パケット再構築を無効にする方法

デフォルトで、フラグメントは、IP フィルタで再構築されます。この再構築を無効にするには、ポリシーファイルの先頭に規則を挿入します。

始める前に

IP Filter Management 権利プロファイルと solaris.admin.edit/path-to-IPFilter-policy-file 承認が割り当てられている管理者になる必要があります。root 役割には、これらの権利がすべて含まれています。詳細は、Oracle Solaris 11.2 でのユーザーとプロセスのセキュリティー保護 の割り当てられている管理権利の使用を参照してください。

1. IP フィルタを無効にします。

   # svcadm disable network/ipfilter

2. IP フィルタポリシーファイルの先頭に次の規則を追加します。

   set defrag off;

   次のように、pfedit コマンドを使用します。

   # pfedit /etc/ipf/myorg.ipf.conf

   この規則はファイル内のすべての block および pass 規則より前に置く必要があります。ただし、この行の前にコメントを挿入することはできます。次に例を示します。

   # Disable fragment reassembly
   #
   set defrag off;
   # Define policy
   #
   block in all
   block out all
   other rules

3. IP フィルタを有効にします。

   # svcadm enable network/ipfilter

4. パケットが再構築中でないことを確認します。

   # ipf -T defrag
   defrag  min 0   max 0x1 current 0

   current の値が 0 の場合、フラグメントは再構築中ではありません。current が 1 の場合、フラグメントは再構築中です。