568 lines
11 KiB
Groff
568 lines
11 KiB
Groff
.\" %FreeBSD: src/usr.sbin/setkey/setkey.8,v 1.4.2.7 2001/03/06 14:21:42 ru Exp %
|
||
.\" %KAME: setkey.8,v 1.28 2000/06/16 12:03:46 sakane Exp %
|
||
.\"
|
||
.\" Copyright (C) 1995, 1996, 1997, 1998, and 1999 WIDE Project.
|
||
.\" All rights reserved.
|
||
.\"
|
||
.\" Redistribution and use in source and binary forms, with or without
|
||
.\" modification, are permitted provided that the following conditions
|
||
.\" are met:
|
||
.\" 1. Redistributions of source code must retain the above copyright
|
||
.\" notice, this list of conditions and the following disclaimer.
|
||
.\" 2. Redistributions in binary form must reproduce the above copyright
|
||
.\" notice, this list of conditions and the following disclaimer in the
|
||
.\" documentation and/or other materials provided with the distribution.
|
||
.\" 3. Neither the name of the project nor the names of its contributors
|
||
.\" may be used to endorse or promote products derived from this software
|
||
.\" without specific prior written permission.
|
||
.\"
|
||
.\" THIS SOFTWARE IS PROVIDED BY THE PROJECT AND CONTRIBUTORS ``AS IS'' AND
|
||
.\" ANY EXPRESS OR IMPLIED WARRANTIES, INCLUDING, BUT NOT LIMITED TO, THE
|
||
.\" IMPLIED WARRANTIES OF MERCHANTABILITY AND FITNESS FOR A PARTICULAR PURPOSE
|
||
.\" ARE DISCLAIMED. IN NO EVENT SHALL THE PROJECT OR CONTRIBUTORS BE LIABLE
|
||
.\" FOR ANY DIRECT, INDIRECT, INCIDENTAL, SPECIAL, EXEMPLARY, OR CONSEQUENTIAL
|
||
.\" DAMAGES (INCLUDING, BUT NOT LIMITED TO, PROCUREMENT OF SUBSTITUTE GOODS
|
||
.\" OR SERVICES; LOSS OF USE, DATA, OR PROFITS; OR BUSINESS INTERRUPTION)
|
||
.\" HOWEVER CAUSED AND ON ANY THEORY OF LIABILITY, WHETHER IN CONTRACT, STRICT
|
||
.\" LIABILITY, OR TORT (INCLUDING NEGLIGENCE OR OTHERWISE) ARISING IN ANY WAY
|
||
.\" OUT OF THE USE OF THIS SOFTWARE, EVEN IF ADVISED OF THE POSSIBILITY OF
|
||
.\" SUCH DAMAGE.
|
||
.\"
|
||
.\" jpman %Id: setkey.8,v 1.3 2000/06/05 09:10:56 okazaki Stab %
|
||
.\"
|
||
.Dd May 17, 1998
|
||
.Dt SETKEY 8
|
||
.Os
|
||
.Sh 名称
|
||
.Nm setkey
|
||
.Nd 手動で IPsec の SA/SP データベースを操作する
|
||
.\"
|
||
.Sh 書式
|
||
.Nm
|
||
.Op Fl dv
|
||
.Fl c
|
||
.Nm
|
||
.Op Fl dv
|
||
.Fl f Ar filename
|
||
.Nm
|
||
.Op Fl adPlv
|
||
.Fl D
|
||
.Nm
|
||
.Op Fl dPv
|
||
.Fl F
|
||
.Nm
|
||
.Op Fl h
|
||
.Fl x
|
||
.\"
|
||
.Sh 解説
|
||
.Nm
|
||
は、カーネル内のセキュリティアソシエーションデータベース (SAD) エントリと
|
||
セキュリティポリシデータベース (SPD) エントリを、
|
||
追加・更新・内容列挙・削除します。
|
||
.Pp
|
||
.Nm
|
||
は、一連の操作を標準入力から受け取るか
|
||
.Po
|
||
.Fl c
|
||
付で起動された場合
|
||
.Pc
|
||
.Ar filename
|
||
という名前のファイルから受け取ります
|
||
.Po
|
||
.Fl f Ar filename
|
||
付で起動された場合
|
||
.Pc
|
||
。
|
||
.Bl -tag -width Ds
|
||
.It Fl D
|
||
SAD エントリをダンプします。
|
||
.Fl P
|
||
付の場合、SPD エントリをダンプします。
|
||
.It Fl F
|
||
SAD エントリを捨てます。
|
||
.Fl P
|
||
付の場合、SPD を捨てます。
|
||
.It Fl a
|
||
.Nm
|
||
は通常、
|
||
.Fl D
|
||
に対し、死んだ SAD エントリを表示しません。
|
||
.Fl a
|
||
付の場合、死んだ SAD エントリも表示します。
|
||
死んだ SAD エントリとは、期限切れではあるものの、
|
||
SPD エントリから参照されているために残っているものを指します。
|
||
.It Fl d
|
||
コマンドパーザ用のデバッグメッセージ表示を有効にし、
|
||
カーネルとは対話をしません。
|
||
これは通常は使用しません。
|
||
.It Fl x
|
||
無限ループし、
|
||
.Dv PF_KEY
|
||
ソケットへ送られる全メッセージをダンプします。
|
||
.It Fl h
|
||
.Fl x
|
||
モードにおいて、16 進数ダンプを追加します。
|
||
.It Fl l
|
||
.Fl D
|
||
において、短い出力で無限ループします。
|
||
.It Fl v
|
||
冗長になります。
|
||
.Dv PF_KEY
|
||
ソケット
|
||
.Po
|
||
他のプロセスから送信されたメッセージも含みます
|
||
.Pc
|
||
。
|
||
.El
|
||
.Pp
|
||
ハッシュマーク ('#') で始まる行は
|
||
コメント行として扱われることに注意してください。
|
||
.Bl -tag -width Ds
|
||
.It Xo
|
||
.Li add
|
||
.Ar src Ar dst Ar protocol Ar spi
|
||
.Op Ar extensions
|
||
.Ar algorithm...
|
||
.Li ;
|
||
.Xc
|
||
単一の SAD エントリを追加します。
|
||
.\"
|
||
.It Xo
|
||
.Li get
|
||
.Ar src Ar dst Ar protocol Ar spi
|
||
.Li ;
|
||
.Xc
|
||
単一の SAD エントリを表示します。
|
||
.\"
|
||
.It Xo
|
||
.Li delete
|
||
.Ar src Ar dst Ar protocol Ar spi
|
||
.Li ;
|
||
.Xc
|
||
単一の SAD エントリを削除します。
|
||
.\"
|
||
.It Xo
|
||
.Li flush
|
||
.Op Ar protocol
|
||
.Li ;
|
||
.Xc
|
||
オプションにマッチする全 SAD エントリをクリアします。
|
||
.\"
|
||
.It Xo
|
||
.Li dump
|
||
.Op Ar protocol
|
||
.Li ;
|
||
.Xc
|
||
オプションにマッチする全 SAD エントリをダンプします。
|
||
.\"
|
||
.It Xo
|
||
.Li spdadd
|
||
.Ar src_range Ar dst_range Ar upperspec Ar policy
|
||
.Li ;
|
||
.Xc
|
||
単一の SPD エントリを追加します。
|
||
.\"
|
||
.It Xo
|
||
.Li spddelete
|
||
.Ar src_range Ar dst_range Ar upperspec Fl P Ar direction
|
||
.Li ;
|
||
.Xc
|
||
単一の SPD エントリを削除します。
|
||
.\"
|
||
.It Xo
|
||
.Li spdflush
|
||
.Li ;
|
||
.Xc
|
||
全 SPD エントリをクリアします。
|
||
.\"
|
||
.It Xo
|
||
.Li spddump
|
||
.Li ;
|
||
.Xc
|
||
全 SPD エントリをダンプします。
|
||
.El
|
||
.\"
|
||
.Pp
|
||
メタ引数は下記の通りです:
|
||
.Pp
|
||
.Bl -tag -compact -width Ds
|
||
.It Ar src
|
||
.It Ar dst
|
||
セキュアコミュニケーションの始点/終点を IPv4/v6 アドレスで指定します。
|
||
.Nm
|
||
は引数
|
||
.Ar src
|
||
と
|
||
.Ar dst
|
||
について、ホスト名からアドレスへの問い合わせを行いません。
|
||
これらは数値形式で指定する必要があります。
|
||
.\"
|
||
.Pp
|
||
.It Ar protocol
|
||
.Ar protocol
|
||
は次のいずれか 1 つです:
|
||
.Bl -tag -width Fl -compact
|
||
.It Li esp
|
||
rfc2405 を基にした暗号ペイロード
|
||
.It Li esp-old
|
||
rfc1827 を基にした暗号ペイロード
|
||
.It Li ah
|
||
rfc2402 を基にした認証ヘッダ
|
||
.It Li ah-old
|
||
rfc1826 を基にした認証ヘッダ
|
||
.It Li ipcomp
|
||
IPCOMP
|
||
.El
|
||
.\"
|
||
.Pp
|
||
.It Ar spi
|
||
SAD および SPD 用の、セキュリティパラメータインデックス (SPI)。
|
||
範囲 0 から 255 の SPI 値は使用できません。
|
||
10 進数または 16 進数
|
||
.Po
|
||
.Li 0x
|
||
付
|
||
.Pc
|
||
で指定する必要があります。
|
||
.\"
|
||
.Pp
|
||
.It Ar extensions
|
||
次に示す引数を受け付けます:
|
||
.Bl -tag -width Fl -compact
|
||
.\"
|
||
.It Fl m Ar mode
|
||
使用するセキュリティプロトコルモードを指定します。
|
||
.Ar mode
|
||
は次のいずれか 1 つです:
|
||
.Li transport , tunnel ,
|
||
.Li any
|
||
。
|
||
デフォルト値は
|
||
.Li any
|
||
です。
|
||
.\"
|
||
.It Fl r Ar size
|
||
繰り返し攻撃を防ぐためのウィンドウサイズをバイト数で指定します。
|
||
.Ar size
|
||
は 32 ビットワードの 10 進数で指定する必要があります。
|
||
.Ar size
|
||
が 0 または指定されなかった場合、繰り返しのチェックは行われません。
|
||
.It Fl f Ar pad_option
|
||
.Ar pad_option
|
||
は次のいずれか 1 つです:
|
||
.Li zero-pad , random-pad ,
|
||
.Li seq-pad
|
||
。
|
||
.\"
|
||
.It Fl u Ar id
|
||
ポリシの識別子を指定します
|
||
.Xr ipsec_set_policy 3
|
||
を参照してください。
|
||
.\"
|
||
.\"
|
||
.It Fl f Li nocyclic-seq
|
||
周期的な順序番号を許可しません。
|
||
.\"
|
||
.It Fl lh Ar time
|
||
.It Fl ls Ar time
|
||
ハード有効期間/ソフト有効期間を指定します。
|
||
.El
|
||
.\"
|
||
.Pp
|
||
.It Ar algorithm
|
||
.Bl -tag -width Fl -compact
|
||
.It Fl E Ar ealgo Ar key
|
||
暗号化アルゴリズムを指定します。
|
||
.It Fl A Ar aalgo Ar key
|
||
認証アルゴリズムを指定します。
|
||
.Fl A
|
||
が esp 用に使用されると、暗号ペイロードの
|
||
ペイロード認証アルゴリズムとして扱われます。
|
||
.It Fl C Ar calgo Op Fl R
|
||
圧縮アルゴリズムを指定します。
|
||
.Fl R
|
||
が
|
||
.Li ipcomp
|
||
行と共に指定されないと、カーネルは良く知られた (well-known) IPComp CPI
|
||
.Pq 圧縮パラメータインデックス
|
||
をパケット上の IPComp CPI フィールドで使用し、
|
||
.Ar spi
|
||
フィールドは無視されます。
|
||
この場合、
|
||
.Ar spi
|
||
フィールドはカーネル内部でのみ使用されます。
|
||
.\"Therefore, compression protocol number will appear on IPComp CPI field.
|
||
.Fl R
|
||
が使用されると、
|
||
.Ar spi
|
||
フィールド上の値が、出力パケットの IPComp CPI フィールドに現れます。
|
||
この場合、
|
||
.Ar spi
|
||
フィールドは
|
||
.Li 0x10000
|
||
未満であることが必要です。
|
||
.El
|
||
.Pp
|
||
.Li esp
|
||
SA は
|
||
.Fl E
|
||
と
|
||
.Fl A
|
||
を受け付けます。
|
||
.Li esp-old
|
||
SA は
|
||
.Fl E
|
||
のみを受け付けます。
|
||
.Li ah
|
||
と
|
||
.Li ah-old
|
||
の SA は
|
||
.Fl A
|
||
のみを受け付けます。
|
||
.Li ipcomp
|
||
SA は
|
||
.Fl C
|
||
のみを受け付けます。
|
||
.Pp
|
||
.Ar key
|
||
は、ダブルクォートで括られた文字列か、
|
||
一続きの 16 進数で指定する必要があります。
|
||
.Pp
|
||
.Ar ealgo ,
|
||
.Ar aalgo ,
|
||
.Ar calgo
|
||
が取り得る値は別の節で規定します。
|
||
.\"
|
||
.Pp
|
||
.It Ar src_range
|
||
.It Ar dst_range
|
||
セキュアコミュニケーションの選択であり、
|
||
IPv4/v6 アドレスまたは IPv4/v6 アドレス範囲で指定します。
|
||
TCP/UDP ポート指定を付加することも可能です。
|
||
次の形式を受け付けます:
|
||
.Bd -literal -offset
|
||
.Ar address
|
||
.Ar address/prefixlen
|
||
.Ar address[port]
|
||
.Ar address/prefixlen[port]
|
||
.Ed
|
||
.Pp
|
||
.Ar prefixlen
|
||
と
|
||
.Ar port
|
||
は 10 進数で指定する必要があります。
|
||
.Ar port
|
||
の周りの角括弧は、実際に必要です。
|
||
マニュアルページのメタ文字ではありません。
|
||
.Pp
|
||
.Nm
|
||
は引数
|
||
.Ar src
|
||
と
|
||
.Ar dst
|
||
について、ホスト名からアドレスへの問い合わせを行いません。
|
||
これらは数値形式で指定する必要があります。
|
||
.\"
|
||
.Pp
|
||
.It Ar upperspec
|
||
使用する上位層プロトコル。
|
||
現在、
|
||
.Li tcp ,
|
||
.Li udp ,
|
||
.Li any
|
||
を指定可能です。
|
||
.Li any
|
||
は
|
||
.Dq 任意のプロトコル
|
||
を意味します。
|
||
.Pp
|
||
注:
|
||
.Ar upperspec
|
||
は、現時点では転送に対して機能しません。
|
||
転送ノードにおいて、追加の再構成
|
||
.Pq 現時点では未実装
|
||
が必要となるからです。
|
||
.\"
|
||
.Pp
|
||
.It Ar policy
|
||
.Ar policy
|
||
は次のいずれか 1 つです:
|
||
.Pp
|
||
.Bl -item -compact
|
||
.It
|
||
.Fl P
|
||
.Ar direction
|
||
.Li discard
|
||
.It
|
||
.Fl P
|
||
.Ar direction
|
||
.Li none
|
||
.It
|
||
.Fl P
|
||
.Ar direction
|
||
.Li ipsec
|
||
.Ar protocol/mode/src-dst/level
|
||
.El
|
||
ポリシの方向を
|
||
.Ar direction
|
||
で指定する必要があります。
|
||
.Li out
|
||
または
|
||
.Li in
|
||
が使用されます。
|
||
.Li discard
|
||
は、インデックスにマッチするパケットが捨てられることを意味します。
|
||
.Li none
|
||
は、パケットに対して IPsec 操作が実施されないことを意味します。
|
||
.Li ipsec
|
||
は、パケットに対して IPsec 操作が実施されることを意味します。
|
||
.Li ah ,
|
||
.Li esp ,
|
||
.Li ipcomp
|
||
のいずれかを、
|
||
.Ar protocol
|
||
として設定します。
|
||
.Ar mode
|
||
は
|
||
.Li transport
|
||
または
|
||
.Li tunnel
|
||
のいずれかです。
|
||
SA の末端アドレスを、
|
||
.Ar src
|
||
および
|
||
.Ar dst
|
||
で、両アドレス間に
|
||
.Sq -
|
||
を付けて指定する必要があります。
|
||
これは、使用する SA を指定するために用いられます。
|
||
.Ar level
|
||
は次のいずれかです:
|
||
.Li default , use ,
|
||
.Li require
|
||
。
|
||
.Li default
|
||
は、カーネルがパケットを処理するとき、
|
||
指定したプロトコルについて、
|
||
システム全体のデフォルトを問い合わせることを意味します。
|
||
これは例えば
|
||
sysctl 変数
|
||
.Li esp_trans_deflev
|
||
を指します。
|
||
.Li use
|
||
は、カーネルが SA を使用可能であれば使用し、
|
||
使用不能の場合には通常操作を続けることを意味します。
|
||
.Li require
|
||
は、カーネルがパケットを扱う時にはいつも SA が必要であることを意味します。
|
||
.Dq Li discard
|
||
と
|
||
.Dq Li none
|
||
は
|
||
.Xr ipsec_set_policy 3
|
||
に記述されている構文には存在しないことに注意してください。
|
||
両者の構文にはちょっとした違いがあります。
|
||
詳細は
|
||
.Xr ipsec_set_policy 3
|
||
を参照してください。
|
||
.Pp
|
||
.El
|
||
.Pp
|
||
.\"
|
||
.Sh アルゴリズム
|
||
次の一覧は、サポートされているアルゴリズムを示しています。
|
||
.Sy protocol
|
||
と
|
||
.Sy algorithm
|
||
は、ほぼ直交しています。
|
||
次に示すのは、
|
||
.Ar protocol
|
||
パラメータの
|
||
.Fl A Ar aalgo
|
||
で
|
||
.Ar aalgo
|
||
として使用可能な認証アルゴリズムの一覧です:
|
||
.Pp
|
||
.Bd -literal -offset indent
|
||
アルゴリズム 鍵長 (ビット) コメント
|
||
hmac-md5 128 ah: rfc2403
|
||
128 ah-old: rfc2085
|
||
hmac-sha1 160 ah: rfc2404
|
||
160 ah-old: 128bit ICV (文書無し)
|
||
keyed-md5 128 ah: 96bit ICV (文書無し)
|
||
128 ah-old: rfc1828
|
||
keyed-sha1 160 ah: 96bit ICV (文書無し)
|
||
160 ah-old: 128bit ICV (文書無し)
|
||
null 0 ～ 2048 デバッグ用
|
||
.Ed
|
||
.Pp
|
||
次に示すのは、
|
||
.Ar protocol
|
||
パラメータの
|
||
.Fl E Ar ealgo
|
||
で
|
||
.Ar ealgo
|
||
として使用可能な暗号化アルゴリズムの一覧です:
|
||
.Pp
|
||
.Bd -literal -offset indent
|
||
アルゴリズム 鍵長 (ビット) コメント
|
||
des-cbc 64 esp-old: rfc1829, esp: rfc2405
|
||
3des-cbc 192 rfc2451
|
||
simple 0 ～ 2048 rfc2410
|
||
blowfish-cbc 40 ～ 448 rfc2451
|
||
cast128-cbc 40 ～ 128 rfc2451
|
||
rc5-cbc 40 ～ 2040 rfc2451
|
||
des-deriv 64 ipsec-ciph-des-derived-01 (期限切れ)
|
||
3des-deriv 192 文書無し
|
||
.Ed
|
||
.Pp
|
||
次に示すのは、
|
||
.Ar protocol
|
||
パラメータの
|
||
.Fl C Ar calgo
|
||
で
|
||
.Ar calgo
|
||
として使用可能な圧縮アルゴリズムの一覧です:
|
||
.Pp
|
||
.Bd -literal -offset indent
|
||
アルゴリズム コメント
|
||
deflate rfc2394
|
||
lzs rfc2395
|
||
.Ed
|
||
.\"
|
||
.Sh 使用例
|
||
.Bd -literal -offset
|
||
add 3ffe:501:4819::1 3ffe:501:481d::1 esp 123457
|
||
-E des-cbc "ESP SA!!" ;
|
||
|
||
add 3ffe:501:4819::1 3ffe:501:481d::1 ah 123456
|
||
-A hmac-sha1 "AH SA configuration!" ;
|
||
|
||
add 10.0.11.41 10.0.11.33 esp 0x10001
|
||
-E des-cbc "ESP with"
|
||
-A hmac-md5 "authentication!!" ;
|
||
|
||
get 3ffe:501:4819::1 3ffe:501:481d::1 ah 123456 ;
|
||
|
||
flush ;
|
||
|
||
dump esp ;
|
||
|
||
spdadd 10.0.11.41/32[21] 10.0.11.33/32[any] any
|
||
-P out ipsec esp/tunnel/192.168.0.1-192.168.1.2/require ;
|
||
|
||
.Ed
|
||
.\"
|
||
.Sh 戻り値
|
||
本コマンドは成功時に 0 を、エラー時に 0 以外を返します。
|
||
.\"
|
||
.Sh 関連項目
|
||
.Xr ipsec_set_policy 3 ,
|
||
.Xr sysctl 8
|
||
.\"
|
||
.Sh 歴史
|
||
.Nm
|
||
コマンドは WIDE Hydrangea IPv6 プロトコルスタックキットで
|
||
はじめて登場しました。
|
||
本コマンドは 1998 年 6 月に、完全に再デザインされました。
|
||
.\"
|
||
.\" .Sh BUGS
|