top
logo


Для ядра Linux предложен новый пакетный фильтр bpfilter PDF Печать E-mail
Автор: adm   
21.02.18 17:55
  1.1, mimocrocodile, 22:16, 21/02/2018 [ответить] [смотреть все] +5 +/ Какая у них интеллектуальная дискуссия, а был бы Линус обозвал бы всех макаками
  1.3, Аноним, 22:32, 21/02/2018 [ответить] [смотреть все] –3 +/ А как жо Firewalld?..
 
  2.5, Аноним, 22:45, 21/02/2018 [^] [ответить] [смотреть все] [показать ветку] +3 +/
надстройка над Iptables же
 
  3.33, Аноним, 07:16, 22/02/2018 [^] [ответить] [смотреть все] +/
вот-вот Сразу видна квалификация -d разработчиков только очередную обертку и ... весь текст скрыт [показать]
 
1.4, Аноним, 22:40, 21/02/2018 [ответить] [смотреть все]  +6 +/ тык чтоже?: nftables учить или нет?
  1.7, cat666, 22:58, 21/02/2018 [ответить] [смотреть все]  –1 +/ "Например, API iptables не предоставляет способа добавления или замены единичного правила или небольшого набора правил...." - Вельте бредит?
 
  2.9, Аноним, 23:18, 21/02/2018 [^] [ответить] [смотреть все] [показать ветку]  +/
 
  3.10, cat666, 23:20, 21/02/2018 [^] [ответить] [смотреть все]  +/
Спасибо за грамотный ответ! Не думал, что всё так запущено.

> Не путайте API iptables  и утилиту  iptables.
> Из FAQ:
> 4.5 Is there an C/C++ API for adding/removing rules?
> The answer unfortunately is: No.
> We are well aware that there is a fundamental lack for such
> an API, and we are working on improving that situation. Until
> then, it is recommended to either use system() or open a
> pipe into stdin of iptables-restore. The latter will give you a
> way better performance.

 
3.14, пох, 00:28, 22/02/2018 [^] [ответить] [смотреть все]  +2 +/
а в чем и зачем там вообще весь api , если правила добавлять он не умеет И ком... весь текст скрыт [показать]
 2.32, Riv1329, 07:10, 22/02/2018 [^] [ответить] [смотреть все] [показать ветку]  +/ При добавлении еденичного правила, iptables выгружает через api весь набор правил, добавляет одно и загружает назад. Наверное, это и имелось в виду, а не возможности утилиты командной строки iptables

К сожалению, не помню где именно прочитал об этом. Вероятно, могут возникать проблемы при множественном конкурентном использовании этого api

 
1.11, Аноним, 23:25, 21/02/2018 [ответить] [смотреть все]  +/
Когда пробую новую конфигурацию добавляю правила по-одному Неужели при этом все... весь текст скрыт [показать]
 
  2.17, Аноним, 00:50, 22/02/2018 [^] [ответить] [смотреть все] [показать ветку]  +2 +/
Да, именно так все и происходит
 
2.27, Аноним, 05:23, 22/02/2018 [^] [ответить] [смотреть все] [показать ветку]  +/ Да, но пофиг, - реальных проблем с производительностью это не создает
 
1.12, EHLO, 23:55, 21/02/2018 [ответить] [смотреть все]  +2 +/ >и выполняется в специальной виртуальной машине, напоминающей BPF (Berkeley Packet Filters)

Опять этот троян.

>Несмотря на все свои достоинства интенсивность внедрения механизма Nftables оставляет желать лучшего

Усложненный синтаксис и встроенный троян, сомнительные такие достоинства.

  1.13, asdasdasd, 00:23, 22/02/2018 [ответить] [смотреть все]  +2 +/ > интенсивность внедрения механизма Nftables оставляет желать лучшего и iptables до сих пор остаётся более востребован

Потому-что iptables знакомый во всех местах, существует тонна документации, примеров и генераторов правил (тот-же Firewall Builder), не говоря уже о том, что такие вещи востребованы на серверах, а кто в здравом уме будет переводить что-то рабочее, на что-то другое и ловить кучу косяков, которые фиг отследишь?

 
  2.15, пох, 00:40, 22/02/2018 [^] [ответить] [смотреть все] [показать ветку]  –1 +/
> Потому-что iptables знакомый во всех местах, существует тонна документации, примеров и
> генераторов правил (тот-же Firewall Builder), не говоря уже о том, что

если вы используете "генераторы", то вам должно быть глубоко похрен.

> такие вещи востребованы на серверах, а кто в здравом уме будет
> переводить что-то рабочее, на что-то другое и ловить кучу косяков, которые

apt-get upgrade, и оно само переведется. И вас не спросит. Приедет новая версия "генератора", ты даже не заметишь. для таких вот скудоумных оно и делается. Потому что "генераторы", действительно, писать неудобно, мозги напрягать приходится.

проблема заключается в том, что некоторые сервера все еще админят нормальные админы, которым никакие генераторы не нужны, а нужна им возможность быстро разобраться в сложной системе правил и что-то в ней изменить.

по мере их перехода в junior-пресейл-менеджеры проблема должна решиться сама собой.

 
  3.19, sadasd, 02:46, 22/02/2018 [^] [ответить] [смотреть все]  –1 +/
> если вы используете "генераторы", то вам должно быть глубоко похрен.

Чукча не мыслитель, чукча писатель? ГОТОВЫЕ утилки которые генерируют iptables. Что-то другое они не генерируют. Смекаете?

> apt-get upgrade, и оно само переведется.

Админ локалхоста? Ну-ну.
P.S. Хотя apt-get даже на локалхосте запускать осторожно нужно, а то из-за кривых зависимостей пол-системы снесет.

 
  4.23, ., 03:11, 22/02/2018 [^] [ответить] [смотреть все]  +/
>Хотя apt-get даже на локалхосте запускать осторожно нужно, а то из-за кривых зависимостей пол-системы снесет.

[пока ещё] - убунопроблемы! У меня в демьянах кое где вообще по крону...

 
2.22, ., 03:09, 22/02/2018 [^] [ответить] [смотреть все] [показать ветку]  +1 +/ > кто в здравом уме будет переводить что-то рабочее, на что-то другое и ловить кучу косяков, которые фиг отследишь?

А где ты видел в IT, в последнее время, здравый ум?!
Чем хуже - тем лучше!

 
1.16, Аноним, 00:50, 22/02/2018 [ответить] [смотреть все]  +/ Эй! Я еще с iptables на nftables не переучился!
  1.18, Anonymous Coward, 01:36, 22/02/2018 [ответить] [смотреть все]  +2 +/ Самое приятное в этой ситуации, что на основе этого можно сделать порт pf. Чтобы наконец-то можно было просто написать человекочитаемый pf.conf вместо этого ада с правилами iptables через шеллскрипты.
 
  2.21, pavlinux, 02:54, 22/02/2018 [^] [ответить] [смотреть все] [показать ветку]  +/
Покажи как в pf.conf будет выглядить правило: делать MIRROR на все UDP пакеты из Китая ниже 1024 порта с TTL меньше 50, с 23:00 до 08:00
 
  3.24, ., 03:12, 22/02/2018 [^] [ответить] [смотреть все]  +/
А как в iptables? Или ты так, для почесать ниже хвоста?
 
  4.25, angra, 03:44, 22/02/2018 [^] [ответить] [смотреть все]  +3 +/
Ну, если опустить установку и загрузку необходимых для этого модулей, то как то так:
-A INPUT -p udp --sport 1:1023 -m ttl --ttl-lt 50 -m geoip --src-cc CN -m time --timestart 23:00 --timestop 08:00 -j MIRROR
-A FORWARD -p udp --sport 1:1023 -m ttl --ttl-lt 50 -m geoip --src-cc CN -m time --timestart 23:00 --timestop 08:00 -j MIRROR
 
  5.28, Аноним, 05:33, 22/02/2018 [^] [ответить] [смотреть все]  +2 +/
То есть iptables выполняет ф-цию крона? А как же unix-way и все такое?
 
  6.29, angra, 05:53, 22/02/2018 [^] [ответить] [смотреть все]  +/
В каком месте? cron это выполнение действия в определенное время, а здесь одно из условий фильтрации. Можно конечно по крону добавлять и удалять правило, но зачем, если фильтр по времени уже есть. Ну и запустить что-либо по времени iptables не сможет.
С тем же успехом можно заявить, что find не unix-way, ведь его -print тоже может вывести список файлов подобно ls.
 
1.20, pavlinux, 02:51, 22/02/2018 [ответить] [смотреть все]  +/ Руки прям чешутся всё пихать в ядро.
  1.26, leap42, 04:58, 22/02/2018 [ответить] [смотреть все]  +/ > Наиболее важным решением в предложенном прототипе стало желание обеспечить полную совместимость с наборами правил iptables

Noooo! В бытность сетевиком всякие файерволы доводилось настраивать, страшнее iptables не было ничего.

> Харальд Вельте (Harald Welte), один из основных разработчиков netfilter/iptables, поставил под сомнение идею полной эмуляции правил iptables через BPF

вот бы этого человека послушали, он явно шарит

  1.34, Аноним, 08:30, 22/02/2018 [ответить] [смотреть все]  +/
Какую задачу решает bpfilter, заменяя iptables и используя правила iptables Щоб... весь текст скрыт [показать]
 
  2.35, An, 08:35, 22/02/2018 [^] [ответить] [смотреть все] [показать ветку]  +/
Там же написано "у вас нет гемора с iptables, будет" )
 

Read more http://www.opennet.ru/opennews/art.shtml?num=48117

 
Интересная статья? Поделись ей с другими:

Детские песни

    изображение - детские песни онлайн слушать и скачать минусовки

Детские песенки
онлайн скачать минус

Как собрать кубик?

изображение - как собрать кубик Рбика
Как собрать
кубик Рубика?


bottom

 

Unreal Commander PfSense по русски Яндекс.Метрика