| insert | = | "@” decnumber |
| action | = | block / "pass” / log / "count” / skip |
| in-out | = | "in” / "out” |
| options | = | [ log ] [ "quick" ] [ "on" interface-name [ dup ] ] . |
| tos | = | "tos" decnumber | "tos" hexnumber . |
| ttl | = | "ttl" decnumber . |
| proto | = | "proto" protocol . |
| ip | = | srcdst [ flags ] [ with withopt ] [ icmp ] [ keep ] . |
| group | = | [ "head" decnumber ] [ "group" decnumber ] . |
| block | = | "block" [ icmp[return-code] | "return-rst" ] . |
| log | = | "log" [ "body" ] [ "first" ]. |
| interface-name | = | "lan" | "isp" | "dialin" . |
| skip | = | "skip" decnumber . |
| dup | = | "dup-to" interface-name[":"ipaddr] . |
| protocol | = | "tcp/udp" | "udp" | "tcp" | "icmp" | decnumber . |
| srcdst | = | "all" | fromto . |
| fromto | = | "from" object "to" object . |
| icmp | = | "return-icmp" | "return-icmp-as-dest" . |
| object | = | addr [ port-comp | port-range ] . |
| addr | = | "any" | nummask | host-name [ "mask" ipaddr | "mask" hexnumber ] . |
| port-comp | = | "port" compare port-num . |
| port-range | = | "port" port-num range port-num . |
| flags | = | "flags" flag { flag } [ "/" flag { flag } ] . |
| with | = | "with" | "and" . |
| icmp | = | "icmp-type" icmp-type [ "code" decnumber ] . |
| return-code | = | "("icmp-code")" . |
| keep | = | "keep" "state" | "keep" "frags" . |
| nummask | = | host-name [ "/" decnumber ] . |
| host-name | = | ipaddr | hostname | "any" . |
| ipaddr | = | host-num "." host-num "." host-num "." host-num . |
| host-num | = | digit [ digit [ digit ] ] . |
| port-num | = | service-name | decnumber . |
| withopt | = | [ "not" | "no" ] opttype [ withopt ] . |
| opttype | = | "ipopts" | "short" | "frag" | "opt" ipopts . |
| optname | = | ipopts [ "," optname ] . |
| ipopts | = | optlist | "sec-class" . |
| icmp-type | = | "unreach" | "echo" | "echorep" | "squench" | "redir" | "timex" | "paramprob" | "timest" | "timestrep" | "inforeq" | "inforep" | "maskreq" | "maskrep" | decnumber . |
| icmp-code | = | decumber | "net-unr" | "host-unr" | "proto-unr" | "port-unr" | "needfrag" | "srcfail" | "net-unk" | "host-unk" | "isolate" | "net-prohib" | "host-prohib" | "net-tos" | "host-tos" . |
| optlist | = | "nop" | "rr" | "zsu" | "mtup" | "mtur" | "encode" | "ts" | "tr" | "sec" | "lsrr" | "e-sec" | "cipso" | "satid" | "ssrr" | "addext" | "visa" | "imitd" | "eip" | "finn" . |
| hexnumber | = | "0" "x" hexstring . |
| hexstring | = | hexdigit [ hexstring ] . |
| decnumber | = | digit [ decnumber ] . |
| compare | = | "=" | "!=" | "<" | ">" | "<=" | ">=" | "eq" | "ne" | "lt" | "gt" | "le" | "ge" . |
| range | = | "<<" | "><" . |
| hexdigit | = | digit | "a" | "b" | "c" | "d" | "e" | "f" . |
| digit | = | "0" | "1" | "2" | "3" | "4" | "5" | "6" | "7" | "8" | "9" . |
| flag | = | "F" | "S" | "R" | "P" | "A" | "U" . |
| -A | Setzt die Liste um Änderungen der aktiven Liste zuzufügen |
| -D | deaktiviert den Filter (falls aktiviert) |
| -E | aktiviert den Filter (falls deaktiviert) |
| -I | Setzt die Liste um Änderungen in der inaktiven Liste zuzufügen |
| -n | Dieses Flag (no-change) verhindert das ipf etwas an der aktuell laufenden
Konfiguration ändert! |
| -o | Bewegt die Regeln standardmässig zur Output Liste hinzuzufügen/zu entfernen,
anstatt dies in der Input Liste zu tun. |
| -r | Entferne Übereinstimmungs Filterregeln anstatt sie zur internen Liste hinzuzufügen |
| -s | tauschen der "aktiven" Filterliste gegen die Zweite (Andere) |
| -t | Anzeige bis zum Ende (deaktivieren der "more" Funktion im Telnet) |
| -V | Zeige Version IP Filter Information,Informationen über seinen aktuellen Status
werden auch angezeigt (ob Logging etc. aktiv ist) |
| -z | Setzte die Statistiken für jede Regel im Input File auf 0 und zeige die letzten
Statistiken bevor sie "genullt" wurden. |
| -Z | Setze alle "globalen" Statistiken im Kernel auf 0 (Nur für die Filterstatistiken) (dieses
betrifft nicht die Fragment und State – Statistiken) |
| -l | Schalte das standardmässige Loggen der Pakete ein oder aus. Gültige Parameter dieser
Option sind "pass","block" und "nomatch". Alle anderen Parameter bewirken dass das
Logging deaktiviert wird. Wenn eine gültige Option gesetzt wird, wird jedes Paket
protokolliert,dass durch den Filter kommt und irgendwelche Übereinstimmungen mit
der Set Kategorie hatte. Dieses ist am nützlichsten, um sämtliche Pakete zu
protokollieren , die nicht mit einer der geladenen Regeln übereinstimmen. |
| -F | Diese Option gibt an ,welche der Filterlisten geleert werden sollen. Das Parameter
sollte entweder "i" (input),"o" (output) oder "a" (entfernen aller Filterregeln) sein |
| -F s | Entfernt Status Informationen über alle nicht vollständig zustande gekommenen
Verbindungen |
| -F S | Löscht die gesamte Status Tabelle. Eine voll zustande gekommene Funktion erscheint
in der "ipf view –s" Ausgabe als 4/4 |
| -f | setzt die Filterregel (geben Sie "ipf rule ?" ein für Beispiele) |
| -a | Zeigt die Accounting Filterliste und zeigt Bytes die gegen eine Regel gezählt wurden |
| -f | Zeigt fragment-Status Information (Statistik) und gespeicherte "state" Informationen,
sofern es welche geben. |
| -h | Zeigt die Nummer der "Treffer" pro angewandter Regel. .
Zu benutzen im Zusammenhang mit "-i" |
| -i | Zeigt die Filterliste für die Input (eingangs) Seite des Routers |
| -n | Zeigt das inaktive Filterset |
| -o | Zeigt die Filterliste für die Output (ausgangs) Seite des Routers |
| -s | Zeigt die Paket/Fluss "state" Information (Statistik) |
| -t | Anzeige bis zum Ende (deaktivieren der "more" Funktion im Telnet) |
| -z | Löscht die Statistik nach diesem Kommando |
| -g | <group> Gibt die Gruppennummer an (group) |
| -l | <line> Gibt die Position einer Regel innerhalb einer Liste/Gruppe an. |
nach oben