コマンド

-A, --append chain rule-specification

選択されたチェインの最後に 1 つ以上のルールを追加する。送信元や送信先の名前の解決を行って、 1 つ以上のアドレスに展開された場合は、可能なアドレスの組合せそれぞれに対してルールが追加される。

-D, --delete chain rule-specification

-D, --delete chain rulenum

選択されたチェインから 1 つ以上のルールを削除する。このコマンドには 2 つの使い方がある: チェインの中の番号 (最初のルールを 1 とする) を指定する場合と、マッチするルールを指定する場合である。

-I, --insert

選択されたチェインにルール番号を指定して 1 つ以上のルールを挿入する。ルール番号が 1 の場合、ルールはチェインの先頭に挿入される。これはルール番号が指定されない場合のデフォルトでもある。

-R, --replace chain rulenum rule-specification

選択されたチェインにあるルールを置き換える。送信元や送信先の名前が 1 つ以上のアドレスに解決された場合は、このコマンドは失敗する。ルール番号は 1 からはじまる。

-L, --list [ chain]

選択されたチェインにある全てのルールを一覧表示する。チェインが指定されない場合、全てのチェインにあるリストが一覧表示される。他の各 iptables コマンドと同様に、指定されたテーブル (デフォルトは filter) に対して作用する。よって mangle ルールを表示するには以下のようにする。
ip6tables -t mangle -n -L
DNS の逆引きを避けるために、よく -n オプションと共に使用される。 -Z (ゼロ化) オプションを同時に指定することもできる。この場合、チェインは要素毎にリストされて、 (訳註: パケットカウンタとバイトカウンタが) ゼロにされる。出力表示は同時に与えられた他の引き数に影響される。以下のように、 -v オプションを指定しない限り、実際のルールそのものは表示されない。
ip6tables -L -v

-F, --flush [ chain]

選択されたチェイン (何も指定されなければテーブル内の全てのチェイン) の内容を全消去する。これは全てのルールを 1 個ずつ削除するのと同じである。

-Z, --zero [ chain]

すべてのチェインのパケットカウンタとバイトカウンタをゼロにする。クリアされる直前のカウンタを見るために、 -L, --list (一覧表示) オプションと同時に指定することもできる (上記を参照)。

-N, --new-chain chain

指定した名前でユーザー定義チェインを作成する。同じ名前のターゲットが既に存在してはならない。

-X, --delete-chain [ chain]

指定したユーザー定義チェインを削除する。そのチェインが参照されていてはならない。チェインを削除する前に、そのチェインを参照しているルールを削除するか置き換えるかしなければならない。引き数が与えられない場合、テーブルにあるチェインのうち組み込み済みチェインでないものを全て削除する。

-P, --policy chain target

チェインのポリシーを指定したターゲットに設定する。指定可能なターゲットは「 ターゲット」の章を参照すること。 (ユーザー定義ではない) 組み込み済みチェインにしかポリシーは設定できない。また、組み込み済みチェインもユーザー定義チェインもポリシーのターゲットに設定することはできない。

-E, --rename-chain old-chain new-chain

ユーザー定義チェインを指定した名前に変更する。これは見た目だけの変更なので、テーブルの構造には何も影響しない。

-h

ヘルプ。 (今のところはとても簡単な) コマンド書式の説明を表示する。

パラメータ

-p, --protocol [!] protocol

ルールで使われるプロトコル、またはチェックされるパケットのプロトコル。指定できるプロトコルは、 tcp, udp, ipv6-icmp|icmpv6, all のいずれか 1 つか、数値である。数値は、これらのプロトコルの 1 つ、もしくは別のプロトコルを表す。 /etc/protocols にあるプロトコル名も指定できる。プロトコルの前に "!"を置くと、そのプロトコルを指定しないという意味になる。数値 0 は all と等しい。プロトコル all は全てのプロトコルとマッチし、このオプションが省略された際のデフォルトである。

-s, --source [!] address[/ mask]

送信元の指定。 address はホスト名 (DNS のようなリモートへの問い合わせで解決する名前を指定するのは非常に良くない)・ネットワーク IPv6 アドレス (/mask を指定する)・通常の IPv6 アドレス (今のところ、ネットワーク名はサポートされていない)、のいずれかである。 mask はネットワークマスクか、ネットワークマスクの左側にある 1 の数を指定する数値である。つまり、 64 という mask は ffff:ffff:ffff:ffff:0000:0000:0000:0000 に等しい。アドレス指定の前に "!"を置くと、そのアドレスを除外するという意味になる。フラグ --src は、このオプションの別名である。

-d, --destination [!] address[/ mask]

送信先の指定。書式の詳しい説明については、 -s (送信元) フラグの説明を参照すること。フラグ --dst は、このオプションの別名である。

-j, --jump target

ルールのターゲット、つまり、パケットがマッチした場合にどうするかを指定する。ターゲットはユーザー定義チェイン (そのルール自身が入っているチェイン以外) でも、パケットの行方を即時に決定する特別な組み込み済みターゲットでも、拡張されたターゲット (以下の「 ターゲットの拡張」を参照) でもよい。このオプションがルールの中で省略された場合、ルールにマッチしてもパケットの行方に何も影響しないが、ルールのカウンタは 1 つ加算される。

-i, --in-interface [!] name

パケットを受信することになるインターフェース名 ( INPUT, FORWARD, PREROUTING チェインに入るパケットのみ)。インターフェース名の前に "!"を置くと、そのインターフェースを除外するという意味になる。インターフェース名が "+"で終っている場合、その名前で始まる任意のインターフェース名にマッチする。このオプションが省略された場合、任意のインターフェース名にマッチする。

-o, --out-interface [!] name

( FORWARD, OUTPUT チェインに入る) パケットを送信するインターフェース名。インターフェース名の前に "!"を置くと、そのインターフェースを除外するという意味になる。インターフェース名が "+"で終っている場合、その名前で始まる任意のインターフェース名にマッチする。このオプションが省略された場合、任意のインターフェース名にマッチする。

-c, --set-counters PKTS BYTES

このオプションを使うと、 ( insert, append, replace 操作において) 管理者はパケットカウンタとバイトカウンタを初期化することができる。

その他のオプション

-v, --verbose

詳細な出力を行う。 list コマンドの際に、インターフェース名・ (もしあれば) ルールのオプション・TOS マスクを表示させる。パケットとバイトカウンタも表示される。添字 'K', 'M', 'G' は、それぞれ 1000, 1,000,000, 1,000,000,000 倍を表す (これを変更する -x フラグも見よ)。このオプションを append, insert, delete, replace コマンドに適用すると、ルールについての詳細な情報を表示する。

-n, --numeric

数値による出力を行う。 IP アドレスやポート番号を数値によるフォーマットで表示する。デフォルトでは、iptables は (可能であれば) これらの情報をホスト名・ネットワーク名・サービス名で表示しようとする。

-x, --exact

厳密な数値で表示する。パケットカウンタとバイトカウンタを、 K (1000 の何倍か)・M (1000K の何倍か)・G (1000M の何倍か) ではなく、厳密な値で表示する。このオプションは、 -L コマンドとしか関係しない。

--line-numbers

ルールを一覧表示する際、そのルールがチェインのどの位置にあるかを表す行番号を各行の始めに付加する。

--modprobe=command

チェインにルールを追加または挿入する際に、 (ターゲットやマッチングの拡張などで) 必要なモジュールをロードするために使う command を指定する。

tcp

--source-port [!] port[: port]

送信元ポートまたはポート範囲の指定。サービス名またはポート番号を指定できる。 port: port という形式で、2 つの番号を含む範囲を指定することもできる。最初のポートを省略した場合、"0"を仮定する。最後のポートを省略した場合、"65535"を仮定する。最初のポートが最後のポートより大きい場合、2 つは入れ換えられる。フラグ --sport は、このオプションの便利な別名である。

--destination-port [!] port[: port]

送信先ポートまたはポート範囲の指定。フラグ --dport は、このオプションの便利な別名である。

--tcp-flags [!] mask comp

TCP フラグが指定されたものと等しい場合にマッチする。第 1 引き数は評価対象とするフラグで、コンマ区切りのリストである。第 2 引き数は必ず設定しなければならないフラグで、コンマ区切りのリストである。指定できるフラグは SYN ACK FIN RST URG PSH ALL NONE である。よって、コマンド
ip6tables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST SYN
は、SYN フラグが設定され ACK, FIN, RST フラグが設定されていないパケットにのみマッチする。

[!] --syn

SYN ビットが設定され ACK と RST ビットがクリアされている TCP パケットにのみマッチする。このようなパケットは TCP 接続の開始要求に使われる。例えば、あるインターフェースに入ってくるこのようなパケットをブロックすれば、内側への TCP 接続は禁止されるが、外側への TCP 接続には影響しない。これは --tcp-flags SYN,RST,ACK SYN と等しい。 "--syn"の前に "!"フラグを置くと、 SYN ビットがクリアされ ACK と RST ビットが設定されている TCP パケットにのみマッチする。

--tcp-option [!] number

TCP オプションが設定されている場合にマッチする。

udp

--source-port [!] port[: port]

送信元ポートまたはポート範囲の指定。詳細は TCP 拡張の --source-port オプションの説明を参照すること。

--destination-port [!] port[: port]

送信先ポートまたはポート範囲の指定。詳細は TCP 拡張の --destination-port オプションの説明を参照すること。

ipv6-icmp

--icmpv6-type [!] typename

ICMP タイプを指定できる。タイプ指定には、数値の IPv6-ICMP タイプ、または以下のコマンドで表示される IPv6-ICMP タイプ名を使用できる。
ip6tables -p ipv6-icmp -h

mac

--mac-source [!] address

送信元 MAC アドレスにマッチする。 address は XX:XX:XX:XX:XX:XX という形式でなければならない。イーサーネットデバイスから入ってくるパケットで、 PREROUTING, FORWARD, INPUT チェインに入るパケットにしか意味がない。

limit

--limit rate

単位時間あたりの平均マッチ回数の最大値。数値で指定され、添字 `/second', `/minute', `/hour', `/day' を付けることもできる。デフォルトは 3/hour である。

--limit-burst number

パケットがマッチする回数の最大初期値: 上のオプションで指定した制限に達しなければ、その度ごとに、この数値になるまで 1 個ずつ増やされる。デフォルトは 5 である。

multiport

--source-ports port[, port[, port...]]

送信元ポートが指定されたポートのうちのいずれかであればマッチする。フラグ --sports は、このオプションの便利な別名である。

--destination-ports port[, port[, port...]]

宛先ポートが指定されたポートのうちのいずれかであればマッチする。フラグ --dports は、このオプションの便利な別名である。

--ports port[, port[, port...]]

送信元ポートと宛先ポートが等しく、かつそのポートが指定されたポートのうちのいずれかであればマッチする。

mark

--mark value[/ mask]

指定された符号なし mark 値のパケットにマッチする (mask が指定されると、比較の前に mask との論理積 (AND) がとられる)。

owner

--uid-owner userid

指定された実効ユーザー ID のプロセスによりパケットが生成されている場合にマッチする。

--gid-owner groupid

指定された実効グループ ID のプロセスによりパケットが生成されている場合にマッチする。

--pid-owner processid

指定されたプロセス ID のプロセスによりパケットが生成されている場合にマッチする。

--sid-owner sessionid

指定されたセッショングループのプロセスによりパケットが生成されている場合にマッチする。

LOG

--log-level level

ログ記録のレベル (数値て指定するか、(名前で指定する場合は) syslog.conf(5) を参照すること)。

--log-prefix prefix

指定したプレフィックスをログメッセージの前に付ける。プレフィックスは 29 文字までの長さで、ログの中でメッセージを区別するのに役立つ。

--log-tcp-sequence

TCP シーケンス番号をログに記録する。ログがユーザーから読める場合、セキュリティ上の危険がある。

--log-tcp-options

TCP パケットヘッダのオプションをログに記録する。

--log-ip-options

IPv6 パケットヘッダのオプションをログに記録する。

MARK

--set-mark mark

REJECT

--reject-with type

type として指定可能なものは
icmp6-no-route
no-route
icmp6-adm-prohibited
adm-prohibited
icmp6-addr-unreachable
addr-unreach
icmp6-port-unreachable
port-unreach
であり、適切な IPv6-ICMP エラーメッセージを返す ( port-unreach がデフォルトである)。さらに、TCP プロトコルにのみマッチするルールに対して、オプション tcp-reset を使うことができる。このオプションを使うと、TCP RST パケットが送り返される。主として ident (113/tcp) による探査を阻止するのに役立つ。 ident による探査は、壊れている (メールを受け取らない) メールホストにメールが送られる場合に頻繁に起こる。