7.9.3. 安全および安全でない sysctl

kernel.shm_rmid_forced

1 に設定すると、現在の IPC namespace のすべての共有メモリーオブジェクトは自動的に IPC_RMID を使用します。詳細は、shm_rmid_forced を参照してください。

net.ipv4.ip_local_port_range

TCP および UDP によって使用されるローカルポート範囲を定義して、ローカルポートを選択します。最初の番号は最初のポート番号で、2 番目の番号は最後のローカルポート番号になります。可能な限り、これらの数値は一方が偶数で一方が奇数となるように、異なるパリティーを持たせてください。数値は ip_unprivileged_port_start 以上でなければなりません。デフォルト値は、それぞれ 32768 および 60999 です。詳細は、ip_local_port_range (Kernel.org のドキュメント) を参照してください。

net.ipv4.tcp_syncookies

net.ipv4.tcp_syncookies を設定すると、カーネルは、通常、半分に開いた接続キューが満杯になるまで TCP SYN パケットを処理します。この時点で、SYN クッキー機能が開始します。この機能により、サービス拒否攻撃下であっても、システムは有効な接続を受け入れることができます。詳細は、tcp_syncookies (Kernel.org のドキュメント) を参照してください。

net.ipv4.ping_group_range

ICMP_PROTO データグラムソケットを、グループ範囲内のユーザーに制限します。デフォルトは 1 0 で、nobody は root であっても ping ソケットを作成できます。詳細は、ping_group_range (Kernel.org のドキュメント) を参照してください。

net.ipv4.ip_unprivileged_port_start

ネットワーク namespace 内の最初の権限のないポートを定義します。すべての特権ポートを無効にするには、0 に設定します。特権ポートは ip_local_port_range と重複できません。詳細は、ip_unprivileged_port_start (Kernel.org のドキュメント) を参照してください。

net.ipv4.ip_local_reserved_ports

アプリケーションまたはサービス用に予約するローカルポートの範囲をコンマ区切りで指定します。

net.ipv4.tcp_keepalive_time

接続がアイドル状態になった後に最初の keepalive プローブを送信するまでの間隔を秒単位で指定します。

net.ipv4.tcp_fin_timeout

接続が中止されるまでに FIN-WAIT-2 状態のままになる時間を秒単位で指定します。

net.ipv4.tcp_keepalive_intvl

keepalive プローブ間の間隔を秒単位で指定します。この値に tcp_keepalive_probes 値を掛けて、接続が切断されたと判断されるまでに必要な合計時間を決定します。

net.ipv4.tcp_keepalive_probes

接続が切断されたと判断されるまで送信する keepalive プローブの数を指定します。

net.ipv4.conf.IFNAME.accept_redirects

IPv4 ICMP リダイレクトメッセージを受け入れます。

net.ipv4.conf.IFNAME.accept_source_route

厳密なソースルート (SRR) オプション付きの IPv4 パケットを受け入れます。

net.ipv4.conf.IFNAME.arp_accept

ARP テーブルにまだ存在しない IPv4 アドレスを持つ、無償 ARP フレームの動作を定義します。

net.ipv4.conf.IFNAME.arp_notify

IPv4 アドレスおよびデバイスの変更を通知するモードを定義します。

net.ipv4.conf.IFNAME.disable_policy

この IPv4 インターフェイスの IPsec ポリシー (SPD) を無効にします。

net.ipv4.conf.IFNAME.secure_redirects

インターフェイスの現在のゲートウェイリストに記載されているゲートウェイ宛ての ICMP リダイレクトメッセージのみを受け入れます。

net.ipv4.conf.IFNAME.send_redirects

ノードがルーターとして機能している場合にのみリダイレクトを送信します。つまり、ホストは ICMP リダイレクトメッセージを送信しないでください。これは、特定の宛先で利用可能なルーティングパスの改善をホストに通知するためにルーターによって使用されます。

net.ipv6.conf.IFNAME.accept_ra

IPv6 ルーター広告を受け入れ、それを使用して自動設定を行います。また、ルーター要請の送信の可否を判断します。ルーターへの通知は、機能の設定がルーター広告を受け入れる場合にのみ送信されます。

net.ipv6.conf.IFNAME.accept_redirects

IPv6 ICMP リダイレクトメッセージを受け入れます。

net.ipv6.conf.IFNAME.accept_source_route

SRR オプション付きの IPv6 パケットを受け入れます。

net.ipv6.conf.IFNAME.arp_accept

ARP テーブルにまだ登録されていない IPv6 アドレスを持つ、無償 ARP フレームの動作を定義します。

net.ipv6.conf.IFNAME.arp_notify

IPv6 アドレスおよびデバイスの変更を通知するモードを定義します。

net.ipv6.neigh.IFNAME.base_reachable_time_ms

IPv6 のネイバーテーブルにおけるハードウェアアドレスと IP アドレスのマッピングの有効期間を制御します。

net.ipv6.neigh.IFNAME.retrans_time_ms

近隣探索メッセージの再送信タイマーを設定します。