624 lines
13 KiB
Groff
624 lines
13 KiB
Groff
.\" $KAME: setkey.8,v 1.49 2001/05/18 05:49:51 sakane Exp $
|
||
.\" %FreeBSD: src/usr.sbin/setkey/setkey.8,v 1.24 2003/01/01 18:49:03 schweikh Exp %
|
||
.\"
|
||
.\" Copyright (C) 1995, 1996, 1997, 1998, and 1999 WIDE Project.
|
||
.\" All rights reserved.
|
||
.\"
|
||
.\" Redistribution and use in source and binary forms, with or without
|
||
.\" modification, are permitted provided that the following conditions
|
||
.\" are met:
|
||
.\" 1. Redistributions of source code must retain the above copyright
|
||
.\" notice, this list of conditions and the following disclaimer.
|
||
.\" 2. Redistributions in binary form must reproduce the above copyright
|
||
.\" notice, this list of conditions and the following disclaimer in the
|
||
.\" documentation and/or other materials provided with the distribution.
|
||
.\" 3. Neither the name of the project nor the names of its contributors
|
||
.\" may be used to endorse or promote products derived from this software
|
||
.\" without specific prior written permission.
|
||
.\"
|
||
.\" THIS SOFTWARE IS PROVIDED BY THE PROJECT AND CONTRIBUTORS ``AS IS'' AND
|
||
.\" ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE
|
||
.\" IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE
|
||
.\" ARE DISCLAIMED. IN NO EVENT SHALL THE PROJECT OR CONTRIBUTORS BE LIABLE
|
||
.\" FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL
|
||
.\" DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS
|
||
.\" OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION)
|
||
.\" HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT
|
||
.\" LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY
|
||
.\" OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF
|
||
.\" SUCH DAMAGE.
|
||
.\"
|
||
.\" $FreeBSD$
|
||
.\"
|
||
.Dd November 20, 2000
|
||
.Dt SETKEY 8
|
||
.Os
|
||
.\"
|
||
.Sh 名称
|
||
.Nm setkey
|
||
.Nd 手動で IPsec の SA/SP データベースを操作する
|
||
.\"
|
||
.Sh 書式
|
||
.Nm
|
||
.Op Fl dv
|
||
.Fl c
|
||
.Nm
|
||
.Op Fl dv
|
||
.Fl f Ar filename
|
||
.Nm
|
||
.Op Fl adPlv
|
||
.Fl D
|
||
.Nm
|
||
.Op Fl dPv
|
||
.Fl F
|
||
.Nm
|
||
.Op Fl h
|
||
.Fl x
|
||
.\"
|
||
.Sh 解説
|
||
.Nm
|
||
ユーティリティは、
|
||
カーネル内のセキュリティアソシエーションデータベース (SAD) エントリと
|
||
セキュリティポリシデータベース (SPD) エントリを、
|
||
追加・更新・内容列挙・削除します。
|
||
.Pp
|
||
.Nm
|
||
ユーティリティは、一連の操作を標準入力から受け取るか (
|
||
.Fl c
|
||
付で起動された場合)
|
||
.Ar filename
|
||
という名前のファイルから受け取ります (
|
||
.Fl f Ar filename
|
||
付で起動された場合)。
|
||
.Bl -tag -width Ds
|
||
.It Fl D
|
||
SAD エントリをダンプします。
|
||
.Fl P
|
||
付の場合、SPD エントリをダンプします。
|
||
.It Fl F
|
||
SAD エントリを捨てます。
|
||
.Fl P
|
||
付の場合、SPD を捨てます。
|
||
.It Fl a
|
||
通常、死んだ SAD エントリは表示されません。
|
||
.Fl a
|
||
付の場合、死んだ SAD エントリも表示します。
|
||
死んだ SAD エントリとは、期限切れではあるものの、
|
||
SPD エントリから参照されているために残っているものを指します。
|
||
.It Fl d
|
||
コマンドパーザ用のデバッグメッセージ表示を有効にし、
|
||
カーネルとは対話をしません。
|
||
これは通常は使用しません。
|
||
.It Fl x
|
||
無限ループし、
|
||
.Dv PF_KEY
|
||
ソケットへ送られる全メッセージをダンプします。
|
||
.Fl xx
|
||
は、各タイムスタンプのフォーマットをやめます。
|
||
.It Fl h
|
||
.Fl x
|
||
モードにおいて、16 進数ダンプを追加します。
|
||
.It Fl l
|
||
.Fl D
|
||
において、短い出力で無限ループします。
|
||
.It Fl v
|
||
冗長になります。
|
||
プログラムは、
|
||
.Dv PF_KEY
|
||
ソケット上で交換したメッセージをダンプします。
|
||
これには他プロセスからカーネルに送られたメッセージを含みます。
|
||
.El
|
||
.Pp
|
||
操作は、次の文法です。
|
||
ハッシュマーク ('#') で始まる行は
|
||
コメント行として扱われることに注意してください。
|
||
.Bl -tag -width Ds
|
||
.It Xo
|
||
.Li add
|
||
.Ar src Ar dst Ar protocol Ar spi
|
||
.Op Ar extensions
|
||
.Ar algorithm...
|
||
.Li ;
|
||
.Xc
|
||
単一の SAD エントリを追加します。
|
||
.\"
|
||
.It Xo
|
||
.Li get
|
||
.Ar src Ar dst Ar protocol Ar spi
|
||
.Li ;
|
||
.Xc
|
||
単一の SAD エントリを表示します。
|
||
.\"
|
||
.It Xo
|
||
.Li delete
|
||
.Ar src Ar dst Ar protocol Ar spi
|
||
.Li ;
|
||
.Xc
|
||
単一の SAD エントリを削除します。
|
||
.\"
|
||
.It Xo
|
||
.Li deleteall
|
||
.Ar src Ar dst Ar protocol
|
||
.Li ;
|
||
.Xc
|
||
指定に適合するすべての SAD エントリを削除します。
|
||
.\"
|
||
.It Xo
|
||
.Li flush
|
||
.Op Ar protocol
|
||
.Li ;
|
||
.Xc
|
||
オプションに適合する全 SAD エントリをクリアします。
|
||
.\"
|
||
.It Xo
|
||
.Li dump
|
||
.Op Ar protocol
|
||
.Li ;
|
||
.Xc
|
||
オプションに適合する全 SAD エントリをダンプします。
|
||
.\"
|
||
.It Xo
|
||
.Li spdadd
|
||
.Ar src_range Ar dst_range Ar upperspec Ar policy
|
||
.Li ;
|
||
.Xc
|
||
単一の SPD エントリを追加します。
|
||
.\"
|
||
.It Xo
|
||
.Li spddelete
|
||
.Ar src_range Ar dst_range Ar upperspec Fl P Ar direction
|
||
.Li ;
|
||
.Xc
|
||
単一の SPD エントリを削除します。
|
||
.\"
|
||
.It Xo
|
||
.Li spdflush
|
||
.Li ;
|
||
.Xc
|
||
全 SPD エントリをクリアします。
|
||
.\"
|
||
.It Xo
|
||
.Li spddump
|
||
.Li ;
|
||
.Xc
|
||
全 SPD エントリをダンプします。
|
||
.El
|
||
.\"
|
||
.Pp
|
||
メタ引数は下記の通りです:
|
||
.Pp
|
||
.Bl -tag -compact -width Ds
|
||
.It Ar src
|
||
.It Ar dst
|
||
セキュアコミュニケーションの始点/終点を IPv4/v6 アドレスで指定します。
|
||
.Nm
|
||
ユーティリティは引数
|
||
.Ar src
|
||
と
|
||
.Ar dst
|
||
について、ホスト名からアドレスへの問い合わせを行いません。
|
||
これらは数値形式で指定する必要があります。
|
||
.\"
|
||
.Pp
|
||
.It Ar protocol
|
||
.Ar protocol
|
||
は次のいずれか 1 つです:
|
||
.Bl -tag -width Fl -compact
|
||
.It Li esp
|
||
rfc2405 を基にした暗号ペイロード
|
||
.It Li esp-old
|
||
rfc1827 を基にした暗号ペイロード
|
||
.It Li ah
|
||
rfc2402 を基にした認証ヘッダ
|
||
.It Li ah-old
|
||
rfc1826 を基にした認証ヘッダ
|
||
.It Li ipcomp
|
||
IPCOMP
|
||
.El
|
||
.\"
|
||
.Pp
|
||
.It Ar spi
|
||
SAD および SPD 用の、セキュリティパラメータインデックス (SPI)。
|
||
範囲 0 から 255 の SPI 値は使用できません。
|
||
10 進数または 16 進数
|
||
.Li ( 0x
|
||
付)
|
||
で指定する必要があります。
|
||
.\"
|
||
.Pp
|
||
.It Ar extensions
|
||
次に示す引数を受け付けます:
|
||
.Bl -tag -width Fl -compact
|
||
.\"
|
||
.It Fl m Ar mode
|
||
使用するセキュリティプロトコルモードを指定します。
|
||
.Ar mode
|
||
は次のいずれか 1 つです:
|
||
.Li transport , tunnel ,
|
||
.Li any
|
||
。
|
||
デフォルト値は
|
||
.Li any
|
||
です。
|
||
.\"
|
||
.It Fl r Ar size
|
||
繰り返し攻撃を防ぐためのウィンドウサイズをバイト数で指定します。
|
||
.Ar size
|
||
は 32 ビットワードの 10 進数で指定する必要があります。
|
||
.Ar size
|
||
が 0 または指定されなかった場合、繰り返しのチェックは行われません。
|
||
.\"
|
||
.It Fl u Ar id
|
||
SAD 中のポリシエントリの識別子を指定します。
|
||
.Ar policy
|
||
を参照してください。
|
||
.\"
|
||
.It Fl f Ar pad_option
|
||
ESP パディングの内容を指定します。
|
||
.Ar pad_option
|
||
は次のいずれか 1 つです:
|
||
.Bl -tag -width random-pad -compact
|
||
.It Li zero-pad
|
||
パディングはすべて 0。
|
||
.It Li random-pad
|
||
一連の乱数値を設定。
|
||
.It Li seq-pad
|
||
1 から開始して増加する一連の数を設定。
|
||
.El
|
||
.\"
|
||
.It Fl f Li nocyclic-seq
|
||
周期的な順序番号を許可しません。
|
||
.\"
|
||
.It Fl lh Ar time
|
||
.It Fl ls Ar time
|
||
SA のハード有効期間/ソフト有効期間を指定します。
|
||
.El
|
||
.\"
|
||
.Pp
|
||
.It Ar algorithm
|
||
.Bl -tag -width Fl -compact
|
||
.It Fl E Ar ealgo Ar key
|
||
暗号化アルゴリズムを指定します。
|
||
.It Fl A Ar aalgo Ar key
|
||
認証アルゴリズムを指定します。
|
||
.Fl A
|
||
が
|
||
.Ar protocol Li esp
|
||
と共に使用されると、暗号ペイロードの
|
||
ペイロード認証アルゴリズムとして扱われます。
|
||
.It Fl C Ar calgo Op Fl R
|
||
圧縮アルゴリズムを指定します。
|
||
.Fl R
|
||
が
|
||
.Li ipcomp
|
||
行と共に指定されないと、カーネルは良く知られた (well-known) IPComp CPI
|
||
(圧縮パラメータインデックス)
|
||
をパケット上の IPComp CPI フィールドで使用し、
|
||
.Ar spi
|
||
フィールドは無視されます。
|
||
この場合、
|
||
.Ar spi
|
||
フィールドはカーネル内部でのみ使用されます。
|
||
.\"Therefore, compression protocol number will appear on IPComp CPI field.
|
||
.Fl R
|
||
が使用されると、
|
||
.Ar spi
|
||
フィールド上の値が、出力パケットの IPComp CPI フィールドに現れます。
|
||
この場合、
|
||
.Ar spi
|
||
フィールドは
|
||
.Li 0x10000
|
||
未満であることが必要です。
|
||
.El
|
||
.Pp
|
||
.Ar protocol Li esp
|
||
は
|
||
.Fl E
|
||
と
|
||
.Fl A
|
||
を受け付けます。
|
||
.Ar protocol Li esp-old
|
||
は
|
||
.Fl E
|
||
のみを受け付けます。
|
||
.Ar protocol Li ah
|
||
と
|
||
.Li ah-old
|
||
は
|
||
.Fl A
|
||
のみを受け付けます。
|
||
.Ar protocol Li ipcomp
|
||
は
|
||
.Fl C
|
||
のみを受け付けます。
|
||
.Pp
|
||
.Ar key
|
||
は、ダブルクォートで括られた文字列か、
|
||
一続きの 16 進数で指定する必要があります。
|
||
.Pp
|
||
.Ar ealgo ,
|
||
.Ar aalgo ,
|
||
.Ar calgo
|
||
が取り得る値は別の節で規定します。
|
||
.\"
|
||
.Pp
|
||
.It Ar src_range
|
||
.It Ar dst_range
|
||
セキュアコミュニケーションの選択であり、
|
||
IPv4/v6 アドレスまたは IPv4/v6 アドレス範囲で指定します。
|
||
TCP/UDP ポート指定を付加することも可能です。
|
||
次の形式を受け付けます:
|
||
.Bd -literal -offset
|
||
.Ar address
|
||
.Ar address/prefixlen
|
||
.Ar address[port]
|
||
.Ar address/prefixlen[port]
|
||
.Ed
|
||
.Pp
|
||
.Ar prefixlen
|
||
と
|
||
.Ar port
|
||
は 10 進数で指定する必要があります。
|
||
.Ar port
|
||
の周りの角括弧は、実際に必要です。
|
||
マニュアルページのメタ文字ではありません。
|
||
.Pp
|
||
.Nm
|
||
ユーティリティは引数
|
||
.Ar src
|
||
と
|
||
.Ar dst
|
||
について、ホスト名からアドレスへの問い合わせを行いません。
|
||
これらは数値形式で指定する必要があります。
|
||
.\"
|
||
.Pp
|
||
.It Ar upperspec
|
||
使用する上位層プロトコル。
|
||
.Ar upperspec
|
||
として、
|
||
.Pa /etc/protocols
|
||
中の 1 語を使用可能です。
|
||
または、
|
||
.Li icmp6 ,
|
||
.Li ip4 ,
|
||
.Li any
|
||
を指定可能です。
|
||
.Li any
|
||
は
|
||
.Dq 任意のプロトコル
|
||
を意味します。
|
||
また、プロトコル番号を使用可能です。
|
||
.Pp
|
||
注:
|
||
.Ar upperspec
|
||
は、現時点では転送に対して機能しません。
|
||
転送ノードにおいて、追加の再構成
|
||
(現時点では未実装)
|
||
が必要となるからです。
|
||
.Pa /etc/protocols
|
||
には多数のプロトコルが登録されていますが、
|
||
TCP, UDP, ICMP 以外は IPSec と共に使用するには不適切かもしれません。
|
||
そのようなプロトコルの使用には、注意してください。
|
||
.\" 下記は編集ミスと思われるので KAME に連絡する
|
||
.\" horikawa@jp.FreeBSD.org 2001/07/08
|
||
.\" .Li icmp
|
||
.\" .Li tcp
|
||
.\" .Li udp
|
||
.\" すべてのプロトコル。
|
||
.\"
|
||
.Pp
|
||
.It Ar policy
|
||
.Ar policy
|
||
は次のいずれか 1 つです:
|
||
.Bd -literal -offset
|
||
.Xo
|
||
.Fl P Ar direction Li discard
|
||
.Xc
|
||
.Xo
|
||
.Fl P Ar direction Li none
|
||
.Xc
|
||
.Xo
|
||
.Fl P Ar direction Li ipsec Ar protocol/mode/src-dst/level
|
||
.Xc
|
||
.Ed
|
||
.Pp
|
||
ポリシの方向を
|
||
.Ar direction
|
||
で指定する必要があります。
|
||
.Li out
|
||
または
|
||
.Li in
|
||
が使用されます。
|
||
.Li discard
|
||
は、インデックスに適合するパケットが捨てられることを意味します。
|
||
.Li none
|
||
は、パケットに対して IPsec 操作が実施されないことを意味します。
|
||
.Li ipsec
|
||
は、パケットに対して IPsec 操作が実施されることを意味します。
|
||
.Li ah ,
|
||
.Li esp ,
|
||
.Li ipcomp
|
||
のいずれかを、
|
||
.Ar protocol
|
||
として設定します。
|
||
.Ar mode
|
||
は
|
||
.Li transport
|
||
または
|
||
.Li tunnel
|
||
のいずれかです。
|
||
.Ar mode
|
||
が
|
||
.Li tunnel
|
||
の場合、
|
||
SA の末端アドレスを、
|
||
.Ar src
|
||
および
|
||
.Ar dst
|
||
で、両アドレス間に
|
||
.Sq -
|
||
を付けて指定する必要があります。
|
||
これは、使用する SA を指定するために用いられます。
|
||
.Ar mode
|
||
が
|
||
.Li transport
|
||
の場合、
|
||
.Ar src
|
||
と
|
||
.Ar dst
|
||
は両方省略可能です。
|
||
.Ar level
|
||
は次のいずれかです:
|
||
.Li default , use , require ,
|
||
.Li unique
|
||
。
|
||
すべてのレベルにおいて SA が利用可能でない場合、
|
||
SA 取得要求をカーネルは鍵交換デーモンに送ります。
|
||
.Li default
|
||
は、カーネルがパケットを処理するとき、
|
||
指定したプロトコルについて、
|
||
システム全体のデフォルトを問い合わせることを意味します。
|
||
これは例えば
|
||
sysctl 変数
|
||
.Li esp_trans_deflev
|
||
を指します。
|
||
.Li use
|
||
は、カーネルが SA を使用可能であれば使用し、
|
||
使用不能の場合には通常操作を続けることを意味します。
|
||
.Li require
|
||
は、ポリシに適合するパケットをカーネルが送る時には
|
||
いつも SA が必要であることを意味します。
|
||
.Li unique
|
||
は require と同じです。
|
||
更に、ポリシが一意な外向き SA に結合することを許します。
|
||
.Li unique
|
||
の後にコロン
|
||
.Sq \:
|
||
で区切った後に 10 進数でポリシ識別子を指定可能であり、次のようにします:
|
||
.Li unique:number
|
||
。
|
||
.Li number
|
||
は 1 から 32767 の範囲にあることが必要です。
|
||
これは、
|
||
.Ar extensions Fl u
|
||
に対応します。
|
||
.Pp
|
||
.Dq Li discard
|
||
と
|
||
.Dq Li none
|
||
は
|
||
.Xr ipsec_set_policy 3
|
||
に記述されている構文には存在しないことに注意してください。
|
||
両者の構文にはちょっとした違いがあります。
|
||
詳細は
|
||
.Xr ipsec_set_policy 3
|
||
を参照してください。
|
||
.Pp
|
||
.El
|
||
.Pp
|
||
.\"
|
||
.Sh アルゴリズム
|
||
次の一覧は、サポートされているアルゴリズムを示しています。
|
||
.Sy protocol
|
||
と
|
||
.Sy algorithm
|
||
は、ほぼ直交しています。
|
||
次に示すのは、
|
||
.Ar protocol
|
||
パラメータの
|
||
.Fl A Ar aalgo
|
||
で
|
||
.Ar aalgo
|
||
として使用可能な認証アルゴリズムの一覧です:
|
||
.Pp
|
||
.Bd -literal -offset indent
|
||
アルゴリズム 鍵長 (ビット) コメント
|
||
hmac-md5 128 ah: rfc2403
|
||
128 ah-old: rfc2085
|
||
hmac-sha1 160 ah: rfc2404
|
||
160 ah-old: 128bit ICV (文書無し)
|
||
keyed-md5 128 ah: 96bit ICV (文書無し)
|
||
128 ah-old: rfc1828
|
||
keyed-sha1 160 ah: 96bit ICV (文書無し)
|
||
160 ah-old: 128bit ICV (文書無し)
|
||
null 0 ～ 2048 デバッグ用
|
||
hmac-sha2-256 256 ah: 96bit ICV (文書無し)
|
||
256 ah-old: 128bit ICV (文書無し)
|
||
hmac-sha2-384 384 ah: 96bit ICV (文書無し)
|
||
384 ah-old: 128bit ICV (文書無し)
|
||
hmac-sha2-512 512 ah: 96bit ICV (文書無し)
|
||
512 ah-old: 128bit ICV (文書無し)
|
||
.Ed
|
||
.Pp
|
||
次に示すのは、
|
||
.Ar protocol
|
||
パラメータの
|
||
.Fl E Ar ealgo
|
||
で
|
||
.Ar ealgo
|
||
として使用可能な暗号化アルゴリズムの一覧です:
|
||
.Pp
|
||
.Bd -literal -offset indent
|
||
アルゴリズム 鍵長 (ビット) コメント
|
||
des-cbc 64 esp-old: rfc1829, esp: rfc2405
|
||
3des-cbc 192 rfc2451
|
||
simple 0 ～ 2048 rfc2410
|
||
blowfish-cbc 40 ～ 448 rfc2451
|
||
cast128-cbc 40 ～ 128 rfc2451
|
||
des-deriv 64 ipsec-ciph-des-derived-01 (期限切れ)
|
||
3des-deriv 192 文書無し
|
||
rijndael-cbc 128/192/256 draft-ietf-ipsec-ciph-aes-cbc-00
|
||
.Ed
|
||
.Pp
|
||
次に示すのは、
|
||
.Ar protocol
|
||
パラメータの
|
||
.Fl C Ar calgo
|
||
で
|
||
.Ar calgo
|
||
として使用可能な圧縮アルゴリズムの一覧です:
|
||
.Pp
|
||
.Bd -literal -offset indent
|
||
アルゴリズム コメント
|
||
deflate rfc2394
|
||
lzs rfc2395
|
||
.Ed
|
||
.\"
|
||
.Sh 使用例
|
||
.Bd -literal -offset
|
||
add 3ffe:501:4819::1 3ffe:501:481d::1 esp 123457
|
||
-E des-cbc "ESP SA!!" ;
|
||
|
||
add 3ffe:501:4819::1 3ffe:501:481d::1 ah 123456
|
||
-A hmac-sha1 "AH SA configuration!" ;
|
||
|
||
add 10.0.11.41 10.0.11.33 esp 0x10001
|
||
-E des-cbc "ESP with"
|
||
-A hmac-md5 "authentication!!" ;
|
||
|
||
get 3ffe:501:4819::1 3ffe:501:481d::1 ah 123456 ;
|
||
|
||
flush ;
|
||
|
||
dump esp ;
|
||
|
||
spdadd 10.0.11.41/32[21] 10.0.11.33/32[any] any
|
||
-P out ipsec esp/tunnel/192.168.0.1-192.168.1.2/require ;
|
||
|
||
.Ed
|
||
.\"
|
||
.Sh 戻り値
|
||
本コマンドは成功時に 0 を、エラー時に 0 以外を返します。
|
||
.\"
|
||
.Sh 関連項目
|
||
.Xr ipsec_set_policy 3 ,
|
||
.Xr racoon 8 ,
|
||
.Xr sysctl 8
|
||
.\"
|
||
.Sh 歴史
|
||
.Nm
|
||
ユーティリティは WIDE Hydrangea IPv6 プロトコルスタックキットで
|
||
はじめて登場しました。
|
||
本コマンドは 1998 年 6 月に、完全に再デザインされました。
|
||
.\"
|
||
.\" .Sh BUGS
|