ネットワークスタック構成ツール

Android オペレーティングシステムには、ifconfig、ip、ip6tables などの標準的な Linux ネットワークユーティリティが含まれています。これらのユーティリティはシステムイメージ上に存在し、Linux ネットワークスタック全体を構成できます。Android 7.x 以下を搭載するデバイスでは、ベンダーコードが直接これらのバイナリを呼び出すことができますが、次の問題があります。

ネットワークユーティリティはシステムイメージ内で更新されるため、安定した実装が提供されません。
ネットワークユーティリティの範囲が広すぎるため、予測可能な動作を保証しながらシステムイメージを更新することは困難です。

Android 8.0 以降を搭載するデバイスでは、システムパーティションは更新を受信しますが、ベンダーパーティションは更新されません。これを実現するために、Android 8.0 ではバージョニングされた安定したインターフェースを定義し、SELinux の制限を使用して、ベンダーとシステムイメージの相互依存関係を、既知の良好なセットのまま維持します。

ベンダーは、プラットフォームが提供するネットワーク構成ユーティリティを使用して Linux ネットワークスタックを構成できますが、これらのユーティリティにはまだ HIDL インターフェースラッパーが含まれていません。このようなインターフェースを定義するために、Android 8.0 には netutils-wrapper-1.0 ツールが含まれています。

Netutils ラッパー

netutils ラッパーユーティリティは、システムパーティションのアップデートの影響を受けない、Linux ネットワークスタック構成のサブセットを提供します。Android 8.0 にはバージョン 1.0 のラッパーが含まれています。これにより、/system/bin のシステムパーティションにインストールされている、次のラップされたユーティリティと同じ引数を渡すことができます。

u:object_r:system_file:s0           /system/bin/ip-wrapper-1.0 -> netutils-wrapper-1.0
u:object_r:system_file:s0           /system/bin/ip6tables-wrapper-1.0 -> netutils-wrapper-1.0
u:object_r:system_file:s0           /system/bin/iptables-wrapper-1.0 -> netutils-wrapper-1.0
u:object_r:system_file:s0           /system/bin/ndc-wrapper-1.0 -> netutils-wrapper-1.0
u:object_r:netutils_wrapper_exec:s0 /system/bin/netutils-wrapper-1.0
u:object_r:system_file:s0           /system/bin/tc-wrapper-1.0 -> netutils-wrapper-1.0

シンボリックリンクは、netutils ラッパーでラップされた次のネットワークユーティリティを示します。

ip
iptables
ip6tables
ndc
tc

Android 8.0 以上でこれらのユーティリティを使用するには、ベンダー実装が次のルールに準拠する必要があります。

ベンダープロセスは /system/bin/netutils-wrapper-1.0 を直接実行できません。実行しようとするとエラーになります。
netutils-wrapper-1.0 でラップされたすべてのユーティリティは、シンボリックリンクを使用して起動する必要があります。たとえば、以前これを行っていたベンダーコード（/system/bin/ip <FOO> <BAR>）を /system/bin/ip-wrapper-1.0 <FOO> <BAR> に変更します。
ドメインを移行せずにラッパーを実行することは、プラットフォームの SELinux ポリシーで禁止されています。このルールは変更できず、Android 互換性テストスイート（CTS）でテストされます。
ベンダープロセスから直接ユーティリティを実行すること（例: /system/bin/ip <FOO> <BAR>）も、プラットフォームの SELinux ポリシーで禁止されています。このルールは変更できず、CTS でテストされます。
ラッパーを起動する必要があるベンダードメイン（プロセス）は、ドメイン移行ルール domain_auto_trans(VENDOR-DOMAIN-NAME, netutils_wrapper_exec, netutils_wrapper) を SELinux ポリシーに追加する必要があります。

Netutils ラッパーフィルタ

ラップされたユーティリティは、Linux ネットワークスタックのほぼすべての要素を構成するために使用できます。ただし、安定したインターフェースを維持し、システムパーティションのアップデートを可能にするために、コマンドライン引数の特定の組み合わせのみが許可され、他のコマンドは拒否されます。

ベンダーインターフェースとベンダーチェーン

ラッパーには、ベンダーインターフェースというコンセプトがあります。これは、モバイルデータインターフェースなど、一般的にベンダーコードによって管理されるインターフェースです。通常、他のタイプのインターフェース（Wi-Fi など）は HAL とフレームワークによって管理されます。ラッパーは、ベンダーインターフェースを（正規表現を使用して）名前で認識し、ベンダーコードがそれらに対して多くのオペレーションを実行できるようにします。現在、ベンダーインターフェースには次のものがあります。

名前が「oem」で終わり、その後に番号が続くインターフェース（oem0 や r_oem1234 など）。
現在の SOC と OEM の実装で使用されるインターフェース（rmnet_data[0-9] など）。

一般的にフレームワークによって管理されるインターフェースの名前（wlan0 など）は、ベンダーインターフェースではありません。

ラッパーには、ベンダーチェーンという同様のコンセプトがあります。これらは iptables コマンドで使用され、名前でも認識されます。現在、ベンダーチェーンには次のものがあります。

oem_ で始まるチェーン。
現在の SOC と OEM の実装で使用されているチェーン（nm_ や qcom_ で始まります）。

許可されているコマンド

現在許可されているコマンドを以下に示します。制限は、実行されたコマンドラインで正規表現のセットによって実装されます。詳細については、system/netd/netutils_wrappers/NetUtilsWrapper-1.0.cpp をご覧ください。

ip

ip コマンドは、IP アドレス、ルーティング、IPsec 暗号化、その他のさまざまなネットワークパラメータを構成するために使用します。ラッパーを使用すると、次のようなコマンドを実行できます。

ベンダーが管理するインターフェースからの IP アドレスの追加と削除。
IPsec 暗号化の構成。

iptables と ip6tables

iptables および ip6tables コマンドは、ファイアウォール、パケットの修飾、NAT、その他のパケットごとの処理を構成するために使用します。ラッパーを使用すると、次のようなコマンドを実行できます。

ベンダーチェーンの追加と削除。
ベンダーインターフェースの着信（-i）または発信（-o）パケットを参照するすべてのチェーン内のルールの追加と削除。
他のチェーンの任意の地点からベンダーチェーンへの移動。

ndc

ndc は、Android でほとんどのネットワーク構成を行う netd デーモンと通信するために使用します。ラッパーを使用すると、次のようなコマンドを実行できます。

OEM ネットワーク（oemXX）の作成と破棄。
OEM ネットワークへのベンダー管理インターフェースの追加。
OEM ネットワークへのルートの追加。
グローバルまたはベンダーインターフェースでの、IP 転送の有効化または無効化。

tc

tc コマンドは、ベンダーインターフェース上のトラフィックのキューイングとシェーピングを構成するために使用します。