HP-UX IPFilter A.03.05.13 Administrator's Guide: HP-UX 11i v3

Contents
iv
IPFilter Keywords . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36
pass and block: Controlling IP Traffic . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36
in and out: Bidirectional Filtering . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 36
quick: Optimizing IPFilter Rules Processing . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 37
on: Filtering by Network Interfaces. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 37
from and to: Filtering by IP Addresses and Subnets . . . . . . . . . . . . . . . . . . . . . . . . . 38
log: Tracking Packets on a System . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 39
proto: Controlling Specific Protocols . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40
opt and ipopts: Filtering on IP Options . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40
icmp-type: Filtering ICMP Traffic by Type . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 41
port: Filtering on TCP and UDP Ports . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 43
keep state: Protecting TCP, UDP, and ICMP Sessions . . . . . . . . . . . . . . . . . . . . . . . . 44
flags: Tight Filtering Based on TCP Header Flags. . . . . . . . . . . . . . . . . . . . . . . . . . . 45
keep frags: Letting Fragmented Packets Pass . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 46
with frags: Dropping Fragmented Packets . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 46
with short: Dropping Short Fragments . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 46
return-rst: Responding to Blocked TCP Packets. . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47
return-icmp: Responding to Blocked ICMP Packets. . . . . . . . . . . . . . . . . . . . . . . . . . 47
dup-to: Drop-Safe Logging . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 48
NAT Keywords . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 49
map and portmap: Basic NAT . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 49
bimap: Bidirectional Mapping . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 50
rdr: Redirecting Packets. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 50
map-block: Mapping to a Block of Addresses . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 51
4. Dynamic Connection Allocation
DCA with HP-UX IPFilter. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 55
Overview: DCA Functionality . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 55
Using DCA. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 56
DCA Keywords . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 57
keep limit: Limiting Connections. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 57
log limit: Logging Exceeded Connections . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 59
log limit freq: Log Frequency . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 61
DCA Rule Syntax . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 62
DCA Rule Conditions. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 63
keep limit Rules and Rule Hits . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 64