開するという意味である。 組み込みチェインの最後に到達した場合、 または組み込みチェインでターゲット
  88 \fBRETURN\fP を持つルールにマッチした場合、 パケットをどのように処理するかは、そのチェインのポリシーで指定されたターゲットにより決まる。
  89 .SH テーブル
  90 現在のところ 5 つの独立なテーブルが存在する (ある時点でどのテーブルが存在するかは、 カーネルの設定やどういったモジュールが存在するかに依存する)。
  91 .TP
  92 \fB\-t\fP, \fB\-\-table\fP \fItable\fP
  93 このコマンドで操作するパケットマッチングテーブルを指定する。 カーネルで自動モジュールローディングが有効になっている場合、
  94 そのテーブルで必要となるモジュールがまだロードされていなければ、 ロードされる。
  95
  96 以下のテーブルがある。
  97 .RS
  98 .TP  .4i
  99 \fBfilter\fP:
 100 (\-t オプションが指定されていない場合は) このテーブルがデフォルトとなる。 このテーブルには、 \fBINPUT\fP
 101 (ローカルマシンのソケット宛のパケットに対するチェイン)、 \fBFORWARD\fP (マシンを経由して転送されるパケットに対するチェイン)、
 102 \fBOUTPUT\fP (ローカルマシンで生成されたパケットに対するチェイン) という組み込みチェインがある。
 103 .TP
 104 \fBnat\fP:
 105 このテーブルは新しい接続を開くパケットの場合に参照される。 \fBPREROUTING\fP
 106 (パケットが入ってきた場合、すぐにそのパケットを変換するためのチェイン)、 \fBOUTPUT\fP
 107 (ローカルで生成されたパケットをルーティングの前に変換するためのチェイン)、 \fBPOSTROUTING\fP
 108 (パケットが出て行くときに変換するためのチェイン) という 3 つの組み込みチェインがある。 IPv6 NAT サポートはカーネル 3.7
 109 以降で利用できる。
 110 .TP
 111 \fBmangle\fP:
 112 このテーブルは特別なパケット変換に使われる。 カーネル 2.4.17 までは、組み込みチェインは \fBPREROUTING\fP
 113 (パケットが入ってきた場合、 すぐにそのパケットを変換するためのチェイン)、 \fBOUTPUT\fP (ローカルで生成されたパケットを
 114 ルーティングの前に変換するためのチェイン) の 2 つであった。 カーネル 2.4.18 からは、これらに加えて \fBINPUT\fP
 115 (マシン自体に入ってくるパケットに対するチェイン)、 \fBFORWARD\fP (マシンを経由するパケットに対するチェイン)、 \fBPOSTROUTING\fP
 116 (パケットが出て行くときに変換するためのチェイン) の 3 つの組み込みチェインもサポートされている。
 117 .TP
 118 \fBraw\fP:
 119 このテーブルは、NOTRACK ターゲットとの組み合わせで使用され、接続追跡 (connection tracking)
 120 の対象外とする通信を設定するのに使われる。このテーブルは netfilter フックに優先度高で登録されているので、 ip_conntrack や他の
 121 IP テーブルよりも前に呼ばれる。 このテーブルでは、 \fBPREROUTING\fP
 122 (任意のネットワークインタフェースから到着するパケットに対するチェイン)、 \fBOUTPUT\fP (ローカルプロセスが生成したパケットに対するチェイン)
 123 の 2 つの組み込みチェインが提供されている。
 124 .TP
 125 \fBsecurity\fP:
 126 このテーブルは、強制アクセス制御 (Mandatory Access Control; MAC) のネットワークルール用に使用される。 例えば、
 127 \fBSECMARK\fP や \fBCONNSECMARK\fP ターゲットにより有効にされるルールなどである。 強制アクセス制御は、 SELinux などの
 128 Linux セキュリティモジュールにより実装されている。 セキュリティテーブルは filter テーブルの後に呼ばれる。 これにより、
 129 強制アクセス制御のルールよりも前に、 filter テーブルの任意アクセス制御 (Discretionary Access Control; DAC)
 130 のルールを適用することができる。 このテーブルでは、 \fBINPUT\fP (マシン自体に入ってくるパケットに対するチェイン)、 \fBOUTPUT\fP
 131 (ローカルマシンで生成されたパケットに対してルーティング前に変更を行うためのチェイン)、 \fBFORWARD\fP
 132 (マシンを経由して転送されるパケットに対してルーティング前に変更を行うためのチェイン) の 3 つの組み込みチェインが提供されている。
 133 .RE
 134 .SH オプション
 135 \fBiptables\fP と \fBip6tables\fP で使えるオプションは、いくつかのグループに分けられる。
 136 .SS コマンド
 137 これらのオプションは、実行したい動作を指定する。 以下の説明で注記されていない限り、 コマンドラインで指定できるのはこの中の一つだけである。
 138 長いバージョンのコマンド名とオプション名は、 \fBiptables\fP が他のコマンド名やオプション名と区別できる範囲で (後ろの方の文字を省略して)
 139 指定することもできる。
 140 .TP
 141 \fB\-A\fP, \fB\-\-append\fP \fIchain rule\-specification\fP
 142 選択されたチェインの最後に 1 つ以上のルールを追加する。 送信元や送信先の名前の解決を行って、複数のアドレスに展開された場合は、
 143 可能なアドレスの組合せそれぞれに対してルールが追加される。
 144 .TP
 145 \fB\-C\fP, \fB\-\-check\fP \fIchain rule\-specification\fP
 146 指定したルールにマッチするルールが指定されたチェインにあるかを確認する。 このコマンドでマッチするエントリを探すのに使用されるロジックは \fB\-D\fP
 147 と同じだが、 既存の iptables 設定は変更されず、終了コードは成功、失敗を示すのに使用される。
 148 .TP
 149 \fB\-D\fP, \fB\-\-delete\fP \fIchain rule\-specification\fP
 150 .ns
 151 .TP
 152 \fB\-D\fP, \fB\-\-delete\fP \fIchain rulenum\fP
 153 選択されたチェインから 1 つ以上のルールを削除する。 このコマンドには 2 つの使い方がある: チェインの中の番号 (最初のルールを 1 とする)
 154 を指定する場合と、 マッチするルールを指定する場合である。
 155 .TP
 156 \fB\-I\fP, \fB\-\-insert\fP \fIchain\fP [\fIrulenum\fP] \fIrule\-specification\fP
 157 選択されたチェインにルール番号を指定して 1 つ以上のルールを挿入する。 ルール番号が 1 の場合、ルールはチェインの先頭に挿入される。
 158 ルール番号が指定されなかった場合、ルール番号のデフォルトは 1 となる。
 159 .TP
 160 \fB\-R\fP, \fB\-\-replace\fP \fIchain rulenum rule\-specification\fP
 161 選択されたチェインのルールを置き換える。 送信元や送信先の名前が複数のアドレスに展開された場合は、このコマンドは失敗する。 ルール番号は 1
 162 からはじまる。
 163 .TP
 164 \fB\-L\fP, \fB\-\-list\fP [\fIchain\fP]
 165 選択されたチェインにある全てのルールを一覧表示する。 チェインが指定されない場合、全てのチェインのリストが一覧表示される。
 166 他のコマンドと同様に、指定されたテーブル (デフォルトは filter) に対して作用する。 NAT ルールを表示するには以下のようにする。
 167 .nf
 168  iptables \-t nat \-n \-L
 169 .fi
 170 DNS の逆引きを避けるために、 \fB\-n\fP オプションと共に使用されることがよくある。 \fB\-Z\fP (ゼロクリア)
 171 オプションを同時に指定することもできる。 この場合、各チェインの表示とゼロクリアは同時に行われ、カウンタ値に抜けが発生することはない。
 172 細かな出力内容は同時に指定された他の引き数により変化する。 以下のように \fB\-v\fP オプションを指定しない限り、
 173 ルールの表示は一部省略されたものとなる。
 174 .nf
 175  iptables \-L \-v
 176 .fi
 177 .TP
 178 \fB\-S\fP, \fB\-\-list\-rules\fP [\fIchain\fP]
 179 選択されたチェインにある全てのルールを表示する。チェインが指定されない場合、 iptables\-save と同じく、 全てのチェインの情報が表示される。
 180 他のコマンド同様、 指定されたテーブル (デフォルトは filter) に対して作用する。
 181 .TP
 182 \fB\-F\fP, \fB\-\-flush\fP [\fIchain\fP]
 183 選択されたチェイン (何も指定されなければテーブル内の全てのチェイン) の内容を全消去する。これは全てのルールを 1 個ずつ削除するのと同じである。
 184 .TP
 185 \fB\-Z\fP, \fB\-\-zero\fP [\fIchain\fP [\fIrulenum\fP]]
 186 全てのチェインのパケットカウンタとバイトカウンタをゼロにする。 チェインやチェイン内のルールが指定された場合には、
 187 指定されたチェインやルールのカウンタだけをゼロにする。 クリアされる直前のカウンタを見るために、 \fB\-L\fP, \fB\-\-list\fP (一覧表示)
 188 オプションと同時に指定することもできる (上記を参照)。
 189 .TP
 190 \fB\-N\fP, \fB\-\-new\-chain\fP \fIchain\fP
 191 指定した名前のユーザー定義チェインを作成する。 同じ名前のターゲットが存在していてはならない。
 192 .TP
 193 \fB\-X\fP, \fB\-\-delete\-chain\fP [\fIchain\fP]
 194 指定したユーザー定義チェインを削除する。 そのチェインが参照されていてはならない。
 195 チェインを削除する前に、そのチェインを参照しているルールを削除するか、別のチェインを参照するようにしなければならない。
 196 チェインは空でなければならない、つまりチェインにルールが登録されていてはいけない。
 197 引き数が指定されなかった場合、テーブルにあるチェインのうち組み込みチェイン以外のものを全て削除する。
 198 .TP
 199 \fB\-P\fP, \fB\-\-policy\fP \fIchain target\fP
 200 チェインのポリシーを指定したターゲットに設定する。指定可能なターゲットは「\fBターゲット\fP」の章を参照すること。 (ユーザー定義ではない)
 201 組み込みチェインにしかポリシーは設定できない。 また、ポリシーのターゲットに、 組み込みチェインやユーザー定義チェインを設定することはできない。
 202 .TP
 203 \fB\-E\fP, \fB\-\-rename\-chain\fP \fIold\-chain new\-chain\fP
 204 ユーザー定義チェインを指定した名前に変更する。 これは見た目だけの変更なので、テーブルの構造には何も影響しない。
 205 .TP
 206 \fB\-h\fP
 207 ヘルプ。 (今のところはとても簡単な) コマンド書式の説明を表示する。
 208 .SS パラメータ
 209 以下のパラメータは (add, delete, insert, replace, append コマンドで用いられて) ルールの仕様を決める。
 210 .TP
 211 \fB\-4\fP, \fB\-\-ipv4\fP
 212 このオプションは iptables と iptables\-restore では効果を持たない。 \fB\-4\fP オプションを使ったルールを
 213 ip6tables\-restore で挿入された場合、(この場合に限り)
 214 そのルールは黙って無視される。それ以外の使い方をした場合はエラーが発生する。このオプションを使うと、 IPv4 と IPv6
 215 の両方のルールを一つのルールファイルに記述し、iptables\-restore と ip6tables\-restore
 216 の両方でそのファイルを使うことができる。
 217 .TP
 218 \fB\-6\fP, \fB\-\-ipv6\fP
 219 \fB\-6\fP オプションを使ったルールを iptables\-restore で挿入された場合、(この場合に限り)
 220 そのルールは黙って無視される。それ以外の使い方をした場合はエラーが発生する。このオプションを使うと、 IPv4 と IPv6
 221 の両方のルールを一つのルールファイルに記述し、iptables\-restore と ip6tables\-restore
 222 の両方でそのファイルを使うことができる。 このオプションは ip6tables と ip6tables\-restore では効果を持たない。
 223 .TP
 224 [\fB!\fP] \fB\-p\fP, \fB\-\-protocol\fP \fIprotocol\fP
 225 ルールで使われるプロトコル、またはチェックされるパケットのプロトコル。 指定できるプロトコルは、 \fBtcp\fP, \fBudp\fP, \fBudplite\fP,
 226 \fBicmp\fP, \fBesp\fP, \fBah\fP, \fBsctp\fP と特別なキーワード \fBall\fP のいずれか 1 つか、または数値である。
 227 数値には、これらのプロトコルのどれか、またはそれ以外のプロトコルを表す数値を指定することができる。 /etc/protocols
 228 にあるプロトコル名も指定できる。 プロトコルの前に "!" を置くと、そのプロトコルを除外するという意味になる。 数値 0 は \fBall\fP と等しい。
 229 "\fBall\fP" は全てのプロトコルとマッチし、このオプションが省略された際のデフォルトである。 ip6tables では、 \fBesp\fP 以外の
 230 IPv6 拡張ヘッダは指定できない点に注意。  \fBesp\fP と \fBipv6\-nonext\fP はバージョン 2.6.11 以降のカーネルで使用できる。
 231 数値 0 は \fBall\fP と等しい。 これは、プロトコルフィールドが値 0 であるかを直接検査できないことを意味する。 HBH
 232 ヘッダとマッチさせるためには、 HBH ヘッダが例え最後にある場合であっても、 \fB\-p 0\fP を使うことはできず、必ず \fB\-m hbh\fP
 233 を使う必要がある。
 234 .TP
 235 [\fB!\fP] \fB\-s\fP, \fB\-\-source\fP \fIaddress\fP[\fB/\fP\fImask\fP][\fB,\fP\fI...\fP]
 236 送信元の指定。 \fIaddress\fP はホスト名、ネットワーク IP アドレス (\fB/\fP\fImask\fP を指定する)、通常の IP
 237 アドレスのいずれかである。ホスト名の解決は、カーネルにルールが登録される前に一度だけ行われる。 DNS
 238 のようなリモートへの問い合わせで解決する名前を指定するのは非常に良くないことである。 \fImask\fP には、IPv4 ネットワークマスクか
 239 (iptables の場合)、ネットワークマスクの左側にある 1 の数を表す数値を指定する。つまり、 \fI24\fP という iptables の mask
 240 は \fI255.255.255.0\fP と同じである。 アドレス指定の前に "!" を置くと、そのアドレスを除外するという意味になる。 フラグ
 241 \fB\-\-src\fP は、このオプションの別名である。複数のアドレスを指定することができるが、その場合は (\-A での追加であれば)
 242 \fB複数のルールに展開され\fP、 (\-D での削除であれば) 複数のルールが削除されることになる。
 243 .TP
 244 [\fB!\fP] \fB\-d\fP, \fB\-\-destination\fP \fIaddress\fP[\fB/\fP\fImask\fP][\fB,\fP\fI...\fP]
 245 宛先の指定。 書式の詳しい説明については、 \fB\-s\fP (送信元) フラグの説明を参照すること。 フラグ \fB\-\-dst\fP
 246 は、このオプションの別名である。
 247 .TP
 248 \fB\-m\fP, \fB\-\-match\fP \fImatch\fP
 249 使用するマッチ、つまり、特定の通信を検査する拡張モジュールを指定する。 マッチの集合により、ターゲットが起動される条件が構築される。
 250 マッチは先頭から末尾に向けてコマンドラインで指定された順に評価され、 短絡式 (short\-circuit fashion)
 251 の動作を行う、つまり、いずれの拡張モジュールが偽 (false) を返した場合、そこで評価は終了する。
 252 .TP
 253 \fB\-j\fP, \fB\-\-jump\fP \fItarget\fP
 254 ルールのターゲット、 つまり、 パケットがマッチした場合にどうするかを指定する。 ターゲットはユーザー定義チェイン
 255 (そのルール自身が入っているチェイン以外) でも、 パケットの行方を即時に決定する特別な組み込みターゲットでも、 拡張ターゲット (以下の
 256 「\fBターゲットの拡張\fP」 を参照) でもよい。 このオプションがルールの中で省略された場合 (かつ \fB\-g\fP が使用されなかった場合)、
 257 ルールにマッチしてもパケットの行方に何も影響しないが、 ルールのカウンタは 1 つ加算される。
 258 .TP
 259 \fB\-g\fP, \fB\-\-goto\fP \fIchain\fP
 260 ユーザー定義チェインで処理を継続することを指定する。 \-\-jump オプションと異なり、 return が行われた際にこのチェインでの処理は継続されず、
 261 \-\-jump でこのチェインを呼び出したチェインで処理が継続される。
 262 .TP
 263 [\fB!\fP] \fB\-i\fP, \fB\-\-in\-interface\fP \fIname\fP
 264 パケットが受信されたインターフェース名 (\fBINPUT\fP, \fBFORWARD\fP, \fBPREROUTING\fP チェインに入るパケットのみ)。
 265 インターフェース名の前に "!" を置くと、 そのインターフェースを除外するという意味になる。 インターフェース名が "+" で終っている場合、
 266 その名前で始まる任意のインターフェース名にマッチする。 このオプションが省略された場合、 任意のインターフェース名にマッチする。
 267 .TP
 268 [\fB!\fP] \fB\-o\fP, \fB\-\-out\-interface\fP \fIname\fP
 269 パケットを送信することになるインターフェース名 (\fBFORWARD\fP, \fBOUTPUT\fP, \fBPOSTROUTING\fP
 270 チェインに入るパケットのみ)。 インターフェース名の前に "!" を置くと、 そのインターフェースを除外するという意味になる。 インターフェース名が
 271 "+" で終っている場合、 その名前で始まる任意のインターフェース名にマッチする。 このオプションが省略された場合、
 272 任意のインターフェース名にマッチする。
 273 .TP
 274 [\fB!\fP] \fB\-f\fP, \fB\-\-fragment\fP
 275 IPv4 の分割されたパケット (fragmented packet) のうち 2 番目以降のパケットだけを参照するルールであることを意味する。
 276 このようなパケット (または ICMP タイプのパケット) は 送信元ポートと宛先ポートを知る方法がないので、
 277 送信元ポートや宛先ポートを指定するようなルールにはマッチしない。 "\-f" フラグの前に "!" を置くと、
 278 分割されたパケットのうち最初のフラグメントか、 分割されていないパケットだけにマッチする。 このオプションは IPv4 固有であり、 ip6tables
 279 では利用できない。
 280 .TP
 281 \fB\-c\fP, \fB\-\-set\-counters\fP \fIpackets bytes\fP
 282 このオプションを使うと、 (\fBinsert\fP, \fBappend\fP, \fBreplace\fP 操作において) 管理者はパケットカウンタとバイトカウンタを
 283 初期化することができる。
 284 .SS その他のオプション
 285 その他に以下のオプションを指定することができる:
 286 .TP
 287 \fB\-v\fP, \fB\-\-verbose\fP
 288 詳細な出力を行う。 list コマンドの際に、 インターフェース名、 ルールのオプション (ある場合のみ)、 TOS マスクを表示させる。
 289 パケットとバイトカウンタも表示される。 添字 'K', 'M', 'G' は、 それぞれ 1000, 1,000,000, 1,000,000,000
 290 倍を表す (これを変更する \fB\-x\fP フラグも見よ)。 このオプションを append, insert, delete, replace
 291 コマンドに適用すると、 ルールについての詳細な情報を表示する。 \fB\-v\fP は複数回指定することができ、
 292 数が多くなるとより多くのデバッグ情報が出力される。
 293 .TP
 294 \fB\-w\fP, \fB\-\-wait\fP
 295 Wait for the xtables lock.  To prevent multiple instances of the program
 296 from running concurrently, an attempt will be made to obtain an exclusive
 297 lock at launch.  By default, the program will exit if the lock cannot be
 298 obtained.  This option will make the program wait until the exclusive lock
 299 can be obtained.
 300 .TP
 301 \fB\-n\fP, \fB\-\-numeric\fP
 302 数値による出力を行う。 IP アドレスやポート番号を数値によるフォーマットで表示する。 デフォルトでは、iptables は (可能であれば) IP
 303 アドレスやポート番号をホスト名、ネットワーク名、サービス名で表示しようとする。
 304 .TP
 305 \fB\-x\fP, \fB\-\-exact\fP
 306 厳密な数値で表示する。 パケットカウンタとバイトカウンタを、 K (1000 の何倍か)・M (1000K の何倍か)・G (1000M の何倍か)
 307 ではなく、 厳密な値で表示する。 このオプションは、 \fB\-L\fP コマンドの場合のみ意味がある。
 308 .TP
 309 \fB\-\-line\-numbers\fP
 310 ルールを一覧表示する際、 そのルールがチェインのどの位置にあるかを表す行番号を各行の始めに付加する。
 311 .TP
 312 \fB\-\-modprobe=\fP\fIcommand\fP
 313 チェインにルールを追加または挿入する際に、 (ターゲットやマッチングの拡張などで) 必要なモジュールをロードするために使う \fIcommand\fP
 314 を指定する。
 315 .SH マッチングとターゲットの拡張
 316 .PP
 317 iptables は、パケットマッチングとターゲットの拡張を使うことができる。 \fBiptables\-extensions\fP(8) man
 318 ページに利用できる拡張のリストが載っている。
 319 .SH 返り値
 320 いろいろなエラーメッセージが標準エラーに表示される。 正常に動作した場合、 終了コードは 0 である。
 321 不正なコマンドラインパラメータによりエラーが発生した場合は、 終了コード 2 が返される。 その他のエラーの場合は、 終了コード 1 が返される。
 322 .SH バグ
 323 バグ? 何それ?? ;\-)  http://bugzilla.netfilter.org/ を覗いてみるといいだろう。
 324 .SH "IPCHAINS との互換性"
 325 \fBiptables\fP は、Rusty Russell の ipchains と非常によく似ている。 大きな違いは、チェイン \fBINPUT\fP と
 326 \fBOUTPUT\fP が、それぞれローカルホストに入ってくるパケットと、 ローカルホストから出されるパケットのみしか調べないという点である。 よって、
 327 どのパケットも 3 つあるチェインのうち 1 つしか通らない (ただし、 ループバックトラフィックだけは例外で、 INPUT と OUTPUT
 328 の両方のチェインを通る)。 ipchains では、 フォワードされるパケットは 3 つのチェイン全てを通っていた。
 329 .PP
 330 その他の大きな違いは、 \fB\-i\fP で入力インターフェース、 \fB\-o\fP で出力インターフェースを表わし、 \fBFORWARD\fP
 331 チェインに入るパケットでは入出力両方のインターフェースが指定可能な点である。
 332 .PP
 333 NAT のいろいろな形式が分割された。 オプションの拡張モジュールと組み合わせて、デフォルトの「フィルタ」テーブルを用いた場合でも、
 334 \fBiptables\fP は純粋なパケットフィルタとなる。 これにより、 ipchains で見られた IP
 335 マスカレーディングとパケットフィルタリングの組み合せた場合に分かりにくかった点が分かりやすくなっている。
 336 そのため、以下のオプションを指定した場合の動作は違ったものになっている。
 337 .nf
 338  \-j MASQ
 339  \-M \-S
 340  \-M \-L
 341 .fi
 342 iptables では、その他にもいくつかの変更がある。
 343 .SH 関連項目
 344 \fBiptables\-apply\fP(8), \fBiptables\-save\fP(8), \fBiptables\-restore\fP(8),
 345 \fBiptables\-extensions\fP(8),
 346 .PP
 347 packet\-filtering\-HOWTO では、パケットフィルタリングについての詳細な iptables の使用法が説明されている。
 348 NAT\-HOWTO には NAT について詳しい説明がある。 netfilter\-extensions\-HOWTO では、
 349 標準的な配布には含まれない拡張の詳細が説明されている。 netfilter\-hacking\-HOWTO には、内部構造についての詳細な説明がある。
 350 .br
 351 \fBhttp://www.netfilter.org/\fP を参照。
 352 .SH 作者
 353 Rusty Russell が最初に iptables を書いた。初期の段階での Michael Neuling との議論の上で書かれた。
 354 .PP
 355 Marc Boucher は Rusty に iptables の汎用的なパケット選択のフレームワークを使うように働きかけて、 ipnatctl
 356 を使わないようにした。そして、mangle テーブル、所有者マッチング、 mark 機能を書き、いたるところで使われている素晴らしいコードを書いた。
 357 .PP
 358 James Morris は TOS ターゲットと tos マッチングを書いた。
 359 .PP
 360 Jozsef Kadlecsik は REJECT ターゲットを書いた。
 361 .PP
 362 Harald Welte は ULOG ターゲット、NFQUEUE ターゲット、新しい libiptc や TTL, DSCP, ECN
 363 のマッチ・ターゲットを書いた。
 364 .PP
 365 Netfilter コアチームは、Martin Josefsson, Yasuyuki Kozakai, Jozsef Kadlecsik,
 366 Patrick McHardy, James Morris, Pablo Neira Ayuso, Harald Welte, Rusty
 367 Russell である。
 368 .PP
 369 .\" .. and did I mention that we are incredibly cool people?
 370 .\" .. sexy, too ..
 371 .\" .. witty, charming, powerful ..
 372 .\" .. and most of all, modest ..
 373 man ページは元々 Herve Eychenne <rv@wallfire.org> が書いた。
 374 .SH バージョン
 375 .PP
 376 この man ページは iptables/ip6tables 1.4.21 について説明している。