IP 필터에서는 활성 및 비활성 패킷 필터링 규칙 세트가 모두 커널에 상주할 수 있습니다. 활성 규칙 세트에 따라 수신 패킷 및 송신 패킷에 대해 수행하려는 필터링이 결정됩니다. 비활성 규칙 세트도 규칙을 저장합니다. 비활성 규칙 세트를 활성 규칙 세트로 설정하지 않은 경우 해당 규칙이 사용되지 않습니다. 활성 및 비활성 패킷 필터링 규칙 세트를 모두 관리, 확인 및 수정할 수 있습니다.
시작하기 전에
IP Filter Management 권한 프로파일에 지정된 관리자여야 합니다. 자세한 내용은 Oracle Solaris 11.2의 사용자 및 프로세스 보안 의 지정된 관리 권한 사용을 참조하십시오.
다음 예에서는 커널에서 로드된 활성 패킷 필터링 규칙 세트의 출력을 보여줍니다.
# ipfstat -io empty list for ipfilter(out) pass in quick on net1 from 192.168.1.0/24 to any pass in all block in on net1 from 192.168.1.10/32 to any
시작하기 전에
IP Filter Management 권한 프로파일에 지정된 관리자여야 합니다. 자세한 내용은 Oracle Solaris 11.2의 사용자 및 프로세스 보안 의 지정된 관리 권한 사용을 참조하십시오.
다음 예에서는 비활성 패킷 필터링 규칙 세트의 출력을 보여줍니다.
# ipfstat -I -io pass out quick on net1 all pass in quick on net1 all
다음 작업 중 하나를 수행하려면 이 절차를 사용하십시오.
현재 IP 필터에 사용되고 있는 규칙 세트가 아닌 다른 패킷 필터링 규칙 세트를 활성화합니다.
새로 업데이트된 동일한 필터링 규칙 세트를 다시 로드합니다.
시작하기 전에
IP Filter Management 권한 프로파일에 지정된 관리자여야 합니다. 자세한 내용은 Oracle Solaris 11.2의 사용자 및 프로세스 보안 의 지정된 관리 권한 사용을 참조하십시오.
완전히 다른 규칙 세트를 활성화하려면 별도의 파일에 새 규칙 세트를 만듭니다.
구성 파일에서 현재 규칙 세트를 업데이트합니다.
# ipf -Fa -f filename
filename의 규칙이 활성 규칙 세트를 대체합니다.
다음 예에서는 특정 패킷 필터링 규칙 세트를 다른 규칙 세트로 바꾸는 방법을 보여줍니다.
# ipfstat -io empty list for ipfilter(out) pass in quick on net0 all # ipf -Fa -f /etc/ipf/ipfnew.conf # ipfstat -io empty list for ipfilter(out) block in log quick from 10.0.0.0/8 to any예 5-2 업데이트된 패킷 필터링 규칙 세트 다시 로드
다음 예에서는 현재 활성 상태이며 업데이트된 패킷 필터링 규칙 세트를 다시 로드하는 방법을 보여줍니다.
필요에 따라 활성 규칙 세트를 나열합니다.
# ipfstat -io empty list for ipfilter (out) block in log quick from 10.0.0.0/8 to any
그런 다음 /etc/ipf/myorg.ipf.conf 구성 파일을 편집하고 서비스를 새로 고치고 활성 규칙 세트를 다시 나열합니다.
# svcadm refresh network/ipfilter # ipfstat -io empty list for ipfilter (out) block in log quick from 10.0.0.0/8 to any block in quick on net1 from 192.168.0.0/12 to any
시작하기 전에
IP Filter Management 권한 프로파일에 지정된 관리자여야 합니다. 자세한 내용은 Oracle Solaris 11.2의 사용자 및 프로세스 보안 의 지정된 관리 권한 사용을 참조하십시오.
# ipf -F [a|i|o]
규칙 세트에서 모든 필터링 규칙을 제거합니다.
수신 패킷에 대한 필터링 규칙을 제거합니다.
송신 패킷에 대한 필터링 규칙을 제거합니다.
다음 예에서는 활성 필터링 규칙 세트에서 모든 필터링 규칙을 제거하는 방법을 보여줍니다.
# ipfstat -io block out log on net0 all block in log quick from 10.0.0.0/8 to any # ipf -Fa # ipfstat -io empty list for ipfilter(out) empty list for ipfilter(in)
기존 규칙 세트에 규칙을 추가하면 테스트나 문제 해결 시 유용할 수 있습니다. 규칙이 추가된 경우 IP 필터 서비스는 계속 사용으로 설정됩니다. 하지만 서비스를 새로 고치거나 다시 시작하거나 사용으로 설정하는 경우, IP 필터 서비스의 등록 정보 파일에 규칙이 없으면 해당 규칙이 손실됩니다.
시작하기 전에
IP Filter Management 권한 프로파일에 지정된 관리자여야 합니다. 자세한 내용은 Oracle Solaris 11.2의 사용자 및 프로세스 보안 의 지정된 관리 권한 사용을 참조하십시오.
ipf -f - 명령을 사용하여 명령줄에서 규칙 세트에 규칙을 추가합니다.
# echo "block in on net1 proto tcp from 10.1.1.1/32 to any" | ipf -f -
서비스를 새로 고치거나 다시 시작하거나 사용으로 설정하는 경우, 추가된 이 규칙은 IP 필터 구성의 일부가 아닙니다.
다음 명령을 실행합니다.
선택한 파일에 규칙 세트를 만듭니다.
만든 규칙을 활성 규칙 세트에 추가합니다.
# ipf -f filename
활성 규칙 세트의 끝에 filename의 규칙이 추가됩니다. IP 필터는 “마지막 일치 규칙” 알고리즘을 사용하므로 quick 키워드를 사용하지 않는 경우 추가되는 규칙에 따라 필터링 우선 순위가 결정됩니다. 패킷이 quick 키워드를 포함하는 규칙과 일치하는 경우 해당 규칙에 대한 작업이 수행되고 후속 규칙이 확인되지 않습니다.
filename이 IP 필터 구성 파일 등록 정보 중 하나의 값이면 서비스를 사용으로 설정하거나 다시 시작하거나 새로 고치는 경우 해당 규칙이 다시 로드됩니다. 그렇지 않은 경우 추가된 규칙이 임시 규칙 세트를 제공합니다.
다음 예에서는 명령줄에서 활성 패킷 필터링 규칙 세트에 규칙을 추가하는 방법을 보여줍니다.
# ipfstat -io empty list for ipfilter(out) block in log quick from 10.0.0.0/8 to any # echo "block in on net1 proto tcp from 10.1.1.1/32 to any" | ipf -f - # ipfstat -io empty list for ipfilter(out) block in log quick from 10.0.0.0/8 to any block in on net1 proto tcp from 10.1.1.1/32 to any
커널에서 비활성 규칙 세트를 만들면 테스트나 문제 해결 시 유용할 수 있습니다. IP 필터 서비스를 중지하지 않고도 해당 규칙 세트를 활성 규칙 세트로 전환할 수 있습니다. 하지만 서비스를 새로 고치거나 다시 시작하거나 사용으로 설정하는 경우, 비활성 규칙 세트를 추가해야 합니다.
시작하기 전에
IP Filter Management 권한 프로파일에 지정된 관리자여야 합니다. 자세한 내용은 Oracle Solaris 11.2의 사용자 및 프로세스 보안 의 지정된 관리 권한 사용을 참조하십시오.
# ipf -I -f filename
비활성 규칙 세트의 끝에 filename의 규칙이 추가됩니다. IP 필터는 “마지막 일치 규칙” 알고리즘을 사용하므로 quick 키워드를 사용하지 않는 경우 추가되는 규칙에 따라 필터링 우선 순위가 결정됩니다. 패킷이 quick 키워드를 포함하는 규칙과 일치하는 경우 해당 규칙에 대한 작업이 수행되고 후속 규칙이 확인되지 않습니다.
다음 예에서는 파일에서 비활성 규칙 세트에 규칙을 추가하는 방법을 보여줍니다.
# ipfstat -I -io pass out quick on net1 all pass in quick on net1 all # ipf -I -f /etc/ipf/ipftrial.conf # ipfstat -I -io pass out quick on net1 all pass in quick on net1 all block in log quick from 10.0.0.0/8 to any
커널에서 다른 규칙 세트로 전환하는 기능은 테스트나 문제 해결 시 유용할 수 있습니다. IP 필터 서비스를 중지하지 않고도 해당 규칙 세트를 활성화할 수 있습니다.
시작하기 전에
IP Filter Management 권한 프로파일에 지정된 관리자여야 합니다. 자세한 내용은 Oracle Solaris 11.2의 사용자 및 프로세스 보안 의 지정된 관리 권한 사용을 참조하십시오.
# ipf -s
이 명령을 사용하면 커널에서 활성 규칙 세트와 비활성 규칙 세트 간에 전환할 수 있습니다. 비활성 규칙 세트가 비어 있을 경우 패킷 필터링이 없는 것입니다.
다음 예에서는 ipf -s 명령을 사용하여 비활성 규칙 세트를 활성 규칙 세트로 전환하고 활성 규칙 세트를 비활성 규칙 세트로 전환하는 방법을 보여줍니다.
ipf -s 명령을 실행하기 전에 ipfstat -I -io 명령의 출력은 비활성 규칙 세트의 규칙을 보여줍니다. ipfstat -io 명령의 출력은 활성 규칙 세트의 규칙을 보여줍니다.
# ipfstat -io empty list for ipfilter(out) block in log quick from 10.0.0.0/8 to any block in on net1 proto tcp from 10.1.1.1/32 to any # ipfstat -I -io pass out quick on net1 all pass in quick on net1 all block in log quick from 10.0.0.0/8 to any
ipf -s 명령을 실행한 후 ipfstat -I -io 및 ipfstat -io 명령의 출력은 두 개 규칙 세트의 내용이 전환되었음을 보여줍니다.
# ipf -s Set 1 now inactive # ipfstat -io pass out quick on net1 all pass in quick on net1 all block in log quick from 10.0.0.0/8 to any # ipfstat -I -io empty list for inactive ipfilter(out) block in log quick from 10.0.0.0/8 to any block in on net1 proto tcp from 10.1.1.1/32 to any
시작하기 전에
IP Filter Management 권한 프로파일에 지정된 관리자여야 합니다. 자세한 내용은 Oracle Solaris 11.2의 사용자 및 프로세스 보안 의 지정된 관리 권한 사용을 참조하십시오.
# ipf -I -Fa
다음 예에서는 모든 규칙이 제거되도록 비활성 패킷 필터링 규칙 세트를 비우는 방법을 보여줍니다.
# ipfstat -I -io empty list for inactive ipfilter(out) block in log quick from 10.0.0.0/8 to any block in on net1 proto tcp from 10.1.1.1/32 to any # ipf -I -Fa # ipfstat -I -io empty list for inactive ipfilter(out) empty list for inactive ipfilter(in)