freeswan/klips/utils/eroute.5

   1 .TH IPSEC_EROUTE 5 "20 Sep 2001"
   2 .\"
   3 .\" RCSID $Id: eroute.5,v 1.8 2001/09/20 15:33:13 rgb Exp $
   4 .\"
   5 .SH NAME
   6 ipsec_eroute \- list of existing eroutes
   7 .SH SYNOPSIS
   8 .B ipsec
   9 .B eroute
  10 .PP
  11 .B cat
  12 .B /proc/net/ipsec_eroute
  13 .SH DESCRIPTION
  14 .I /proc/net/ipsec_eroute
  15 lists the IPSEC extended routing tables,
  16 which control what (if any) processing is applied
  17 to non-encrypted packets arriving for IPSEC processing and forwarding.
  18 At this point it is a read-only file.
  19 .PP
  20 A table entry consists of:
  21 .IP + 3
  22 packet count,
  23 .IP +
  24 source address with mask,
  25 .IP +
  26 a '->' separator for visual and automated parsing between src and dst
  27 .IP +
  28 destination address with mask
  29 .IP +
  30 a '=>' separator for visual and automated parsing between selection
  31 criteria and SAID to use
  32 .IP +
  33 SAID (Security Association IDentifier), comprised of:
  34 .IP + 6
  35 protocol
  36 (\fIproto\fR),
  37 .IP +
  38 address family
  39 (\fIaf\fR),
  40 where '.' stands for IPv4 and ':' for IPv6
  41 .IP +
  42 Security Parameters Index
  43 (\fISPI\fR),
  44 .IP +
  45 effective destination
  46 (\fIedst\fR),
  47 where the packet should be forwarded after processing
  48 (normally the other security gateway)
  49 together indicate which Security Association should be used to process
  50 the packet,
  51 .IP + 3
  52 source identity text string with no whitespace, in parens,
  53 .IP +
  54 destination identity text string with no whitespace, in parens
  55 .PP
  56 Addresses are written as IPv4 dotted quads or IPv6 coloned hex,
  57 protocol is one of "ah", "esp", "comp" or "tun"
  58 and
  59 SPIs are prefixed hexadecimal numbers where the prefix '.' is for IPv4 and the prefix ':' is for IPv6
  60 .
  61 .PP
  62 SAIDs are written as "protoafSPI@edst".  There are also 5
  63 "magic" SAIDs which have special meaning:
  64 .IP + 3
  65 .B %drop
  66 means that matches are to be dropped
  67 .IP +
  68 .B %reject
  69 means that matches are to be dropped and an ICMP returned, if
  70 possible to inform
  71 .IP +
  72 .B %trap
  73 means that matches are to trigger an ACQUIRE message to the Key
  74 Management daemon(s) and a hold eroute will be put in place to
  75 prevent subsequent packets also triggering ACQUIRE messages.
  76 .IP +
  77 .B %hold
  78 means that matches are to stored until the eroute is replaced or
  79 until that eroute gets reaped
  80 .IP +
  81 .B %pass
  82 means that matches are to allowed to pass without IPSEC processing
  83 .br
  84 .ne 5
  85 .SH EXAMPLES
  86 .LP
  87 .B "1867     172.31.252.0/24    -> 0.0.0.0/0          => tun.130@192.168.43.1 "
  88 .br
  89 .B "        ()  ()"
  90 .LP
  91 means that 1,867 packets have been sent to an
  92 .BR eroute
  93 that has been set up to protect traffic between the subnet
  94 .BR 172.31.252.0
  95 with a subnet mask of
  96 .BR 24
  97 bits and the default address/mask represented by an address of
  98 .BR 0.0.0.0
  99 with a subnet mask of
 100 .BR 0
 101 bits using the local machine as a security gateway on this end of the
 102 tunnel and the machine
 103 .BR 192.168.43.1
 104 on the other end of the tunnel with a Security Association IDentifier of
 105 .BR tun0x130@192.168.43.1
 106 which means that it is a tunnel mode connection (4, IPPROTO_IPIP) with a
 107 Security Parameters Index of
 108 .BR 130
 109 in hexadecimal with no identies defined for either end.
 110 .LP
 111 .B 125      3049:1::/64    -> 0:0/0          => tun:130@3058:4::5       ()      ()
 112 .LP
 113 means that 125 packets have been sent to an
 114 .BR eroute
 115 that has been set up to protect traffic between the subnet
 116 .BR 3049:1::
 117 with a subnet mask of
 118 .BR 64
 119 bits and the default address/mask represented by an address of
 120 .BR 0:0
 121 with a subnet mask of
 122 .BR 0
 123 bits using the local machine as a security gateway on this end of the
 124 tunnel and the machine
 125 .BR 3058:4::5
 126 on the other end of the tunnel with a Security Association IDentifier of
 127 .BR tun:130@3058:4::5
 128 which means that it is a tunnel mode connection with a
 129 Security Parameters Index of
 130 .BR 130
 131 in hexadecimal with no identies defined for either end.
 132 .LP
 133 .B 42         192.168.6.0/24     -> 192.168.7.0/24     => %passthrough
 134 .LP
 135 means that 42 packets have been sent to an
 136 .BR eroute
 137 that has been set up to pass the traffic from the subnet
 138 .BR 192.168.6.0
 139 with a subnet mask of
 140 .BR 24
 141 bits and to subnet
 142 .BR 192.168.7.0
 143 with a subnet mask of
 144 .BR 24
 145 bits without any IPSEC processing with no identies defined for either end.
 146 .LP
 147 .B 2112     192.168.8.55/32    -> 192.168.9.47/24    => %hold   (east)  ()
 148 .LP
 149 means that 2112 packets have been sent to an
 150 .BR eroute
 151 that has been set up to hold the traffic from the host
 152 .BR 192.168.8.55
 153 and to host
 154 .BR 192.168.9.47
 155 until a key exchange from a Key Management daemon
 156 succeeds and puts in an SA or fails and puts in a pass
 157 or drop eroute depending on the default configuration with the local client
 158 defined as "east" and no identy defined for the remote end.
 159 .LP
 160 .B "2001     192.168.2.110/32   -> 192.168.2.120/32   => "
 161 .br
 162 .B "        esp.e6de@192.168.2.120      ()      ()"
 163 .LP
 164 means that 2001 packets have been sent to an
 165 .BR eroute
 166 that has been set up to protect traffic between the host
 167 .BR 192.168.2.110
 168 and the host
 169 .BR 192.168.2.120
 170 using
 171 .BR 192.168.2.110
 172 as a security gateway on this end of the
 173 connection and the machine
 174 .BR 192.168.2.120
 175 on the other end of the connection with a Security Association IDentifier of
 176 .BR esp.e6de@192.168.2.120
 177 which means that it is a transport mode connection with a Security
 178 Parameters Index of
 179 .BR e6de
 180 in hexadecimal using Encapsuation Security Payload protocol (50,
 181 IPPROTO_ESP) with no identies defined for either end.
 182 .LP
 183 .B "1984     3049:1::110/128   -> 3049:1::120/128   => "
 184 .br
 185 .B "        ah:f5ed@3049:1::120 ()      ()"
 186 .LP
 187 means that 1984 packets have been sent to an
 188 .BR eroute
 189 that has been set up to authenticate traffic between the host
 190 .BR 3049:1::110
 191 and the host
 192 .BR 3049:1::120
 193 using
 194 .BR 3049:1::110
 195 as a security gateway on this end of the
 196 connection and the machine
 197 .BR 3049:1::120
 198 on the other end of the connection with a Security Association IDentifier of
 199 .BR ah:f5ed@3049:1::120
 200 which means that it is a transport mode connection with a Security
 201 Parameters Index of
 202 .BR f5ed
 203 in hexadecimal using Authentication Header protocol (51,
 204 IPPROTO_AH) with no identies defined for either end.
 205 .SH FILES
 206 /proc/net/ipsec_eroute, /usr/local/bin/ipsec
 207 .SH "SEE ALSO"
 208 ipsec(8), ipsec_manual(8), ipsec_tncfg(5), ipsec_spi(5),
 209 ipsec_spigrp(5), ipsec_klipsdebug(5), ipsec_eroute(8), ipsec_version(5),
 210 ipsec_pf_key(5)
 211 .SH HISTORY
 212 Written for the Linux FreeS/WAN project
 213 <http://www.freeswan.org/>
 214 by Richard Guy Briggs.
 215 .\"
 216 .\" $Log: eroute.5,v $
 217 .\" Revision 1.8  2001/09/20 15:33:13  rgb
 218 .\" PF_KEYv2 ident extension output documentation.
 219 .\"
 220 .\" Revision 1.7  2001/05/29 05:15:31  rgb
 221 .\" Added packet count field at beginning of line.
 222 .\"
 223 .\" Revision 1.6  2001/02/26 19:58:32  rgb
 224 .\" Put SAID elements in order they appear in SAID.
 225 .\" Implement magic SAs %drop, %reject, %trap, %hold, %pass as part
 226 .\" of the new SPD and to support opportunistic.
 227 .\"
 228 .\" Revision 1.5  2000/09/17 18:56:48  rgb
 229 .\" Added IPCOMP support.
 230 .\"
 231 .\" Revision 1.4  2000/09/13 15:54:31  rgb
 232 .\" Added Gerhard's ipv6 updates.
 233 .\"
 234 .\" Revision 1.3  2000/06/30 18:21:55  rgb
 235 .\" Update SEE ALSO sections to include ipsec_version(5) and ipsec_pf_key(5)
 236 .\" and correct FILES sections to no longer refer to /dev/ipsec which has
 237 .\" been removed since PF_KEY does not use it.
 238 .\"
 239 .\" Revision 1.2  2000/06/28 12:44:11  henry
 240 .\" format touchup
 241 .\"
 242 .\" Revision 1.1  2000/06/28 05:43:00  rgb
 243 .\" Added manpages for all 5 klips utils.
 244 .\"
 245 .\"
 246 .\"