doc/ja_JP.eucJP/man/man4/divert.4

.\"	%Id: divert.4,v 1.12 1998/06/05 23:20:12 julian Exp %
.\" jpman %Id: divert.4,v 1.3 2000/05/30 09:19:15 isaki Stab %
.\"
.\" WORD: divert 迂回
.\"
.Dd June 18, 1996
.Dt DIVERT 4
.Os FreeBSD
.Sh 名称
.Nm divert 
.Nd カーネルによるパケット迂回メカニズム
.Sh 書式
.Fd #include <sys/types.h>
.Fd #include <sys/socket.h>
.Fd #include <netinet/in.h>
.Ft int
.Fn socket PF_INET SOCK_RAW IPPROTO_DIVERT
.Sh 解説
.Pp
迂回ソケットは
.Xr bind 2
システムコールを経由して特定の
.Nm
ポートにバインドすることができることを除き、
生の IP ソケットとほぼ同じです。
bind での IP アドレスは無視され、ポート番号のみが意味を持ちます。
迂回ポートにバインドされた迂回ソケットは、
何らか (ここでは特定しません) の
カーネルメカニズムによってそのポートに迂回された全てのパケットを受信します。
パケットを迂回ポートに書き込むこともできます。
その場合はカーネルの IP パケット処理に再び入力されます。
.Pp
通常、迂回ソケットは FreeBSD のパケットフィルタリングの実装や
.Xr ipfw 8
プログラムと共に使われます。
迂回ソケットからの読み出しや書き込みによって、
合致するパケットをホストマシンを経由する時に任意の ``フィルタ'' を通したり、
特別なルーティングの細工を行うといったことができます。
.Sh パケットを読む
\``入ってくるパケット'' であっても ``出ていくパケット'' であっても迂回
させることができます。
入力パケットは IP インタフェース上で受信された後に迂回されます。
出力パケットは次のホップに転送する前に迂回されます。
.Pp
迂回パケットは
.Xr read 2 ,
.Xr recv 2 ,
もしくは
.Xr recvfrom 2
によってそのままの形で読み出すことができます。
後者の場合に得られるアドレスでは、
ポート番号にはパケット迂回者が提供するなんらかのタグ
(通常は ipfw のルール番号) が設定され、
IPアドレス部には 
入力パケットの場合はパケットが受信された (最初の) インタフェースアドレス、
出力パケットの場合は
.Dv INADDR_ANY
が設定されます。
入力パケットの場合はアドレスに続く 8 バイトの中に
インタフェース名も (そこに収まるものとして) おかれます。
.Sh パケットを書く
迂回ソケットへの書き込みは生の IP ソケットへの書き込みと似ています。
パケットは ``そのままの'' 形で通常のカーネル IP パケット処理へ送られ、
最小のエラーチェックのみが行われます。
パケットは入力としても出力としても書くことができます。
すなわち
.Xr write 2
もしくは
.Xr send 2
がパケットの配送に使われるか、
.Xr sendto 2
が
.Dv INADDR_ANY
の宛先 IP アドレスと共に使われると、
パケットはそれが出力であるかのように扱われます。
つまりローカルでないアドレスへ差し向けられます。
その他の場合は、入力であると想定され、
全てのパケットルーティングが実行されます。
.Pp
後者の場合では、
指定された IP アドレスは、
どれかのローカルインタフェースのアドレスと一致するか、
インタフェース名が IP アドレスの後に見つからなければなりません。
もしインタフェース名が見つかれば、
そのインタフェースが使われ、IP アドレスの値は無視されます
(それが
.Dv INADDR_ANY
でないことは無視されません)。
これは、どのインタフェースからパケットが ``到着'' したかを示すためです。
.Pp
通常、入力として読み出されるパケットは入力として書かれなければなりません。
出力パケットについても同様です。
パケットを読み出して書き戻す時には、
.Xr recvfrom 2
によって与えられたソケットアドレスと同じものを、そのままの形で
.Xr sendto 2
に渡すことで物事が単純になります (下記参照)。
.Pp
.Xr sendto 2 
へ渡されるソケットアドレスのポート部分には、
迂回モジュールにとって意味のあるタグが含まれます。
.Xr ipfw 8
の場合には、タグは、
.Em この次の
ルール番号からルール処理を再開すべきと解釈されます。
.Sh ループの回避
迂回ソケットへ (
.Xr sendto 2
を使って) 書き込まれたパケットは、
ソケットアドレスのポート部分に与えられたタグに続くルール番号から、
パケットフィルタに再入されます。
通常、ソケットアドレスは迂回を発生させる
(同じ番号においていくつかのルールがある場合は次のルールではない)
ルール番号においてすでにセットされています。
もし 'タグ' が別の再入点を示すために置き換えられていれば、
同じパケットが同じルールで 1 度以上迂回されるようなループを
回避するための考慮がなされるべきです。
.Sh 詳細
迂回ソケットを有効とするためには、
.Dv IPDIVERT
オプションを指定してカーネルをコンパイルしなければなりません。
.Pp
パケットは迂回されるがポートにバインドされるソケットがない場合、
もしくは
.Dv IPDIVERT
がカーネルにおいて有効にされていない場合は、パケットは捨てられます。
.Pp
迂回される入力パケットフラグメントは配送前に全てリアセンブルされます。
フラグメントが 1 つでも迂回されると全てのパケットが迂回されることになります。
もし、フラグメントのいくつかが違うポートに迂回されると、
最後にどのポートが選択されるかは予期できません。
.Pp
パケットは受信されて、変更されずに送信されますが、
出力として書かれたパケットの IP ヘッダのチェックサムは
正しい値に書き換えられます。
入力として書かれ、誤ったチェックサムを持つパケットは捨てられます。
それら以外は、全てのヘッダフィールドは変更されません 
(もちろんネットワークに届いた順番で)。
.Pp
タイプ SOCK_RAW のソケットの生成と同様に、
1024 より小さいボート番号をバインドするためには
スーパユーザアクセスが必要となります。
.Sh エラー
生のパケットの書き込み時に通常発生するエラーに加え、
迂回ソケットへの書き込みは以下のエラーを返すことがあります。
.Bl -tag -width Er
.It Bq Er EINVAL
パケットのヘッダが不正か、
パケットの IP オプションと設定されたソケットのオプションに不整合があります。
.It Bq Er EADDRNOTAVAIL
宛先アドレスに含まれる IP アドレスは、
.Dv INADDR_ANY
と等しくなく、
どのインタフェースにも関連づけられていません。
.El
.Sh 関連項目
.Xr bind 2 ,
.Xr recvfrom 2 ,
.Xr sendto 2 ,
.Xr socket 2 ,
.Xr ipfw 8
.Sh バグ
これはユーザモードプロセスがアドレス変換のような様々な IP
の細工を実装するためのすっきりした方法を提供することを試みたものです。
しかし、もっとすっきりさせることができるでしょうし、
.Xr ipfw 8
に依存しすぎています。
.Pp
入力のフラグメントが迂回の前に再構成されるべきかどうか
については疑問の余地があります。
例えば、他のマシン宛のパケットのうち数個のフラグメントが
ローカルマシン経由でルーティングされないだけで、
パケットが失われます。
これはおそらく何らかの方法で設定可能なオプションにするべきです。
.Sh 作者
.An Archie Cobbs Aq archie@whistle.com ,
Whistle Communications Corp.