Old:Parametri a run-time per Netfilter

Attenzione: questo articolo è ancora incompleto e in fase di scrittura da parte del suo autore. Sentitevi liberi di contribuire, proponendo modifiche alla guida tramite l'apposita pagina di discussione, in modo da non interferire con il lavoro portato avanti sulla voce. Per altre informazioni si rimanda al template.

Premessa

Di seguito riporto un elenco delle principali variabili del kernel relative a netfilter impostabili a run-time.

Per ciascuna di esse è indicato:

• nome della variabile;
• tipo (booleano, integer, ecc ...);
• una breve descrizione.

Queste variabili possono essere impostate in vari modi: tramite scripts, editando /etc/sysctl.conf, usando l' apposito comando sysctl e così via.

Altra documentazione (in inglese) si trova allegata ai sorgenti del kernel all' interno di Documentation/networking/ip-sysctl.txt

Buona lettura!.

Variabili a run-time

ip-forward (boolean) Permette il forwarding dei pacchetti

ipfrag_high_thresh (integer) Massima memoria utilizzabile per riassemblare i pacchetti frammentati. I pacchetti eccedenti vengono scartati fino a che non si raggiunge nuovamente la soglia settata da ipfrag_low_thresh

ipfrag_time (integer) Tempo massimo per mantenere un frammento IP in memoria

tcp_syn_retries (integer) Numero massimo di tentativi di ritrasmissione per stabilire una connessione (valore max=255)

tcp_synack_retries (integer) Idem come sopra, ma per le connessioni passive

tcp_keepalive_time (integer) Indica quanto spesso verrà inviato il messaggio TCP KEEPALIVE

tcp_keepalive_probes (integer) Indica quanti pacchetti TCP PROBES inviare prima di considerare la connessione BROKEN

tcp_keepalive_interval (integer) Indica quanto frequentemente vengono inviati i pacchetti TCP PROBES. Moltiplicando questo valore per il tcp_keepalive_probes si ottiene il timeout per il KILL di una connessione

tcp_retries1 (integer) Numero di tentativi/richieste prima che al network layer del kernel venga segnalato che qualcosa non va

tcp_retries2 (integer) Numero di tentativi/richieste prima che una connessione TCP attiva venga terminata

tcp_orphan_retries (integer) Idem come sopra, ma senza considerare attiva la connessione

tcp_fin_timeout (integer) Indica per quanto tempo mantenere una connessione in stato FIN WAIT 2

tcp_max_tw_buckets (integer) Numero massimo di sockets simultanee in timewait mantenute dal sistema

tcp_max_orphans (integer) Numero massimo di sockets TCP che possono rimanere non collegate a file handlers aperti dal sistema

tcp_abort_on_overflow (boolean) Permette il reset di una connessione se un servizio in LISTENING è troppo lento nella risposta

tcp_syncookies (boolean) Opzione valida solo se il kernel è stato compilato con il supporto dei SYNCOOKIES, previene possibili attacchi di tipo syn flood

tcp_timestamps (boolean) Abilita/disabilita il timestamp

tcp_ecn (boolean) Abilita/disabilita la notifica di possibili congestioni della rete

ip_local_port_range (2 integers) Definisce l' intervallo delle porte locali utilizzate da TCP e UDP. Il primo valore è l' estremo inferiore ed il secondo quello superiore dell' intervallo. Il valore di default dipende dalla memoria ram disponibile.

ip_dynaddr (boolean) Se diverso da 0, abilita il supporto per gli indirizzi dinamici

icmp_echo_ignore_all (boolean) Ignora i ping (ICMP ECHO REQUEST)

icmp_echo_ignore_broadcasts (boolean) Se settato (deve esserlo anche il precedente) il sistema ignora i ping verso indirizzi di broadcast e multicast

log_martians (boolean) Logga i pacchetti provenienti da indirizzi IP impossibili

accept_redirects (boolean) Abilita la ricezione di pacchetti ICMP REDIRECT

forwarding (boolean) Abilita il forwarding per una specifica interfaccia

proxy_arp (boolean) Abilita il proxy ARP

secure_redirects (boolean) Accetta ICMP REDIRECT solo dai gateways configurati

---

Autore: Keltik 13:28, Jun 11, 2005 (EDT)