Исходное сообщение
"Для ядра Linux предложен новый пакетный фильтр bpfilter" Отправлено PnDx, 22-Фев-18 12:36
Зачем напрямую дёргать "ассемблер" iptables, если для декларативного описания цепочек есть ferm? (Синтаксис nftables вероятно оттуда вдохновлялся, хотя могли и переизобрести) Пример синтаксиса (chain "icmp"): chain icmp {   proto icmp {    mod length length 129:9000 DROP;    icmp-type (redirect source-quench router-advertisement router-solicitation timestamp-request address-mask-request) DROP;    mod hashlimit hashlimit-name "ICMP" hashlimit 2/second hashlimit-mode srcip hashlimit-srcmask 32 ACCEPT;    DROP;   } } Правила iptables на выходе: -A icmp -p icmp -m length --length 129:9000 -j DROP -A icmp -p icmp -m icmp --icmp-type 5 -j DROP -A icmp -p icmp -m icmp --icmp-type 4 -j DROP -A icmp -p icmp -m icmp --icmp-type 9 -j DROP -A icmp -p icmp -m icmp --icmp-type 10 -j DROP -A icmp -p icmp -m icmp --icmp-type 13 -j DROP -A icmp -p icmp -m icmp --icmp-type 17 -j DROP -A icmp -p icmp -m hashlimit --hashlimit-upto 2/sec --hashlimit-mode srcip --hashlimit-name ICMP -j ACCEPT -A icmp -p icmp -j DROP Вот так, и ни какого "прокрустова ложа" как у всякой табличной лабуды. Писано правда на перле, но очень внятно. * geoip туда не прикручивали (и правильно, делать такое на уровне ядра → прилечь на 100% cpu.sys), но при желании добивается за пол-часа по готовым клише.