ip6tables.8.in

   1 .TH IP6TABLES 8 "" "iptables 1.4.4" "iptables 1.4.4"
   2 .\"
   3 .\" Man page written by Andras Kis-Szabo <kisza@sch.bme.hu>
   4 .\" It is based on iptables man page.
   5 .\"
   6 .\" iptables page by Herve Eychenne <rv@wallfire.org>
   7 .\" It is based on ipchains man page.
   8 .\"
   9 .\" ipchains page by Paul ``Rusty'' Russell March 1997
  10 .\" Based on the original ipfwadm man page by Jos Vos <jos@xos.nl>
  11 .\"
  12 .\"     This program is free software; you can redistribute it and/or modify
  13 .\"     it under the terms of the GNU General Public License as published by
  14 .\"     the Free Software Foundation; either version 2 of the License, or
  15 .\"     (at your option) any later version.
  16 .\"
  17 .\"     This program is distributed in the hope that it will be useful,
  18 .\"     but WITHOUT ANY WARRANTY; without even the implied warranty of
  19 .\"     MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE.  See the
  20 .\"     GNU General Public License for more details.
  21 .\"
  22 .\"     You should have received a copy of the GNU General Public License
  23 .\"     along with this program; if not, write to the Free Software
  24 .\"     Foundation, Inc., 675 Mass Ave, Cambridge, MA 02139, USA.
  25 .\"
  26 .\"
  27 .SH NAME
  28 ip6tables \(em IPv6 packet filter administration
  29 .SH SYNOPSIS
  30 \fBip6tables\fP [\fB\-t\fP \fItable\fP] {\fB\-A\fP|\fB\-D\fP} \fIchain
  31 rule-specification\fP [\fIoptions...\fP]
  32 .PP
  33 \fBip6tables\fP [\fB\-t\fP \fItable\fP] \fB\-I\fP \fIchain\fP [\fIrulenum\fP]
  34 \fIrule-specification\fP [\fIoptions...\fP]
  35 .PP
  36 \fBip6tables\fP [\fB\-t\fP \fItable\fP] \fB\-R\fP \fIchain rulenum
  37 rule-specification\fP [\fIoptions...\fP]
  38 .PP
  39 \fBip6tables\fP [\fB\-t\fP \fItable\fP] \fB\-D\fP \fIchain rulenum\fP
  40 [\fIoptions...\fP]
  41 .PP
  42 \fBip6tables\fP [\fB\-t\fP \fItable\fP] \fB\-S\fP [\fIchain\fP [\fIrulenum\fP]]
  43 .PP
  44 \fBip6tables\fP [\fB\-t\fP \fItable\fP] {\fB\-F\fP|\fB\-L\fP|\fB\-Z\fP}
  45 [\fIchain\fP [\fIrulenum\fP]] [\fIoptions...\fP]
  46 .PP
  47 \fBip6tables\fP [\fB\-t\fP \fItable\fP] \fB\-N\fP \fIchain\fP
  48 .PP
  49 \fBip6tables\fP [\fB\-t\fP \fItable\fP] \fB\-X\fP [\fIchain\fP]
  50 .PP
  51 \fBip6tables\fP [\fB\-t\fP \fItable\fP] \fB\-P\fP \fIchain target\fP
  52 [\fIoptions...\fP]
  53 .PP
  54 \fBip6tables\fP [\fB\-t\fP \fItable\fP] \fB\-E\fP \fIold-chain-name new-chain-name\fP
  55 .SH DESCRIPTION
  56 \fBIp6tables\fP is used to set up, maintain, and inspect the
  57 tables of IPv6 packet
  58 filter rules in the Linux kernel.  Several different tables
  59 may be defined.  Each table contains a number of built-in
  60 chains and may also contain user-defined chains.
  61 .PP
  62 Each chain is a list of rules which can match a set of packets.  Each
  63 rule specifies what to do with a packet that matches.  This is called
  64 a `target', which may be a jump to a user-defined chain in the same
  65 table.
  66 .SH TARGETS
  67 A firewall rule specifies criteria for a packet and a target.  If the
  68 packet does not match, the next rule in the chain is the examined; if
  69 it does match, then the next rule is specified by the value of the
  70 target, which can be the name of a user-defined chain or one of the
  71 special values \fBACCEPT\fP, \fBDROP\fP, \fBQUEUE\fP or \fBRETURN\fP.
  72 .PP
  73 \fBACCEPT\fP means to let the packet through.
  74 \fBDROP\fP means to drop the packet on the floor.
  75 \fBQUEUE\fP means to pass the packet to userspace.
  76 (How the packet can be received
  77 by a userspace process differs by the particular queue handler.  2.4.x
  78 and 2.6.x kernels up to 2.6.13 include the \fBip_queue\fP
  79 queue handler.  Kernels 2.6.14 and later additionally include the
  80 \fBnfnetlink_queue\fP queue handler.  Packets with a target of QUEUE will be
  81 sent to queue number '0' in this case. Please also see the \fBNFQUEUE\fP
  82 target as described later in this man page.)
  83 \fBRETURN\fP means stop traversing this chain and resume at the next
  84 rule in the
  85 previous (calling) chain.  If the end of a built-in chain is reached
  86 or a rule in a built-in chain with target \fBRETURN\fP
  87 is matched, the target specified by the chain policy determines the
  88 fate of the packet.
  89 .SH TABLES
  90 There are currently three independent tables (which tables are present
  91 at any time depends on the kernel configuration options and which
  92 modules are present).
  93 .TP
  94 \fB\-t\fP, \fB\-\-table\fP \fItable\fP
  95 This option specifies the packet matching table which the command
  96 should operate on.  If the kernel is configured with automatic module
  97 loading, an attempt will be made to load the appropriate module for
  98 that table if it is not already there.
  99
 100 The tables are as follows:
 101 .RS
 102 .TP .4i
 103 \fBfilter\fP:
 104 This is the default table (if no \-t option is passed). It contains
 105 the built-in chains \fBINPUT\fP (for packets destined to local sockets),
 106 \fBFORWARD\fP (for packets being routed through the box), and
 107 \fBOUTPUT\fP (for locally-generated packets).
 108 .TP
 109 \fBmangle\fP:
 110 This table is used for specialized packet alteration.  Until kernel
 111 2.4.17 it had two built-in chains: \fBPREROUTING\fP
 112 (for altering incoming packets before routing) and \fBOUTPUT\fP
 113 (for altering locally-generated packets before routing).
 114 Since kernel 2.4.18, three other built-in chains are also supported:
 115 \fBINPUT\fP (for packets coming into the box itself), \fBFORWARD\fP
 116 (for altering packets being routed through the box), and \fBPOSTROUTING\fP
 117 (for altering packets as they are about to go out).
 118 .TP
 119 \fBraw\fP:
 120 This table is used mainly for configuring exemptions from connection
 121 tracking in combination with the NOTRACK target.  It registers at the netfilter
 122 hooks with higher priority and is thus called before ip_conntrack, or any other
 123 IP tables.  It provides the following built-in chains: \fBPREROUTING\fP
 124 (for packets arriving via any network interface) \fBOUTPUT\fP
 125 (for packets generated by local processes)
 126 .RE
 127 .SH OPTIONS
 128 The options that are recognized by
 129 \fBip6tables\fP can be divided into several different groups.
 130 .SS COMMANDS
 131 These options specify the specific action to perform.  Only one of them
 132 can be specified on the command line unless otherwise specified
 133 below.  For all the long versions of the command and option names, you
 134 need to use only enough letters to ensure that
 135 \fBip6tables\fP can differentiate it from all other options.
 136 .TP
 137 \fB\-A\fP, \fB\-\-append\fP \fIchain rule-specification\fP
 138 Append one or more rules to the end of the selected chain.
 139 When the source and/or destination names resolve to more than one
 140 address, a rule will be added for each possible address combination.
 141 .TP
 142 \fB\-D\fP, \fB\-\-delete\fP \fIchain rule-specification\fP
 143 .ns
 144 .TP
 145 \fB\-D\fP, \fB\-\-delete\fP \fIchain rulenum\fP
 146 Delete one or more rules from the selected chain.  There are two
 147 versions of this command: the rule can be specified as a number in the
 148 chain (starting at 1 for the first rule) or a rule to match.
 149 .TP
 150 \fB\-I\fP, \fB\-\-insert\fP \fIchain\fP [\fIrulenum\fP] \fIrule-specification\fP
 151 Insert one or more rules in the selected chain as the given rule
 152 number.  So, if the rule number is 1, the rule or rules are inserted
 153 at the head of the chain.  This is also the default if no rule number
 154 is specified.
 155 .TP
 156 \fB\-R\fP, \fB\-\-replace\fP \fIchain rulenum rule-specification\fP
 157 Replace a rule in the selected chain.  If the source and/or
 158 destination names resolve to multiple addresses, the command will
 159 fail.  Rules are numbered starting at 1.
 160 .TP
 161 \fB\-L\fP, \fB\-\-list\fP [\fIchain\fP]
 162 List all rules in the selected chain.  If no chain is selected, all
 163 chains are listed. Like every other ip6tables command, it applies to the
 164 specified table (filter is the default).
 165 .IP ""
 166 Please note that it is often used with the \fB\-n\fP
 167 option, in order to avoid long reverse DNS lookups.
 168 It is legal to specify the \fB\-Z\fP
 169 (zero) option as well, in which case the chain(s) will be atomically
 170 listed and zeroed.  The exact output is affected by the other
 171 arguments given. The exact rules are suppressed until you use
 172 .nf
 173  ip6tables \-L \-v
 174 .fi
 175 .TP
 176 \fB\-S\fP, \fB\-\-list\-rules\fP [\fIchain\fP]
 177 Print all rules in the selected chain.  If no chain is selected, all
 178 chains are printed like ip6tables-save. Like every other ip6tables command,
 179 it applies to the specified table (filter is the default).
 180 .TP
 181 \fB\-F\fP, \fB\-\-flush\fP [\fIchain\fP]
 182 Flush the selected chain (all the chains in the table if none is given).
 183 This is equivalent to deleting all the rules one by one.
 184 .TP
 185 \fB\-Z\fP, \fB\-\-zero\fP [\fIchain\fP [\fIrulenum\fP]]
 186 Zero the packet and byte counters in all chains, or only the given chain,
 187 or only the given rule in a chain. It is legal to
 188 specify the
 189 \fB\-L\fP, \fB\-\-list\fP
 190 (list) option as well, to see the counters immediately before they are
 191 cleared. (See above.)
 192 .TP
 193 \fB\-N\fP, \fB\-\-new\-chain\fP \fIchain\fP
 194 Create a new user-defined chain by the given name.  There must be no
 195 target of that name already.
 196 .TP
 197 \fB\-X\fP, \fB\-\-delete\-chain\fP [\fIchain\fP]
 198 Delete the optional user-defined chain specified.  There must be no references
 199 to the chain.  If there are, you must delete or replace the referring rules
 200 before the chain can be deleted.  The chain must be empty, i.e. not contain
 201 any rules.  If no argument is given, it will attempt to delete every
 202 non-builtin chain in the table.
 203 .TP
 204 \fB\-P\fP, \fB\-\-policy\fP \fIchain target\fP
 205 Set the policy for the chain to the given target.  See the section \fBTARGETS\fP
 206 for the legal targets.  Only built-in (non-user-defined) chains can have
 207 policies, and neither built-in nor user-defined chains can be policy
 208 targets.
 209 .TP
 210 \fB\-E\fP, \fB\-\-rename\-chain\fP \fIold\-chain new\-chain\fP
 211 Rename the user specified chain to the user supplied name.  This is
 212 cosmetic, and has no effect on the structure of the table.
 213 .TP
 214 \fB\-A\fP, \fB\-\-append\fP \fIchain rule-specification\fP
 215 Append one or more rules to the end of the selected chain.
 216 When the source and/or destination names resolve to more than one
 217 address, a rule will be added for each possible address combination.
 218 .TP
 219 \fB\-h\fP
 220 Help.
 221 Give a (currently very brief) description of the command syntax.
 222 .SS PARAMETERS
 223 The following parameters make up a rule specification (as used in the
 224 add, delete, insert, replace and append commands).
 225 .TP
 226 [\fB!\fP] \fB\-p\fP, \fB\-\-protocol\fP \fIprotocol\fP
 227 The protocol of the rule or of the packet to check.
 228 The specified protocol can be one of \fBtcp\fP, \fBudp\fP, \fBudplite\fP,
 229 \fBicmpv6\fP, \fBesp\fP, \fBmh\fP or \fBall\fP,
 230 or it can be a numeric value, representing one of these protocols or a
 231 different one. A protocol name from /etc/protocols is also allowed.
 232 But IPv6 extension headers except \fBesp\fP are not allowed.
 233 \fBesp\fP and \fBipv6\-nonext\fP
 234 can be used with Kernel version 2.6.11 or later.
 235 A "!" argument before the protocol inverts the
 236 test.  The number zero is equivalent to \fBall\fP.
 237 Protocol \fBall\fP
 238 will match with all protocols and is taken as default when this
 239 option is omitted.
 240 .TP
 241 [\fB!\fP] \fB\-s\fP, \fB\-\-source\fP \fIaddress\fP[\fB/\fP\fImask\fP]
 242 Source specification.
 243 \fIAddress\fP can be either be a hostname,
 244 a network IP address (with \fB/\fP\fImask\fP), or a plain IP address.
 245 Names will be resolved once only, before the rule is submitted to the kernel.
 246 Please note that specifying any name to be resolved with a remote query such as
 247 DNS is a really bad idea.
 248 (Resolving network names is not supported at this time.)
 249 The \fImask\fP is a plain number,
 250 specifying the number of 1's at the left side of the network mask.
 251 A "!" argument before the address specification inverts the sense of
 252 the address. The flag \fB\-\-src\fP
 253 is an alias for this option.
 254 Multiple addresses can be specified, but this will \fBexpand to multiple
 255 rules\fP (when adding with \-A), or will cause multiple rules to be
 256 deleted (with \-D).
 257 .TP
 258 [\fB!\fP] \fB\-d\fP, \fB\-\-destination\fP \fIaddress\fP[\fB/\fP\fImask\fP]
 259 Destination specification.
 260 See the description of the \fB\-s\fP
 261 (source) flag for a detailed description of the syntax.  The flag
 262 \fB\-\-dst\fP is an alias for this option.
 263 .TP
 264 \fB\-j\fP, \fB\-\-jump\fP \fItarget\fP
 265 This specifies the target of the rule; i.e., what to do if the packet
 266 matches it.  The target can be a user-defined chain (other than the
 267 one this rule is in), one of the special builtin targets which decide
 268 the fate of the packet immediately, or an extension (see \fBEXTENSIONS\fP
 269 below).  If this
 270 option is omitted in a rule (and \fB\-g\fP
 271 is not used), then matching the rule will have no
 272 effect on the packet's fate, but the counters on the rule will be
 273 incremented.
 274 .TP
 275 \fB\-g\fP, \fB\-\-goto\fP \fIchain\fP
 276 This specifies that the processing should continue in a user
 277 specified chain. Unlike the \-\-jump option return will not continue
 278 processing in this chain but instead in the chain that called us via
 279 \-\-jump.
 280 .TP
 281 [\fB!\fP] \fB\-i\fP, \fB\-\-in\-interface\fP \fIname\fP
 282 Name of an interface via which a packet was received (only for
 283 packets entering the \fBINPUT\fP, \fBFORWARD\fP and \fBPREROUTING\fP
 284 chains).  When the "!" argument is used before the interface name, the
 285 sense is inverted.  If the interface name ends in a "+", then any
 286 interface which begins with this name will match.  If this option is
 287 omitted, any interface name will match.
 288 .TP
 289 [\fB!\fP] \fB\-o\fP, \fB\-\-out\-interface\fP \fIname\fP
 290 Name of an interface via which a packet is going to be sent (for packets
 291 entering the \fBFORWARD\fP, \fBOUTPUT\fP and \fBPOSTROUTING\fP
 292 chains).  When the "!" argument is used before the interface name, the
 293 sense is inverted.  If the interface name ends in a "+", then any
 294 interface which begins with this name will match.  If this option is
 295 omitted, any interface name will match.
 296 .\" Currently not supported (header-based)
 297 .\" .TP
 298 .\" [\fB!\fP] \fB\-f\fP, \fB\-\-fragment\fP
 299 .\" This means that the rule only refers to second and further fragments
 300 .\" of fragmented packets.  Since there is no way to tell the source or
 301 .\" destination ports of such a packet (or ICMP type), such a packet will
 302 .\" not match any rules which specify them.  When the "!" argument
 303 .\" precedes the "\-f" flag, the rule will only match head fragments, or
 304 .\" unfragmented packets.
 305 .TP
 306 \fB\-c\fP, \fB\-\-set\-counters\fP \fIpackets bytes\fP
 307 This enables the administrator to initialize the packet and byte
 308 counters of a rule (during \fBINSERT\fP, \fBAPPEND\fP, \fBREPLACE\fP
 309 operations).
 310 .SS "OTHER OPTIONS"
 311 The following additional options can be specified:
 312 .TP
 313 \fB\-v\fP, \fB\-\-verbose\fP
 314 Verbose output.  This option makes the list command show the interface
 315 name, the rule options (if any), and the TOS masks.  The packet and
 316 byte counters are also listed, with the suffix 'K', 'M' or 'G' for
 317 1000, 1,000,000 and 1,000,000,000 multipliers respectively (but see
 318 the \fB\-x\fP flag to change this).
 319 For appending, insertion, deletion and replacement, this causes
 320 detailed information on the rule or rules to be printed.
 321 .TP
 322 \fB\-n\fP, \fB\-\-numeric\fP
 323 Numeric output.
 324 IP addresses and port numbers will be printed in numeric format.
 325 By default, the program will try to display them as host names,
 326 network names, or services (whenever applicable).
 327 .TP
 328 \fB\-x\fP, \fB\-\-exact\fP
 329 Expand numbers.
 330 Display the exact value of the packet and byte counters,
 331 instead of only the rounded number in K's (multiples of 1000)
 332 M's (multiples of 1000K) or G's (multiples of 1000M).  This option is
 333 only relevant for the \fB\-L\fP command.
 334 .TP
 335 \fB\-\-line\-numbers\fP
 336 When listing rules, add line numbers to the beginning of each rule,
 337 corresponding to that rule's position in the chain.
 338 .TP
 339 \fB\-\-modprobe=\fP\fIcommand\fP
 340 When adding or inserting rules into a chain, use \fIcommand\fP
 341 to load any necessary modules (targets, match extensions, etc).
 342 .SH MATCH EXTENSIONS
 343 ip6tables can use extended packet matching modules.  These are loaded
 344 in two ways: implicitly, when \fB\-p\fP or \fB\-\-protocol\fP
 345 is specified, or with the \fB\-m\fP or \fB\-\-match\fP
 346 options, followed by the matching module name; after these, various
 347 extra command line options become available, depending on the specific
 348 module.  You can specify multiple extended match modules in one line,
 349 and you can use the \fB\-h\fP or \fB\-\-help\fP
 350 options after the module has been specified to receive help specific
 351 to that module.
 352 .PP
 353 The following are included in the base package, and most of these can
 354 be preceded by a "\fB!\fP" to invert the sense of the match.
 355 .\" @MATCH@
 356 .SH TARGET EXTENSIONS
 357 ip6tables can use extended target modules: the following are included
 358 in the standard distribution.
 359 .\" @TARGET@
 360 .SH DIAGNOSTICS
 361 Various error messages are printed to standard error.  The exit code
 362 is 0 for correct functioning.  Errors which appear to be caused by
 363 invalid or abused command line parameters cause an exit code of 2, and
 364 other errors cause an exit code of 1.
 365 .SH BUGS
 366 Bugs?  What's this? ;-)
 367 Well... the counters are not reliable on sparc64.
 368 .SH COMPATIBILITY WITH IPCHAINS
 369 This \fBip6tables\fP
 370 is very similar to ipchains by Rusty Russell.  The main difference is
 371 that the chains \fBINPUT\fP and \fBOUTPUT\fP
 372 are only traversed for packets coming into the local host and
 373 originating from the local host respectively.  Hence every packet only
 374 passes through one of the three chains (except loopback traffic, which
 375 involves both INPUT and OUTPUT chains); previously a forwarded packet
 376 would pass through all three.
 377 .PP
 378 The other main difference is that \fB\-i\fP refers to the input interface;
 379 \fB\-o\fP refers to the output interface, and both are available for packets
 380 entering the \fBFORWARD\fP chain.
 381 There are several other changes in ip6tables.
 382 .SH SEE ALSO
 383 \fBip6tables\-save\fP(8),
 384 \fBip6tables\-restore\fP(8),
 385 \fBiptables\fP(8),
 386 \fBiptables\-save\fP(8),
 387 \fBiptables\-restore\fP(8),
 388 \fBlibipq\fP(3).
 389 .PP
 390 The packet-filtering-HOWTO details iptables usage for
 391 packet filtering,
 392 the netfilter-extensions-HOWTO details the extensions that are
 393 not in the standard distribution,
 394 and the netfilter-hacking-HOWTO details the netfilter internals.
 395 .br
 396 See
 397 .BR "http://www.netfilter.org/" .
 398 .SH AUTHORS
 399 Rusty Russell wrote iptables, in early consultation with Michael
 400 Neuling.
 401 .PP
 402 Marc Boucher made Rusty abandon ipnatctl by lobbying for a generic packet
 403 selection framework in iptables, then wrote the mangle table, the owner match,
 404 the mark stuff, and ran around doing cool stuff everywhere.
 405 .PP
 406 James Morris wrote the TOS target, and tos match.
 407 .PP
 408 Jozsef Kadlecsik wrote the REJECT target.
 409 .PP
 410 Harald Welte wrote the ULOG and NFQUEUE target, the new libiptc, as well as TTL match+target and libipulog.
 411 .PP
 412 The Netfilter Core Team is: Marc Boucher, Martin Josefsson, Yasuyuki Kozakai,
 413 Jozsef Kadlecsik, Patrick McHardy, James Morris, Pablo Neira Ayuso,
 414 Harald Welte and Rusty Russell.
 415 .PP
 416 ip6tables man page created by Andras Kis-Szabo, based on
 417 iptables man page written by Herve Eychenne <rv@wallfire.org>.
 418 .\" .. and did I mention that we are incredibly cool people?
 419 .\" .. sexy, too ..
 420 .\" .. witty, charming, powerful ..
 421 .\" .. and most of all, modest ..