.TH CONNTRACK 8 "2019-08-09" "" "دستورات مدیریت سیستم"

.\" Man page written by Harald Welte <laforge@netfilter.org (Jun 2005)
.\" Maintained by Pablo Neira Ayuso <pablo@netfilter.org (May 2007)

.SH "نام (NAME)"
conntrack \- رابط خط فرمان برای سامانه ردیابی اتصالات netfilter
.SH "خلاصه دستور (SYNOPSIS)"
.BR "conntrack -L [table] [options] [-z]"
.br
.BR "conntrack -G [table] parameters"
.br
.BR "conntrack -D [table] parameters"
.br
.BR "conntrack -I [table] parameters"
.br
.BR "conntrack -A [table] parameters"
.br
.BR "conntrack -U [table] parameters"
.br
.BR "conntrack -E [table] [options]"
.br
.BR "conntrack -F [table]"
.br
.BR "conntrack -C [table]"
.br
.BR "conntrack -S "
.br
.BR "conntrack -R file"
.SH "توضیحات (DESCRIPTION)"
ابزار
\fBconntrack\fP
یک رابط کاربری کامل در فضای کاربری (userspace) برای سامانه ردیابی اتصالات Netfilter ارائه می‌دهد که هدف آن جایگزینی رابط قدیمی
/proc/net/ip_conntrack
است. از این ابزار می‌توان برای جستجو، فهرست‌بندی، بازرسی و نگهداری زیرسیستم ردیابی اتصالات در هسته لینوکس استفاده کرد.
.PP
با استفاده از
\fBconntrack\fP
می‌توانید فهرستی از تمامی اتصالات تحت ردیابی فعلی (یا مجموعه‌ای فیلترشده از آن‌ها) را استخراج کنید، اتصالاتی را از جدول وضعیت حذف کنید و حتی اتصالات جدیدی بیفزایید.
.PP
علاوه بر این، می‌توانید رویدادهای ردیابی اتصالات را نیز پایش کنید، به عنوان مثال نمایش یک پیام رویداد (تک‌خطی) به ازای هر اتصال تازه ایجادشده.

.SH "جداول (TABLES)"
زیرسیستم ردیابی اتصالات چندین جدول داخلی را نگهداری می‌کند:
.TP
.BR "conntrack" :
این جدول پیش‌فرض است. شامل فهرستی از تمام اتصالات جاری است که توسط سیستم ردیابی می‌شوند. اگر از معافیت‌های ردیابی اتصالات (هدف NOTRACK در iptables) استفاده نکنید، این شامل تمامی اتصالاتی است که از سیستم عبور می‌کنند.
.TP
.BR "expect" :
این جدول انتظارات (expectations) است. انتظارات ردیابی اتصالات سازوکاری است که برای «پیش‌بینی و انتظار» اتصالات مرتبط
(\fBRELATED\fP)
با اتصالات موجود استفاده می‌شود. انتظارات معمولاً توسط «کمک‌کننده‌های ردیابی اتصال» (گاهی درگاه‌های سطح برنامه یا ALG نامیده می‌شوند) برای پروتکل‌های پیچیده‌تر مانند FTP،‏ SIP یا H.323 استفاده می‌شوند.
.TP
.BR "dying" :
.br
این جدول ورودی‌های conntrack را نشان می‌دهد که منقضی شده‌اند و توسط خود سامانه ردیابی اتصالات یا از طریق ابزار
\fBconntrack\fP
از بین رفته‌اند.
.TP
.BR "unconfirmed" :
این جدول ورودی‌های جدیدی را نشان می‌دهد که هنوز در جدول conntrack درج نشده‌اند. این ورودی‌ها به بسته‌هایی متصل هستند که در حال پیمایش پشته شبکه هستند، اما هنوز به نقطه تایید در قلاب postrouting نرسیده‌اند.
.PP
جداول "dying" و "unconfirmed" اساساً تنها برای اهداف اشکال‌زدایی مفید هستند. در شرایط عادی عملیاتی، مشاهده ورودی‌ها در هر یک از آن‌ها دشوار است. موارد خاصی وجود دارد که دیدن ورودی‌ها در جدول unconfirmed مجاز و معتبر است، مانند بسته‌هایی که از طریق nfqueue در صف قرار گرفته‌اند؛ همچنین در جدول dying، به عنوان مثال زمانی که
\fBconntrackd(8)\fP
در حالت رویداد مطمئن (event reliable mode) اجرا می‌شود.

.SH "گزینه‌ها (OPTIONS)"
گزینه‌های شناسایی‌شده توسط
\fBconntrack\fP
را می‌توان به چندین گروه مختلف تقسیم کرد.

.SS "دستورات (COMMANDS)"
این گزینه‌ها عملیات خاصی را که باید انجام شود مشخص می‌کنند. در هر زمان تنها یکی از آن‌ها می‌تواند مشخص شود.
.TP
.BI "-L --dump "
فهرست کردن جدول ردیابی اتصالات یا جدول انتظارات.
.TP
.BI "-G, --get "
جستجو و نمایش یک ورودی خاص (منطبق) در جدول داده‌شده.
.TP
.BI "-D, --delete "
حذف یک ورودی از جدول داده‌شده.
.TP
.BI "-I, --create "
ایجاد یک ورودی جدید در جدول داده‌شده؛ در صورتی که ورودی از قبل وجود داشته باشد ناموفق خواهد بود.
.TP
.BI "-A, --add "
افزودن یک ورودی جدید به جدول داده‌شده.
.TP
.BI "-U, --update "
به‌روزرسانی یک ورودی در جدول داده‌شده.
.TP
.BI "-E, --event "
نمایش گزارش رویدادها به صورت بلادرنگ (real-time).
.TP
.BI "-F, --flush "
تخلیه کامل جدول داده‌شده.
.TP
.BI "-C, --count "
نمایش شمارنده جدول.
.TP
.BI "-S, --stats "
نمایش آمارهای سامانه ردیابی اتصالات درون هسته.
.TP
.BI "-R, --load-file "
بارگذاری ورودی‌ها از یک فایل مشخص. برای خواندن از ورودی استاندارد (stdin)، باید "\-" مشخص شود.

.SS "پارامترها (PARAMETERS)"
.TP
.BI "-z, --zero "
صفر کردن اتمیک شمارنده‌ها پس از خواندن آن‌ها. این گزینه فقط در ترکیب با گزینه‌های دستوری "\-L, \-\-dump" معتبر است.
.TP
.BI "-o, --output [extended,xml,save,timestamp,id,ktimestamp,labels] "
نمایش خروجی در یک قالب مشخص. با گزینه خروجی extended، این ابزار اطلاعات لایه ۳ را نمایش می‌دهد. با ktimestamp، برچسب زمانی درون هسته را که از نسخه 2.6.38 در دسترس است نشان می‌دهد (می‌توانید آن را از طریق کلید
\fBsysctl(8)\fP
با نام
\fBnet.netfilter.nf_conntrack_timestamp\fP
فعال کنید).
گزینه خروجی labels به
\fBconntrack\fP
می‌گوید که نام برچسب‌های ردیابی اتصال را که ممکن است وجود داشته باشند نمایش دهد.
گزینه خروجی userspace مشخص می‌کند که آیا رویداد توسط یک فرآیند ایجاد شده است یا خیر.
.TP
.BI "-e, --event-mask " "[ALL|NEW|UPDATES|DESTROY][,...]"
تنظیم ماسک بیتی رویدادهایی که قرار است توسط کد رویداد ctnetlink درون هسته تولید شوند. با استفاده از این پارامتر، می‌توانید پیام‌های رویداد تولیدشده توسط هسته را به انواعی که واقعاً به آن‌ها نیاز دارید کاهش دهید.
.
این گزینه فقط در ترکیب با "\-E, \-\-event" قابل استفاده است.
.TP
.BI "-b, --buffer-size " "value"
تنظیم اندازه بافر سوکت Netlink بر حسب بایت. این گزینه زمانی مفید است که ابزار خط فرمان خطاهای ENOBUFS را گزارش کند. اگر این گزینه را ارسال نکنید، مقدار پیش‌فرض موجود در کلید
\fBsysctl(8)\fP
با نام
\fBnet.core.rmem_default\fP
استفاده می‌شود. اگر فرآیند شما برای مدیریت تمام پیام‌های رویداد بیش از حد کند باشد، یا به عبارت دیگر، حجم رویدادها به اندازه‌ای زیاد باشد که باعث سرریز شدن بافر سوکت شود، ابزار این مشکل را گزارش می‌دهد. توجه داشته باشید که استفاده از یک بافر بزرگ احتمال برخورد با ENOBUFS را کاهش می‌دهد، اما منجر به مصرف بیشتر حافظه خواهد شد.
.
این گزینه فقط در ترکیب با "\-E, \-\-event" قابل استفاده است.

.SS "پارامترهای فیلتر (FILTER PARAMETERS)"
.TP
.BI "-s, --src, --orig-src " IP_ADDRESS
فقط تطبیق با ورودی‌هایی که آدرس مبدأ آن‌ها در جهت اولیه برابر با مقدار مشخص‌شده به عنوان آرگومان باشد. در صورت استفاده از نشانه‌گذاری CIDR، به طور ضمنی شامل "--mask-src" می‌شود.
.TP
.BI "-d, --dst, --orig-dst " IP_ADDRESS
فقط تطبیق با ورودی‌هایی که آدرس مقصد آن‌ها در جهت اولیه برابر با مقدار مشخص‌شده به عنوان آرگومان باشد. در صورت استفاده از نشانه‌گذاری CIDR، به طور ضمنی شامل "--mask-dst" می‌شود.
.TP
.BI "-r, --reply-src " IP_ADDRESS
فقط تطبیق با ورودی‌هایی که آدرس مبدأ آن‌ها در جهت پاسخ برابر با مقدار مشخص‌شده به عنوان آرگومان باشد.
.TP
.BI "-q, --reply-dst " IP_ADDRESS
فقط تطبیق با ورودی‌هایی که آدرس مقصد آن‌ها در جهت پاسخ برابر با مقدار مشخص‌شده به عنوان آرگومان باشد.
.TP
.BI "-p, --proto " "PROTO "
مشخص کردن پروتکل لایه چهار (TCP،‏ UDP و...).
.TP
.BI "-f, --family " "PROTO"
مشخص کردن پروتکل لایه سه (ipv4،‏ ipv6).
این گزینه فقط در ترکیب با "\-L, \-\-dump" لازم است. اگر این گزینه مشخص نشود، پروتکل پیش‌فرض لایه ۳ برابر با IPv4 خواهد بود.
.TP
.BI "-t, --timeout " "TIMEOUT"
مشخص کردن مهلت زمانی (timeout).
.TP
.BI "-m, --mark " "MARK[/MASK]"
مشخص کردن علامت (mark) در conntrack. به صورت اختیاری، می‌توان مقدار ماسک را نیز تعیین کرد.
در حالت "\-\-update"، این ماسک بیت‌هایی را مشخص می‌کند که باید پیش از اعمال عملگر XOR روی مقدار MARK در ctmark صفر شوند.
در غیر این صورت، ماسک پیش از مقایسه به صورت منطقی با علامت موجود AND می‌شود. در حالت "\-\-create"، ماسک نادیده گرفته می‌شود.
.TP
.BI "-l, --label " "LABEL"
مشخص کردن یک برچسب (label) در conntrack.
این گزینه فقط در ترکیب با "\-L, \-\-dump"،‏ "\-E, \-\-event"،‏ "\-U \-\-update" یا "\-D \-\-delete" در دسترس است.
تطبیق با ورودی‌هایی که برچسب‌های آن‌ها شامل موارد مشخص‌شده به عنوان آرگومان باشد.
برای تعیین چندین برچسب که باید تنظیم شوند، از چندین گزینه \-l استفاده کنید.
.TP
.BI "--labelmap " "PATH"
مشخص کردن مسیر یک فایل connlabel.conf برای بارگذاری به جای فایل پیش‌فرض.
این گزینه فقط در ترکیب با "\-L, \-\-dump"،‏ "\-E, \-\-event"،‏ "\-U \-\-update" یا "\-D \-\-delete" در دسترس است.
.TP
.BI "--label-add " "LABEL"
مشخص کردن برچسب conntrack جهت افزودن به اتصالات انتخاب‌شده.
این گزینه فقط در ترکیب با "\-I, \-\-create"،‏ "\-A, \-\-add" یا "\-U, \-\-update" در دسترس است.
.PP
به عنوان یک قاعده کلی، باید از تطبیق 'connlabel' در مجموعه قوانین iptables خود یا از گزاره 'ct label' در مجموعه قوانین nftables خود استفاده کنید؛ این کار پشتیبانی از ct label را در هسته فعال می‌کند و به شما اجازه می‌دهد برچسب‌ها را از طریق "\-U, \-\-update" به‌روزرسانی کنید، در غیر این صورت به‌روزرسانی‌های برچسب نادیده گرفته می‌شوند.
.TP
.BI "--label-del " "[LABEL]"
مشخص کردن برچسب conntrack جهت حذف از اتصالات انتخاب‌شده.
اگر هیچ برچسبی داده نشود، تمام برچسب‌ها حذف می‌شوند.
این گزینه فقط در ترکیب با "\-U, \-\-update" در دسترس است.
.TP
.BI "-c, --secmark " "SECMARK"
مشخص کردن علامت امنیتی selinux در conntrack.
.TP
.BI "-u, --status " "[ASSURED|SEEN_REPLY|FIXED_TIMEOUT|EXPECTED|OFFLOAD|UNSET][,...]"
مشخص کردن وضعیت conntrack.
.TP
.BI "-n, --src-nat "
فیلتر کردن اتصالات NAT مبدأ (Source NAT).
.TP
.BI "-g, --dst-nat "
فیلتر کردن اتصالات NAT مقصد (Destination NAT).
.TP
.BI "-j, --any-nat "
فیلتر کردن هرگونه اتصالات NAT.
.TP
.BI "-w, --zone "
فیلتر کردن بر اساس ناحیه (zone) در conntrack. برای اطلاعات بیشتر هدف CT در iptables را ببینید.
.TP
.BI "--orig-zone "
فیلتر کردن بر اساس ناحیه conntrack در جهت اولیه (مبدأ).
برای اطلاعات بیشتر هدف CT در iptables را ببینید.
.TP
.BI "--reply-zone "
فیلتر کردن بر اساس ناحیه conntrack در جهت پاسخ (reply).
برای اطلاعات بیشتر هدف CT در iptables را ببینید.
.TP
.BI "--tuple-src " IP_ADDRESS
مشخص کردن آدرس مبدأ چندتایی (tuple) یک انتظار.
در صورت استفاده از نشانه‌گذاری CIDR، به طور ضمنی شامل "--mask-src" می‌شود.
.TP
.BI "--tuple-dst " IP_ADDRESS
مشخص کردن آدرس مقصد چندتایی (tuple) یک انتظار.
در صورت استفاده از نشانه‌گذاری CIDR، به طور ضمنی شامل "--mask-dst" می‌شود.
.TP
.BI "--mask-src " IP_ADDRESS
مشخص کردن ماسک آدرس مبدأ.
برای اتصالات conntrack این گزینه فقط در ترکیب با "\-L, \-\-dump"،‏ "\-E, \-\-event"،‏ "\-U \-\-update" یا "\-D \-\-delete" در دسترس است.
برای انتظارات (expectations) این گزینه فقط در ترکیب با "\-I, \-\-create" در دسترس است.
.TP
.BI "--mask-dst " IP_ADDRESS
مشخص کردن ماسک آدرس مقصد.
همان محدودیت‌های ذکرشده برای "--mask-src".

.SS "پارامترهای فیلتر پروتکل (PROTOCOL FILTER PARAMETERS)"
.TP
فیلدهای ویژه TCP:
.TP
.BI "--sport, --orig-port-src " "PORT"
درگاه مبدأ در جهت اولیه
.TP
.BI "--dport, --orig-port-dst " "PORT"
درگاه مقصد در جهت اولیه
.TP
.BI "--reply-port-src " "PORT"
درگاه مبدأ در جهت پاسخ
.TP
.BI "--reply-port-dst " "PORT"
درگاه مقصد در جهت پاسخ
.TP
.BI "--state " "state"
وضعیت TCP؛ یکی از مقادیر NONE،‏ SYN_SENT،‏ SYN_RECV،‏ ESTABLISHED،‏ FIN_WAIT،‏ CLOSE_WAIT،‏ LAST_ACK،‏ TIME_WAIT،‏ CLOSE یا LISTEN.

.TP
فیلدهای ویژه UDP:
.TP
.BI "--sport, --orig-port-src " "PORT"
درگاه مبدأ در جهت اولیه
.TP
.BI "--dport, --orig-port-dst " "PORT"
درگاه مقصد در جهت اولیه
.TP
.BI "--reply-port-src " "PORT"
درگاه مبدأ در جهت پاسخ
.TP
.BI "--reply-port-dst " "PORT"
درگاه مقصد در جهت پاسخ

.TP
فیلدهای ویژه ICMP:
.TP
.BI "--icmp-type " "TYPE"
نوع ICMP. باید به صورت عددی مشخص شود.
.TP
.BI "--icmp-code " "CODE"
کد ICMP. باید به صورت عددی مشخص شود.
.TP
.BI "--icmp-id " "ID"
شناسه ICMP. باید به صورت عددی مشخص شود (اختیاری).

.TP
فیلدهای ویژه UDPlite:
.TP
.BI "--sport, --orig-port-src " "PORT"
درگاه مبدأ در جهت اولیه
.TP
.BI "--dport, --orig-port-dst " "PORT"
درگاه مقصد در جهت اولیه
.TP
.BI "--reply-port-src " "PORT"
درگاه مبدأ در جهت پاسخ
.TP
.BI "--reply-port-dst " "PORT"
درگاه مقصد در جهت پاسخ

.TP
فیلدهای ویژه SCTP:
.TP
.BI "--sport, --orig-port-src " "PORT"
درگاه مبدأ در جهت اولیه
.TP
.BI "--dport, --orig-port-dst " "PORT"
درگاه مقصد در جهت اولیه
.TP
.BI "--reply-port-src " "PORT"
درگاه مبدأ در جهت پاسخ
.TP
.BI "--reply-port-dst " "PORT"
درگاه مقصد در جهت پاسخ
.TP
.BI "--state " "state"
وضعیت SCTP؛ یکی از مقادیر NONE،‏ CLOSED،‏ COOKIE_WAIT،‏ COOKIE_ECHOED،‏ ESTABLISHED،‏ SHUTDOWN_SENT،‏ SHUTDOWN_RECD یا SHUTDOWN_ACK_SENT.
.TP
.BI "--orig-vtag " "value"
برچسب اعتبارسنجی (مقدار ۳۲ بیتی) در جهت اولیه
.TP
.BI "--reply-vtag " "value"
برچسب اعتبارسنجی (مقدار ۳۲ بیتی) در جهت پاسخ

.TP
فیلدهای ویژه DCCP (نیازمند لینوکس >= 2.6.30):
.TP
.BI "--sport, --orig-port-src " "PORT"
درگاه مبدأ در جهت اولیه
.TP
.BI "--dport, --orig-port-dst " "PORT"
درگاه مقصد در جهت اولیه
.TP
.BI "--reply-port-src " "PORT"
درگاه مبدأ در جهت پاسخ
.TP
.BI "--reply-port-dst " "PORT"
درگاه مقصد در جهت پاسخ
.TP
.BI "--state " "state"
وضعیت DCCP؛ یکی از مقادیر NONE،‏ REQUEST،‏ RESPOND،‏ PARTOPEN،‏ OPEN،‏ CLOSEREQ،‏ CLOSING یا TIMEWAIT.
.TP
.BI "--role " "[client|server]"
نقشی که چندتایی (tuple) اولیه conntrack در حال ردیابی آن است

.TP
فیلدهای ویژه GRE:
.TP
.BI "--srckey, --orig-key-src " "KEY"
کلید مبدأ در جهت اولیه (به مبنای ۱۶ یا ۱۰)
.TP
.BI "--dstkey, --orig-key-dst " "KEY"
کلید مقصد در جهت اولیه (به مبنای ۱۶ یا ۱۰)
.TP
.BI "--reply-key-src " "KEY"
کلید مبدأ در جهت پاسخ (به مبنای ۱۶ یا ۱۰)
.TP
.BI "--reply-key-dst " "KEY"
کلید مقصد در جهت پاسخ (به مبنای ۱۶ یا ۱۰)

.SH "کدهای خروجی و عیب‌یابی (DIAGNOSTICS)"
کد خروج در صورت عملکرد صحیح 0 است. خطاهایی که ناشی از پارامترهای نامعتبر خط فرمان باشند باعث کد خروج 2 می‌شوند. هرگونه خطای دیگر منجر به کد خروج 1 خواهد شد.

.SH "مثال‌ها (EXAMPLES)"
.TP
.B conntrack \-L
نمایش جدول ردیابی اتصالات در قالب /proc/net/ip_conntrack
.TP
.B conntrack \-L -o extended
نمایش جدول ردیابی اتصالات در قالب /proc/net/nf_conntrack همراه با اطلاعات تکمیلی.
.TP
.B conntrack \-L \-o xml
نمایش جدول ردیابی اتصالات در قالب XML
.TP
.B conntrack \-L \-o save
نمایش جدول ردیابی اتصالات در قالب ساختار نحوی conntrack
.TP
.B conntrack \-L -f ipv6 -o extended
فقط استخراج اتصالات IPv6 در قالب /proc/net/nf_conntrack همراه با اطلاعات تکمیلی.
.TP
.B conntrack \-L --src-nat
نمایش اتصالات NAT مبدأ
.TP
.B conntrack \-E \-o timestamp
نمایش رویدادهای اتصال به همراه برچسب زمانی
.TP
.B conntrack \-D \-s 1.2.3.4
حذف تمامی جریان‌هایی که آدرس مبدأ آن‌ها 1.2.3.4 است
.TP
.B conntrack \-U \-s 1.2.3.4 \-m 1
تنظیم مقدار connmark برابر با 1 برای تمام جریان‌هایی که آدرس مبدأ آن‌ها 1.2.3.4 است
.TP
.B conntrack -L -w 11 -o save | sed "s/-w 11/-w 12/g" | conntrack --load-file -
کپی کردن تمام ورودی‌ها از ناحیه 11 به ناحیه 12 در ct

.SH "اشکالات (BUGS)"
لطفاً اشکالات را به netfilter-devel@vger.kernel.org گزارش دهید یا در سامانه‌ی باگزیلای Netfilter ثبت کنید (https://bugzilla.netfilter.org).

.SH "همچنین ببینید (SEE ALSO)"
.BR nftables (8),
.BR iptables (8),
.BR conntrackd (8)
.br
مشاهده وبگاه رسمی:
.BR "http://conntrack-tools.netfilter.org"

.SH "نویسندگان (AUTHORS)"
جی شولیست (Jay Schulist)، پاتریک مک‌هاردی (Patrick McHardy)، هارالد ولته (Harald Welte) و پابلو نیرا آیوسو (Pablo Neira Ayuso) رابط سطح هسته "ctnetlink" را نوشتند که توسط ابزار conntrack استفاده می‌شود.
.PP
پابلو نیرا آیوسو ابزار conntrack را نوشت و نگهداری می‌کند، و هارالد ولته پشتیبانی از شمارنده‌های محاسباتی مبتنی بر conntrack را اضافه کرد.
.PP
صفحه راهنما توسط هارالد ولته <laforge@netfilter.org> و پابلو نیرا آیوسو <pablo@netfilter.org> نوشته شده است.