The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..., opennews (ok), 17-Июл-11, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


22. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +2 +/
Сообщение от Sw00p aka Jerom (?), 17-Июл-11, 13:08 
>>Я бы понял еще, пусть и посмеялся бы, если бы это был дистрибутив RHEL6 или на его основе.

аргументы против RHEL в студию или слив засчитан

Ответить | Правка | Наверх | Cообщить модератору

42. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от all_glory_to_the_hypnotoad (ok), 17-Июл-11, 15:08 
за RHEL нужно бабки платить. Так что CentOS на крайняк или другой RH производный дистрибутив. Но есть ещё несколько но, достаточно много утилит для обслуживания больших кластеров сделано толлько под дебиан из коробки.
Ответить | Правка | Наверх | Cообщить модератору

149. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от Провинциальный Админ (?), 17-Июл-11, 23:46 
Насчёт "платить бабки", я думаю для Яндекса здесь это наименьшая проблема. Да и ведь бесплатные производные дистры есть.
Ответить | Правка | Наверх | Cообщить модератору

357. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от Аноним (-), 18-Июл-11, 19:21 
> Насчёт "платить бабки", я думаю для Яндекса здесь это наименьшая проблема.

Компания которая не экономит бабки - кандидат на вылетание с рынка.

> Да и ведь бесплатные производные дистры есть.

Да, центос, который выходит с приличным опозданием.

Ответить | Правка | Наверх | Cообщить модератору

49. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +1 +/
Сообщение от getfr (?), 17-Июл-11, 15:46 
> аргументы против RHEL в студию или слив засчитан

Почему против? Я про сферу применения. FreeBSD там производительнее и удобнее, даже, как минимум, не менее надежна при грамотном использовании (надежность, конечно, в смысле минимального простоя).

Ответить | Правка | К родителю #22 | Наверх | Cообщить модератору

58. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +2 +/
Сообщение от anonymous (??), 17-Июл-11, 16:26 
>FreeBSD там производительнее и удобнее

Шутку понял. Смешно.

Ответить | Правка | Наверх | Cообщить модератору

66. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +1 +/
Сообщение от Сама Доброта (?), 17-Июл-11, 17:35 
> Почему против? Я про сферу применения. FreeBSD там производительнее

цифры, тесты?

>и удобнее, даже,

чем именно?

> как минимум, не менее надежна при грамотном использовании (надежность, конечно, в
> смысле минимального простоя).

на чем основаны ваши слова?

Ответить | Правка | К родителю #49 | Наверх | Cообщить модератору

104. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от getfr (?), 17-Июл-11, 20:57 
> цифры, тесты?

pf мало?

> чем именно?

достаточно вменяемым набором средств сопровождения, идеология которых примерно одинакова без значительных изменений без крайней нужды. (например, те же freebsd-update, portsnap, порты portaudit, portupgrade и т.п.)

> на чем основаны ваши слова?

На многом, в том числе и на набитых шишках, как бывает. Но Ваш пост требует слишком развернутого ответа.

В принципе, дело в различных архитектурах linux и BSD. Поэтому их применимость зависит от конкретной ситуации.

Для домашней машины без претензий мне Ubuntu 10.04 хватает сейчас. А на сервере, извините, FreeBSD стоит.

Ответить | Правка | Наверх | Cообщить модератору

109. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от Crazy Alex (??), 17-Июл-11, 21:03 
pf на почтовых серверах?

Считаете, что в дебиане средства администрирования системы быстром меняются? Что-то я с Potato этого не припомню. А вот долго подерживаемые пакеты дебиана без смены версии, но с security-фиксами, к примеру - это ценно. Хотите сказать, что это есть во FreeBSD?

Ответить | Правка | Наверх | Cообщить модератору

118. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  –2 +/
Сообщение от getfr (?), 17-Июл-11, 21:34 
> pf на почтовых серверах?

А Вы возражаете o_O ?

> Считаете, что в дебиане средства администрирования системы быстром меняются? Что-то я с
> Potato этого не припомню. А вот долго подерживаемые пакеты дебиана без
> смены версии, но с security-фиксами, к примеру - это ценно. Хотите
> сказать, что это есть во FreeBSD?

Вообще-то, порты во FreeBSD привязаны к "версии" своеобразно. В каждом конкретном случае свой вариант возможен. Но, в общем, фиксы на портах общие. Так что шансы получить фикс для версии 8.2, не работающий на 8.0, маловероятны.

А нарваться на глюк вместо исправления ошибки именно на Вашей конкретно машине было возможно всегда. Увы.

Не понял, что Вы называете "средства администрирования системы". Ибо встречал сопровождение, установку, настройку системы. Администрирование - не понял, что именно.

Ответить | Правка | Наверх | Cообщить модератору

168. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от Crazy Alex (??), 18-Июл-11, 01:42 
pf - возражаю, конечно. Внешний файрволл, а дальше разве что совсем примитивная какая-то фильтрация, которую на ipchains можно сделать, не то что на iptables.

Что до версий - насколько я помню (могу ошибаться - с BSD почти не работал), они там плавающие, фиксированы только версии пакетов базовой системы (или как там оно называется). Другими словами, если поставить одну и ту же версию с интервалом в пол-года, то binutilsбудут те же, а какой-нибудь SpamAssassin - не факт.

А "средствами администрирования" я называю всё перечисленное вами (сопровождение, установку, настройку) вместе. Последним значимым изменением в debian было добавление aptitide, но apt-get никуда не делся и работает, как работал. Вообще, обвинять дебиан в нестабильности по сравнению с чем-либо окромя продуктов IBM да HP-UX какого-нибудь - это как-то странно :-)

Ответить | Правка | Наверх | Cообщить модератору

195. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от PereresusNeVlezaetBuggyemail (ok), 18-Июл-11, 04:17 
> pf - возражаю, конечно. Внешний файрволл, а дальше разве что совсем примитивная
> какая-то фильтрация, которую на ipchains можно сделать, не то что на
> iptables.

Эм. А зачем зоопарк фаерволов-то? Чем PF не подходит в качестве «внутреннего» фаервола (кстати, что это вообще за термин?), особенно с прикрученным relayd, например — отличная балансировка нагрузки на L3?

> Что до версий - насколько я помню (могу ошибаться - с BSD
> почти не работал), они там плавающие, фиксированы только версии пакетов базовой
> системы (или как там оно называется). Другими словами, если поставить одну
> и ту же версию с интервалом в пол-года, то binutilsбудут те
> же, а какой-нибудь SpamAssassin - не факт.

*BSD вообще все в этом плане разные, если не хотите утонуть в дебрях, лучше вернитесь к фряхе.

Ответить | Правка | Наверх | Cообщить модератору

210. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от ragus (ok), 18-Июл-11, 06:47 
>> pf - возражаю, конечно. Внешний файрволл, а дальше разве что совсем примитивная
>> какая-то фильтрация, которую на ipchains можно сделать, не то что на
>> iptables.
> Эм. А зачем зоопарк фаерволов-то? Чем PF не подходит в качестве «внутреннего»
> фаервола (кстати, что это вообще за термин?), особенно с прикрученным relayd,
> например — отличная балансировка нагрузки на L3?

проще взять HA-proxy и балансировать на L4.


Ответить | Правка | Наверх | Cообщить модератору

224. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от Alex (??), 18-Июл-11, 09:04 
>> например — отличная балансировка нагрузки на L3?
> проще взять HA-proxy и балансировать на L4.

А еще проще - взять вышестоящую циску и сделать SLB.

Ответить | Правка | Наверх | Cообщить модератору

227. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от ragus (ok), 18-Июл-11, 09:10 
>>> например — отличная балансировка нагрузки на L3?
>> проще взять HA-proxy и балансировать на L4.
> А еще проще - взять вышестоящую циску и сделать SLB.

Вам причудилось. Выше L2-коммутатор с гигабитными портами и 10GE аплинком.

Ответить | Правка | Наверх | Cообщить модератору

251. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от PereresusNeVlezaetBuggyemail (ok), 18-Июл-11, 11:20 
>>> pf - возражаю, конечно. Внешний файрволл, а дальше разве что совсем примитивная
>>> какая-то фильтрация, которую на ipchains можно сделать, не то что на
>>> iptables.
>> Эм. А зачем зоопарк фаерволов-то? Чем PF не подходит в качестве «внутреннего»
>> фаервола (кстати, что это вообще за термин?), особенно с прикрученным relayd,
>> например — отличная балансировка нагрузки на L3?
> проще взять HA-proxy и балансировать на L4.

Ну кому HA-proxy, кому relayd. Куда относить TCP, к L3 или к L4, споры до сих пор не утихают. :)

Ответить | Правка | К родителю #210 | Наверх | Cообщить модератору

256. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +1 +/
Сообщение от AlexAT (ok), 18-Июл-11, 11:30 
> Ну кому HA-proxy, кому relayd. Куда относить TCP, к L3 или к
> L4, споры до сих пор не утихают. :)

Кто спорит-то? Админы локалхоста? TCP в OSI - это однозначно L4, с заскоком в L5. Но никак не L3. L3 - IP.

Ответить | Правка | Наверх | Cообщить модератору

257. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от ragus (ok), 18-Июл-11, 11:31 
> Ну кому HA-proxy, кому relayd.

а чем оно лучше HA-proxy?

Ответить | Правка | К родителю #251 | Наверх | Cообщить модератору

263. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от PereresusNeVlezaetBuggyemail (ok), 18-Июл-11, 11:57 
>> Ну кому HA-proxy, кому relayd.
> а чем оно лучше HA-proxy?

В моём случае — как минимум тем, что не надо ставить и прикручивать. :) На уровне TCP работает посредством прямого заруливания правил в PF, т.е. пакеты не выходят в юзерспейс вообще.

Ответить | Правка | Наверх | Cообщить модератору

329. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от XPEHemail (?), 18-Июл-11, 17:53 
> На уровне TCP работает посредством прямого заруливания правил в PF, т.е. пакеты не выходят в юзерспейс вообще.

Haproxy может использовать splice() и пакеты при этом также не выходят в юзерспейс.

Ответить | Правка | К родителю #263 | Наверх | Cообщить модератору

421. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от PereresusNeVlezaetBuggyemail (ok), 19-Июл-11, 00:48 
>> На уровне TCP работает посредством прямого заруливания правил в PF, т.е. пакеты не выходят в юзерспейс вообще.
> Haproxy может использовать splice() и пакеты при этом также не выходят в
> юзерспейс.

Да, но это всё же системный вызов, и не один: соединение принять надо и т.д. В случае с relayd вся основная работа делается PF, сервис лишь выдаёт по необходимости общие ЦУ, что и кому нужно/можно перекидывать.

Ответить | Правка | К родителю #329 | Наверх | Cообщить модератору

448. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +1 +/
Сообщение от ragus (ok), 19-Июл-11, 05:18 
>>> На уровне TCP работает посредством прямого заруливания правил в PF, т.е. пакеты не выходят в юзерспейс вообще.
>> Haproxy может использовать splice() и пакеты при этом также не выходят в
>> юзерспейс.
> Да, но это всё же системный вызов, и не один: соединение принять
> надо и т.д. В случае с relayd вся основная работа делается
> PF, сервис лишь выдаёт по необходимости общие ЦУ, что и кому
> нужно/можно перекидывать.

и нет никаких сисколов при взаимодействии pf & relayd?

PS: HA-proxy вполне обрабатывает 10GE ;)

Ответить | Правка | К родителю #421 | Наверх | Cообщить модератору

496. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от PereresusNeVlezaetBuggyemail (ok), 19-Июл-11, 13:46 
>>>> На уровне TCP работает посредством прямого заруливания правил в PF, т.е. пакеты не выходят в юзерспейс вообще.
>>> Haproxy может использовать splice() и пакеты при этом также не выходят в
>>> юзерспейс.
>> Да, но это всё же системный вызов, и не один: соединение принять
>> надо и т.д. В случае с relayd вся основная работа делается
>> PF, сервис лишь выдаёт по необходимости общие ЦУ, что и кому
>> нужно/можно перекидывать.
> и нет никаких сисколов при взаимодействии pf & relayd?

Только управляющие ioctl: relayd по необходимости корректирует таблицы адресов, по которым PF автоматически редиректит трафик. Статистика забирается так же по запросу из PF.

> PS: HA-proxy вполне обрабатывает 10GE ;)

Верю. :)

Ответить | Правка | К родителю #448 | Наверх | Cообщить модератору

702. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от Аноним (-), 21-Июл-11, 21:00 
> Верю. :)

А я не очень верю что ты на своем опенке 10Гбит вообще смолотить сможешь.

Ответить | Правка | К родителю #496 | Наверх | Cообщить модератору

703. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от PereresusNeVlezaetBuggyemail (ok), 21-Июл-11, 21:05 
>> Верю. :)
> А я не очень верю что ты на своем опенке 10Гбит вообще
> смолотить сможешь.

Давайте железо, проверим.

Ответить | Правка | К родителю #702 | Наверх | Cообщить модератору

170. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +1 +/
Сообщение от Аноним (-), 18-Июл-11, 02:00 
> вот долго подерживаемые пакеты дебиана без
> смены версии, но с security-фиксами, к примеру - это ценно.

дыры в экзиме и ссх - это тоже ценно
приходится только догадываться сколько еще дыр было залатано в софте "мимоходом", чиня "что-то другое" или дописывая какой-то функционал и естественно эти патчи не попали в дебиан, т.к. не имели статуса секюрности...

Ответить | Правка | К родителю #109 | Наверх | Cообщить модератору

186. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от Аноним (-), 18-Июл-11, 03:49 
> дыры в экзиме и ссх - это тоже ценно

Особенно ремотный рут, слитый недавно в паблик :)

Ответить | Правка | Наверх | Cообщить модератору

232. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от Аноним (-), 18-Июл-11, 09:30 
>> дыры в экзиме и ссх - это тоже ценно
> Особенно ремотный рут, слитый недавно в паблик :)

Угу, вот это и относится к прокисшему софту, типо того, что в дебиане.

Ответить | Правка | Наверх | Cообщить модератору

359. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от Аноним (-), 18-Июл-11, 19:24 
> Угу, вот это и относится к прокисшему софту, типо того, что в дебиане.

Это относится к прокисшему freebsd4 + ssh...

Ответить | Правка | Наверх | Cообщить модератору

369. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +1 +/
Сообщение от Аноним (-), 18-Июл-11, 20:15 
>> Угу, вот это и относится к прокисшему софту, типо того, что в дебиане.
> Это относится к прокисшему freebsd4 + ssh...

фрибсд4 прокисла очень давно, а дебин, даже новый - прокисший.

Ответить | Правка | Наверх | Cообщить модератору

704. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от Аноним (-), 21-Июл-11, 21:15 
> фрибсд4 прокисла очень давно, а дебин, даже новый - прокисший.

Даже в прокисшем дебиане почему-то нет ремоут рута :P

Ответить | Правка | Наверх | Cообщить модератору

737. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от nagualemail (ok), 21-Июл-11, 22:44 
>> фрибсд4 прокисла очень давно, а дебин, даже новый - прокисший.
> Даже в прокисшем дебиане почему-то нет ремоут рута :P

Недавно в фтп серве ?

Ответить | Правка | Наверх | Cообщить модератору

765. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от Аноним (-), 22-Июл-11, 11:45 
>> фрибсд4 прокисла очень давно, а дебин, даже новый - прокисший.
> Даже в прокисшем дебиане почему-то нет ремоут рута :P

Правда что-ли? сходи и почитай как дебиан dsa ключами для ssh генерировал. и заметь, на тот момент он был самый наеактуальнейший.

Ответить | Правка | Наверх | Cообщить модератору

121. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +1 +/
Сообщение от ragus (ok), 17-Июл-11, 21:50 
>> цифры, тесты?
> pf мало?

повторяю: цифры, тесты?
раз вы упомянули pf:

1)http://forum.nag.ru/forum/index.php?showtopic=47497
2)http://forum.nag.ru/forum/index.php?showtopic=18744
3)http://forum.nag.ru/forum/index.php?showtopic=60859
4)http://groups.google.com/group/fido7.ru.unix.bsd/browse_thre...

> достаточно вменяемым набором средств сопровождения, идеология которых примерно одинакова
> без значительных изменений без крайней нужды. (например, те же freebsd-update, portsnap,
> порты portaudit, portupgrade и т.п.)

это всё замечательно, что такие инструменты есть.
теперь назовите затраты времени на:

1)инсталляцию HA-firewall на базе FreeBSD.
2)обновление этой инсталляции(например, в случае SA/bugfixes)

Ответить | Правка | К родителю #104 | Наверх | Cообщить модератору

125. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от getfr (?), 17-Июл-11, 22:06 
Я что-то вообще перестаю Вас понимать. pf - NAT + FW. Или что изменилось в политике партии?

Вроде бы одной или несколько машин в связке должно хватить для указанной Вами задачи.

Обновления в этом случае штатны, лучше через песочницу, конечно.

Другой вариант - взять аппаратную железку (или несколько) от CISCO для решения этой задачи.

Ответить | Правка | Наверх | Cообщить модератору

126. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от ragus (ok), 17-Июл-11, 22:17 
> Я что-то вообще перестаю Вас понимать. pf - NAT + FW. Или
> что изменилось в политике партии?

Да, pf, carp+pfsync. А еще желательно ALTQ. pfsync&ALTQ требуют пересборки ядра.

> Вроде бы одной или несколько машин в связке должно хватить для указанной
> Вами задачи.

HA = high availability. Одной машины определённо не хватит, т.к. железка может выйти из строя.

> Обновления в этом случае штатны, лучше через песочницу, конечно.

Я не спрашивал "как это обновлять?". Я просил назвать временные затраты на этот процесс.

> Другой вариант - взять аппаратную железку (или несколько) от CISCO для решения
> этой задачи.

Если вы про cisco asa, то нам понадобятся 2 железка(мы же строим HA?)
И чем она лучше 2х серверов с FreeBSD/Linux?


Ответить | Правка | Наверх | Cообщить модератору

129. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от getfr (?), 17-Июл-11, 22:29 
Прямо как в анекдоте, где спрашивали, чем одна национальность лучше другой.

Пользуйтесь, чем хотите. Я забесплатно и не видя реальной задачи точную раскладку железа не дам. И не только я, а любой специалист.

Вы писали про файрвол. Я про свойства pf как файрвола написал. В чем лично Вы меня сейчас обвиняете? Я написал неправду? Да, не так давно pf был сыроват. БЫЛ.

Использовать ALTQ или dummynet я не советовал, это я помню точно. Но я их и не запрещал. Хотя я бы dummynet поостерегся использовать. Не знаю. Все зависит от текущих условий и ситуации.

Ответить | Правка | Наверх | Cообщить модератору

135. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от ragus (ok), 17-Июл-11, 22:56 
> Вы писали про файрвол. Я про свойства pf как файрвола написал. В

и какие у него свойства? утилизировать только 1 ядро?

> Использовать ALTQ или dummynet я не советовал, это я помню точно. Но

повторяю вопрос: сколько времени займёт инсталляция и сколько - обновление.

Ответить | Правка | Наверх | Cообщить модератору

171. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от Аноним (-), 18-Июл-11, 02:16 
>> Использовать ALTQ или dummynet я не советовал, это я помню точно. Но
> повторяю вопрос: сколько времени займёт инсталляция и сколько - обновление.

сетап:
5 минут на подготовку дисков, 10-30 минут на раскатку образа с базовой конфигурации (админ пнул команду и пошел пить чай или др. вопросом заниматься), 0.5-20 секунд работы постинтсаляционного скрипта для подгонки системы под нужные параметры (hostname, ifconfig, ip, passwd и т.д.) и дальнейшая настройка правил фаирвола (копипаст уже с рабочей машины) или чего там надо...

обновление:
обновляется базовая конфигурация, запускается, на все сервера, rsync с правилами исключения, через 30 минут чаяпития имеем профит. может быть нужен будет ребут железок, если обновлялось ядро (carp рулит), либо перезапуск какого-то софта (sh + ssh + expect)

Ответить | Правка | Наверх | Cообщить модератору

190. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  –1 +/
Сообщение от ragus (ok), 18-Июл-11, 04:06 
> сетап:
> 5 минут на подготовку дисков, 10-30 минут на раскатку образа с базовой
> конфигурации (админ пнул команду и пошел пить чай или др. вопросом
> заниматься), 0.5-20 секунд работы постинтсаляционного скрипта для подгонки системы под
> нужные параметры (hostname, ifconfig, ip, passwd и т.д.) и дальнейшая настройка
> правил фаирвола (копипаст уже с рабочей машины) или чего там надо...

С какой еще базовой конфигурации, о чём вы?

> обновление:
> обновляется базовая конфигурация, запускается, на все сервера, rsync с правилами исключения,
> через 30 минут чаяпития имеем профит. может быть нужен будет ребут
> железок, если обновлялось ядро (carp рулит), либо перезапуск какого-то софта (sh
> + ssh + expect)

это прекрасно до тех пор, пока у вас всё однотипно и требует внутренней инфраструктуры.

btw, при использовании pf лишаемся возможности нормально обрабатывать pptp/ftp/sip/h.323/etc.

Ответить | Правка | Наверх | Cообщить модератору

228. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от Аноним (-), 18-Июл-11, 09:12 
> С какой еще базовой конфигурации, о чём вы?

держится 1-2-3-5 виртуалок, где собирается система так как нужно, там же все обкатывается и с этих виртуалок идет установка новых и накат существующих систем и большинства софта.

> это прекрасно до тех пор, пока у вас всё однотипно и требует
> внутренней инфраструктуры.

кто мешает держать более одной базовой конфигуршки? не нужно высасывать проблемы из пальца.

> btw, при использовании pf лишаемся возможности нормально обрабатывать pptp/ftp/sip/h.323/etc.

btw по pf - это не ко мне. в моих целях ipfw хватает с головой, ну плюс еще acl-ки в свитчах, когда совсем не нормальный трафик или bgp если уж совсем жутко.

Ответить | Правка | Наверх | Cообщить модератору

264. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от PereresusNeVlezaetBuggyemail (ok), 18-Июл-11, 12:07 
> btw, при использовании pf лишаемся возможности нормально обрабатывать pptp/ftp/sip/h.323/etc.

Палка о двух концах. С одной стороны, протоколы типа того же H.323 местами сложные, и в ядре их разбирать стремновато (сколько уязвимостей было в подобных модулях к тому же netfilter?). С другой, прокся на PF создаётся не просто, а очень просто, тот же ftp-proxy взять: и обычное, и реверс-проксирование, при этом основной трафик (передача данных) бегает без залёта в юзерспейс.

Так что если доверять ядерным модулям, то, конечно, PF в данном плане менее удобен; разработчики не собираются встраивать поддержку таких протоколов в сам PF, оставляя на откуп проксям.

Ответить | Правка | Наверх | Cообщить модератору

432. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от nuclightemail (ok), 19-Июл-11, 02:37 
> Палка о двух концах. С одной стороны, протоколы типа того же H.323
> местами сложные, и в ядре их разбирать стремновато (сколько уязвимостей было
> в подобных модулях к тому же netfilter?).

Так напишите так, чтоб было без уязвимостей. Вы ж эксперты, в чем принципиальная сложность?

> С другой, прокся на
> PF создаётся не просто, а очень просто, тот же ftp-proxy взять:
> и обычное, и реверс-проксирование, при этом основной трафик (передача данных) бегает
> без залёта в юзерспейс.

Во-первых, их нет готовых, во-вторых, не везде всё так просто и без нагрузки по трафику, как в ftp control connection.

> Так что если доверять ядерным модулям, то, конечно, PF в данном плане
> менее удобен; разработчики не собираются встраивать поддержку таких протоколов в сам
> PF, оставляя на откуп проксям.

Ну так он и останется никому не нужен в серьезных применениях, значит.

Ответить | Правка | К родителю #264 | Наверх | Cообщить модератору

442. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от PereresusNeVlezaetBuggyemail (ok), 19-Июл-11, 03:26 
>> Палка о двух концах. С одной стороны, протоколы типа того же H.323
>> местами сложные, и в ядре их разбирать стремновато (сколько уязвимостей было
>> в подобных модулях к тому же netfilter?).
> Так напишите так, чтоб было без уязвимостей. Вы ж эксперты, в чем
> принципиальная сложность?

Троллинг детектед. :) Уязвимости бывают везде, и мудрый программист старается заранее их нейтрализовать. Например, не усложняя без нужды логику ядерных процессов. В принципе, конечно, каждому своё: кому-то плевать на риски, а кому-то наоборот. То или иное решение должно быть принято, и кому-то оно всегда не понравится. Свободы выбора лично вас никто не лишает, пользуйтесь тем, что вам по сердцу. ;)

>> С другой, прокся на
>> PF создаётся не просто, а очень просто, тот же ftp-proxy взять:
>> и обычное, и реверс-проксирование, при этом основной трафик (передача данных) бегает
>> без залёта в юзерспейс.
> Во-первых, их нет готовых,

Наверное, поэтому я написал «создаётся»? ;) Готовые-то, может, и есть, поискать надо...

> во-вторых, не везде всё так просто и без нагрузки по трафику, как в ftp control connection.

Не спорю. Последний раз целый день (или два?) убил, отлаживая вставляемый посередь дороги H.323-гейткипер и его «друзей». А каково такие протоколы собсно кодировать, стараясь быть совместимым со всем попадающимся в реале крапом... бр-р-р.

>> Так что если доверять ядерным модулям, то, конечно, PF в данном плане
>> менее удобен; разработчики не собираются встраивать поддержку таких протоколов в сам
>> PF, оставляя на откуп проксям.
> Ну так он и останется никому не нужен в серьезных применениях, значит.

Если все будут гнаться за одной голой производительностью, то да. :) А так, если речь идёт не о супер-нагрузке по конкретно данному протоколу, либо админ по той или иной причине параноидален, то и юзерленд-прокси сойдёт.

И опять-таки, на примере того же ftp-proxy видно, что производительность-то в случае PF+спецпрокси особо не страдает: основные данные бегают без прямого участия юзерленда. А это означает, что хорошая безопасность прекрасно уживается с высокой производительностью. Но ручками поработать надо, да.

Ответить | Правка | К родителю #432 | Наверх | Cообщить модератору

311. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от Клыкастый (ok), 18-Июл-11, 16:01 
> С какой еще базовой конфигурации, о чём вы?

Судя по этому вопросу установка FreeBSD вам известна по вольному пересказу видевших тех, кто стоял на том месте через полчаса :)

> это прекрасно до тех пор, пока у вас всё однотипно и требует
> внутренней инфраструктуры.

Что однотипно? Задачи? Вас при обновлении волнует однотипность выполняемых задач? Каким образом? Железо? Что такое "требует внутренней инфраструктуры"? Вы извините, но пока ваши вопросы переводятся на русский так "я-не-понимаю-как-вы-там-с-этим-разбираетесь-мне-кажется-это-песец". Вам люди чётко говорят, что не видят проблем ни с полным ни с частичным обновлением.

> btw, при использовании pf лишаемся возможности нормально обрабатывать pptp/ftp/sip/h.323/etc.

что не так с ftp+pf? что не так с pptp+pf? раскройте подробнее волнительное "etc".

Ответить | Правка | Наверх | Cообщить модератору

320. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от ragus (ok), 18-Июл-11, 16:51 
> что не так с ftp+pf? что не так с pptp+pf? раскройте подробнее
> волнительное "etc".

а вы словно не знаете, зачем нужен костыль ftp-proxy?
т.е. ftp-proxy - это костылик только к одному протоколу.

про pptp:

http://forum.sysadmins.su/index.php?showtopic=4045
http://mail-index.netbsd.org/tech-net/2009/08/11/msg001566.html

Такая же ситуация с другими протоколами, требующими анализа при трансляции.

Ответить | Правка | К родителю #311 | Наверх | Cообщить модератору

338. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  –1 +/
Сообщение от Клыкастый (ok), 18-Июл-11, 18:34 
> а вы словно не знаете, зачем нужен костыль ftp-proxy?
> т.е. ftp-proxy - это костылик только к одному протоколу.

а, ясно про что.
не, шлюзами не занимаюсь а не домашнем gentoo :)

Ответить | Правка | К родителю #320 | Наверх | Cообщить модератору

360. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от Аноним (-), 18-Июл-11, 19:25 
> не, шлюзами не занимаюсь а не домашнем gentoo :)

Чего-чего вы с шлюзами и гентой делаете?

Ответить | Правка | К родителю #338 | Наверх | Cообщить модератору

616. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от Клыкастый (ok), 20-Июл-11, 20:29 
>> не, шлюзами не занимаюсь а не домашнем gentoo :)
> Чего-чего вы с шлюзами и гентой делаете?

проблема неактуальная для меня говорю, шлюзами не занимаюсь. а на домашнем шлюзе gentoo и iptables. ну как-то так.


Ответить | Правка | К родителю #360 | Наверх | Cообщить модератору

705. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  –3 +/
Сообщение от Аноним (-), 21-Июл-11, 21:20 
> а на домашнем шлюзе gentoo и iptables. ну как-то так.

На домашний шлюз сгодится коробочка-роутер за 1000 рублей из ближайшего магазина, кушающая 2 ватта и размерами с мыльницу. Это так, если не гoвнарствовать как гентушники и бздуны.

Ответить | Правка | К родителю #616 | Наверх | Cообщить модератору

738. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от nagualemail (ok), 21-Июл-11, 22:45 
>> а на домашнем шлюзе gentoo и iptables. ну как-то так.
> На домашний шлюз сгодится коробочка-роутер за 1000 рублей из ближайшего магазина, кушающая
> 2 ватта и размерами с мыльницу. Это так, если не гoвнарствовать
> как гентушники и бздуны.

А вообще зачем там шлюз ?

Ответить | Правка | К родителю #705 | Наверх | Cообщить модератору

752. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от fr0steremail (??), 22-Июл-11, 09:30 
>> 2 ватта и размерами с мыльницу. Это так, если не гoвнарствовать
>> как гентушники и бздуны.
> А вообще зачем там шлюз ?

Ну вообще часто дома несколько компов и держать один включенным ради выхода инет со второго минимум глупо

Ответить | Правка | К родителю #738 | Наверх | Cообщить модератору

1036. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от Клыкастый (ok), 26-Июл-11, 19:19 
Например, домашняя сеть. Которой, к примеру, 8 лет. Которая, к примеру, на 3 года пережила все остальные домашние сети в городе.
Ответить | Правка | К родителю #738 | Наверх | Cообщить модератору

751. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от fr0steremail (??), 22-Июл-11, 09:29 
>> а на домашнем шлюзе gentoo и iptables. ну как-то так.
> На домашний шлюз сгодится коробочка-роутер за 1000 рублей из ближайшего магазина, кушающая
> 2 ватта и размерами с мыльницу. Это так, если не гoвнарствовать
> как гентушники и бздуны.

Это если жаба не давит платить за 30 мбит, а пользоваться максимум 15ю.
Ну или если не ломает передернуть питание зависшего роутера.
А все потому что у нас за 1000 идет срвсем уж г, наценки у нас ощутимые.

Ответить | Правка | К родителю #705 | Наверх | Cообщить модератору

1044. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от Клыкастый (ok), 27-Июл-11, 04:44 
Это для вашего мозга сгодится коробочка размером с мыльницу за вашу зарплату в 1000 рублей. У нас 2 провайдера 25 компов в сетке (часть собственно не компы а WiFi шлюзы), нам ваши коробочки не упирались.
Ответить | Правка | К родителю #705 | Наверх | Cообщить модератору

132. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от Кровавый Э. Нтерпрайз (?), 17-Июл-11, 22:46 
>И чем она лучше 2х серверов с FreeBSD/Linux?

саппортом

Ответить | Правка | К родителю #126 | Наверх | Cообщить модератору

133. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от ragus (ok), 17-Июл-11, 22:53 
>>И чем она лучше 2х серверов с FreeBSD/Linux?
> саппортом

который еще неплохо бы купить ;)
и как бы ASA - это просто сервер с Linux на борту и лейблом CISCO.

Ответить | Правка | Наверх | Cообщить модератору

140. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от Кровавый Э. Нтерпрайз (?), 17-Июл-11, 23:18 
>>>И чем она лучше 2х серверов с FreeBSD/Linux?
>> саппортом
> который еще неплохо бы купить ;)
> и как бы ASA - это просто сервер с Linux на борту
> и лейблом CISCO.

так точно, капитан. надо купить. и линукс на борту. единственно, что отвечают за его набивку инженеры из циски. которым я по опыту работы доверяю не в пример больше, чем инженерам клиентов, которым мы эти циски продаем.

Ответить | Правка | Наверх | Cообщить модератору

142. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +1 +/
Сообщение от ragus (ok), 17-Июл-11, 23:26 
>>>>И чем она лучше 2х серверов с FreeBSD/Linux?
>>> саппортом
>> который еще неплохо бы купить ;)
>> и как бы ASA - это просто сервер с Linux на борту
>> и лейблом CISCO.
> так точно, капитан. надо купить. и линукс на борту. единственно, что отвечают
> за его набивку инженеры из циски. которым я по опыту работы
> доверяю не в пример больше, чем инженерам клиентов, которым мы эти
> циски продаем.

ну так зачем вы тогда нужны клиенту, если можно с cisco/juniper практически напрямую работать?

Ответить | Правка | Наверх | Cообщить модератору

314. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от Кровавый Э. Нтерпрайз (?), 18-Июл-11, 16:25 
Если квалификация IT подразделения клиента позволяет - не вопрос. Часто не позволяет.

Это же касается и вопроса ASA vs самосбор.

Ответить | Правка | Наверх | Cообщить модератору

220. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от MyH (ok), 18-Июл-11, 08:48 
> который еще неплохо бы купить ;)
> и как бы ASA - это просто сервер с Linux на борту
> и лейблом CISCO.

Там Finesse/PIX OS. Никто не засунет монолитное говно в высоконагруженную железку. Линукс только для сохо модемов и точек доступа от всяких д-линков.

Ответить | Правка | К родителю #133 | Наверх | Cообщить модератору

226. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от ragus (ok), 18-Июл-11, 09:07 
>> который еще неплохо бы купить ;)
>> и как бы ASA - это просто сервер с Linux на борту
>> и лейблом CISCO.
> Там Finesse/PIX OS. Никто не засунет монолитное говно в высоконагруженную железку. Линукс
> только для сохо модемов и точек доступа от всяких д-линков.

PIX больше нет. А софт от ASA успешно запускали на обычном PC(и внутри там всё-таки Linux).
А Linux они используют в IOS-XR.

Ответить | Правка | Наверх | Cообщить модератору

238. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от MyH (ok), 18-Июл-11, 10:00 
>>> который еще неплохо бы купить ;)
>>> и как бы ASA - это просто сервер с Linux на борту
>>> и лейблом CISCO.
>> Там Finesse/PIX OS. Никто не засунет монолитное говно в высоконагруженную железку. Линукс
>> только для сохо модемов и точек доступа от всяких д-линков.
> PIX больше нет. А софт от ASA успешно запускали на обычном PC(и
> внутри там всё-таки Linux).
> А Linux они используют в IOS-XR.

Хм, с 8ой (последней) версии похоже так и есть. Модные течения разжижают мозг циско-манагеров.

Ответить | Правка | Наверх | Cообщить модератору

240. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от XPEHemail (?), 18-Июл-11, 10:29 
Просто они деньги умеют считать. В отличие от.
Ответить | Правка | К родителю #238 | Наверх | Cообщить модератору

243. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +1 +/
Сообщение от MyH (ok), 18-Июл-11, 10:40 
> Просто они деньги умеют считать. В отличие от.

А те, кто покупает у циски по сути х86 с Линуксом за килобаксы - умеют?

Ответить | Правка | К родителю #240 | Наверх | Cообщить модератору

252. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от Andrey Mitrofanov (?), 18-Июл-11, 11:23 
> А те, кто покупает у циски по сути х86 с Линуксом за килобаксы - умеют?

Конечно! У ребят с "дипломами" Сискоу очень неплохие зарплаты же.

Ответить | Правка | К родителю #243 | Наверх | Cообщить модератору

268. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от XPEHemail (?), 18-Июл-11, 12:32 
>> Просто они деньги умеют считать. В отличие от.
> А те, кто покупает у циски по сути х86 с Линуксом килобаксы - умеют?

Речь вообще-то шла о менеджерах фирмы Cisco и деньгах на разработку+поддержку cтопроцентно собственной ОС (тем более такого архитектурного уродца как классический IOS).

Да кстати если бы в Cisco ASA был бы не linux a что-то из BSD, их стоило бы покупать за килобаксы ?

Ответить | Правка | К родителю #243 | Наверх | Cообщить модератору

248. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от AlexAT (ok), 18-Июл-11, 10:57 
> Хм, с 8ой (последней) версии похоже так и есть. Модные течения разжижают
> мозг циско-манагеров.

Linux там. Уже с 6 версии.

Ответить | Правка | К родителю #238 | Наверх | Cообщить модератору

706. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от Аноним (-), 21-Июл-11, 21:23 
> Хм, с 8ой (последней) версии похоже так и есть. Модные течения разжижают
> мозг циско-манагеров.

Скорее, задницы циско-манагеров начинают поджаривать всякие vyatta и прочие, которые наглейше роутят 10Гбит программно, предоставляя в 10 раз больше возможностей чем в принципе сможет самописная кривулька типа IOS, и не наглея по ценам.

Ответить | Правка | К родителю #238 | Наверх | Cообщить модератору

495. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от anonymous (??), 19-Июл-11, 13:19 
> PIX больше нет. А софт от ASA успешно запускали на обычном PC(и
> внутри там всё-таки Linux).
> А Linux они используют в IOS-XR.

Откуда дровишки?

http://www.cisco.com/en/US/products/ps5763/index.html

http://www.qnx.com/news/pr_1329_3.html

QNX там

Ответить | Правка | Наверх | Cообщить модератору

546. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +1 +/
Сообщение от ragus (ok), 20-Июл-11, 03:24 
>> PIX больше нет. А софт от ASA успешно запускали на обычном PC(и
>> внутри там всё-таки Linux).
>> А Linux они используют в IOS-XR.
> Откуда дровишки?
> http://www.cisco.com/en/US/products/ps5763/index.html
> http://www.qnx.com/news/pr_1329_3.html
> QNX там

да, в XR - QNX. В XE - Linux.

Ответить | Правка | К родителю #495 | Наверх | Cообщить модератору

361. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от Аноним (-), 18-Июл-11, 19:32 
> Там Finesse/PIX OS. Никто не засунет монолитное гoвнo в высоконагруженную железку.

Высокую нагрузку асик аппаратный разгребает. А кто там им управлять будет - да не фиолетово ли? Кстати сабжевые монолитные г0внa зак0пали много других г0вен, монолитных и не очень.

> Линукс только для сохо модемов и точек доступа от всяких д-линков.

Да, какая-нибудь там vyatta с 10G ethernet - нормальный сохо-модем :)

Ответить | Правка | К родителю #220 | Наверх | Cообщить модератору

384. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от AlexAT (ok), 18-Июл-11, 20:51 
>> Там Finesse/PIX OS. Никто не засунет монолитное гoвнo в высоконагруженную железку.
> Высокую нагрузку асик аппаратный разгребает. А кто там им управлять будет -

Плиз, не лезьте в тему, в которой ни черта не смыслите. В ASA'х выделенный контроллер разгребает только шифрование, все остальное производится вполне обычным x86 под вполне обычным Linux'ом, со вполне обычными сетевыми картами, разве что onboard'ными.

Ответить | Правка | Наверх | Cообщить модератору

707. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от Аноним (-), 21-Июл-11, 21:25 
> вполне обычным x86 под вполне обычным Linux'ом, со вполне обычными сетевыми
> картами, разве что onboard'ными.

Ну вот, и циска вслед за vyatta :). По сути такую "циску" можно сколхозить из любого сервера + линуха на нем :)))

Ответить | Правка | К родителю #384 | Наверх | Cообщить модератору

739. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от nagualemail (ok), 21-Июл-11, 22:47 
>> вполне обычным x86 под вполне обычным Linux'ом, со вполне обычными сетевыми
>> картами, разве что onboard'ными.
> Ну вот, и циска вслед за vyatta :). По сути такую "циску"
> можно сколхозить из любого сервера + линуха на нем :)))

Не с любого ... хотя если взять мать под socket F ;-))

Ответить | Правка | К родителю #707 | Наверх | Cообщить модератору

896. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от ragus (ok), 23-Июл-11, 02:17 
>> вполне обычным x86 под вполне обычным Linux'ом, со вполне обычными сетевыми
>> картами, разве что onboard'ными.
> Ну вот, и циска вслед за vyatta :). По сути такую "циску"
> можно сколхозить из любого сервера + линуха на нем :)))

ну как бы давно. FWSM для 6500 - это машина с redhat.

Ответить | Правка | К родителю #707 | Наверх | Cообщить модератору

895. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от ragus (ok), 23-Июл-11, 02:16 
> Высокую нагрузку асик аппаратный разгребает. А кто там им управлять будет -
> да не фиолетово ли? Кстати сабжевые монолитные г0внa зак0пали много других
> г0вен, монолитных и не очень.

asic - это прекрасно, но запрос к RADIUS обрабатывается слабым cpu.
Железка DoS'ится на ура, если заставить её ломиться к RADIUS.

Ответить | Правка | Наверх | Cообщить модератору

128. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от ragus (ok), 17-Июл-11, 22:19 
> Я что-то вообще перестаю Вас понимать. pf - NAT + FW. Или
> что изменилось в политике партии?

В догонку: если бы вы прошли по ссылкам, то увидели результаты профайлинга pf.
А еще проблемы людей из-за того, что pf на параллелится и утилизирует только одно ядро.


Ответить | Правка | К родителю #125 | Наверх | Cообщить модератору

134. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от iZEN (ok), 17-Июл-11, 22:54 
> А еще проблемы людей из-за того, что pf на параллелится и утилизирует только одно ядро.

Так всё правильно: на почтовой машине файервол не так важен, как почтовик, поэтому PF пусть работает на одном ядре. Другие ядра многоядерной системы пусть более важные процессы делят. :)

Ответить | Правка | Наверх | Cообщить модератору

136. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +1 +/
Сообщение от ragus (ok), 17-Июл-11, 22:58 
>> А еще проблемы людей из-за того, что pf на параллелится и утилизирует только одно ядро.
> Так всё правильно: на почтовой машине файервол не так важен, как почтовик,
> поэтому PF пусть работает на одном ядре. Другие ядра многоядерной системы
> пусть более важные процессы делят. :)

где я писал про почту? речь шла о HA-firewall.

Ответить | Правка | Наверх | Cообщить модератору

187. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от Аноним (-), 18-Июл-11, 03:55 
> Так всё правильно: на почтовой машине файервол не так важен, как почтовик,

Капитан сообщает: если затормозит файрвол, начнет тормозить и почтовик. Потому что его пакеты летят через этот самый файрвол.  

Ответить | Правка | К родителю #134 | Наверх | Cообщить модератору

199. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от PereresusNeVlezaetBuggyemail (ok), 18-Июл-11, 05:09 
> повторяю: цифры, тесты?
> раз вы упомянули pf:
> 1)http://forum.nag.ru/forum/index.php?showtopic=47497
> 2)http://forum.nag.ru/forum/index.php?showtopic=18744

Здесь с тем же успехом могли вылезти тормоза из-за переброса пакетов между фаерволами. А тут сравнивают «PF+ipfw+клей vs. ipfw» вместо «PF vs. ipfw». Вот другой пример, именно сравнения равного функционала: http://lists.freebsd.org/pipermail/freebsd-performance/2010-... ; не то чтобы конкретный слив, но преимущество PF заметно.

> 3)http://forum.nag.ru/forum/index.php?showtopic=60859

Топикстартер просто упёрся в лимит стейтов, в теме написано. «set limit NNN» и все счастливы, кроме тех, кому PF жить мешает. :)

> 4)http://groups.google.com/group/fido7.ru.unix.bsd/browse_thre...

Ни одного _доказательства_ тормознутости PF не приведено. Хотя на SMP он не раскладывается, да, но это не мешает ему обрабатывать весьма большие потоки пакетов. Чтобы не быть голословным, хохмы ради сегодня попробую гигабитный линк у когда-то любовно настроенного фаервола загрузить случайными пакетами, посмотрим на результаты. Только фряху, боюсь, я туда не вкорячу ради эксперимента, ибо уволился. :) А так — http://www.mail-archive.com/freebsd-pf@freebsd.org/msg0... , например.

>> достаточно вменяемым набором средств сопровождения, идеология которых примерно одинакова
>> без значительных изменений без крайней нужды. (например, те же freebsd-update, portsnap,
>> порты portaudit, portupgrade и т.п.)
> это всё замечательно, что такие инструменты есть.
> теперь назовите затраты времени на:
> 1)инсталляцию HA-firewall на базе FreeBSD.

Инсталяция базовой системы, поднятие pfsync (одна команда ifconfig) и CARP (ещё 1-2 команды ifconfig). Всё, дальше оно само. Ну, ещё не грех те же команды в /etc/rc.conf записать, разумеется. :) Остальное — написание правил собсно фаервола (для ленивых есть Firewall Builder, например).

> 2)обновление этой инсталляции(например, в случае SA/bugfixes)

А это пусть уже лучше спец по фряхе расскажет, я за новостями давно не следил, мог упустить чего. В опёнке просто: обновляем стабильное ядро, и всё. Ничего не отваливается, так как фаерволы в связке: спокойно по одному ребутаем.

Ответить | Правка | К родителю #121 | Наверх | Cообщить модератору

204. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +1 +/
Сообщение от ragus (ok), 18-Июл-11, 06:18 
>> повторяю: цифры, тесты?
>> раз вы упомянули pf:
>> 1)http://forum.nag.ru/forum/index.php?showtopic=47497
>> 2)http://forum.nag.ru/forum/index.php?showtopic=18744
> Здесь с тем же успехом могли вылезти тормоза из-за переброса пакетов между
> фаерволами. А тут сравнивают «PF+ipfw+клей vs. ipfw» вместо «PF vs. ipfw».

Если вас это интересует, могу сделать тест на 2х сокетном quad core Nehalem и гигабитной сетке.  

> Вот другой пример, именно сравнения равного функционала: http://lists.freebsd.org/pipermail/freebsd-performance/2010-...
> ; не то чтобы конкретный слив, но преимущество PF заметно.

Test scheme:
laptop(192.168.0.188)-->age0(192.168.0.1)-->rl0(10.1.2.142)-->internet

после этого можно дальше не читать. 1GE/10GE во внешний мир уже не редкость.

>> 3)http://forum.nag.ru/forum/index.php?showtopic=60859
> Топикстартер просто упёрся в лимит стейтов, в теме написано. «set limit NNN»
> и все счастливы, кроме тех, кому PF жить мешает. :)

Ок, расскажу я про свои тесты pf & netfilter.
1)выкручиваем лимиты по кол-ву стейтов 3млн.
2)выкручиваем таймауты до 2х часов
3)настраиваем nat транслировать всё из сети /8
4)с помощью ядерного генератора трафика создаём 1.4mpps udp-пакетами из сети /8 с рандомными src port.

Так вот, при ~ 200-300k стейтов в топе оказывается pfpurge и swi1:net. При этом видно, что на исходящем интерфейсе начинаются провалы по pps а сам pf начинает просто дропать трафик.
С netfilter всё было куда скучнее: медленная деградация производительности по мере увеличения числа стейтов. при 2млн стейтов на выходе было ~ 700kpps и почти полная загрузка всех ядер.

>> 4)http://groups.google.com/group/fido7.ru.unix.bsd/browse_thre...
> Ни одного _доказательства_ тормознутости PF не приведено. Хотя на SMP он не
> раскладывается, да, но это не мешает ему обрабатывать весьма большие потоки
> пакетов. Чтобы не быть голословным, хохмы ради сегодня попробую гигабитный линк
> у когда-то любовно настроенного фаервола загрузить случайными пакетами, посмотрим на результаты.

см. мои тесты выше.

> Только фряху, боюсь, я туда не вкорячу ради эксперимента, ибо уволился.
> :) А так — http://www.mail-archive.com/freebsd-pf@freebsd.org/msg0...
> , например.

там чистый роутинг. вот подробнее и с NAT:

https://calomel.org/network_performance.html

"When the MTU is limited to 1500 (standard MTU for most of the Internet) we hit almost 10 million packets over sixty secods (9,666,777 packets or 161,112 pps) and 1.9333 gigabits per second."

161kpps. посмотрите на моих цифры и подумайте еще раз про скорость :)

> Инсталяция базовой системы, поднятие pfsync (одна команда ifconfig) и CARP (ещё 1-2
> команды ifconfig). Всё, дальше оно само. Ну, ещё не грех те
> же команды в /etc/rc.conf записать, разумеется. :) Остальное — написание правил
> собсно фаервола (для ленивых есть Firewall Builder, например).

pfsync в GENERIC нет. ALTQ тоже.


Ответить | Правка | Наверх | Cообщить модератору

262. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от PereresusNeVlezaetBuggyemail (ok), 18-Июл-11, 11:53 
>>> повторяю: цифры, тесты?
>>> раз вы упомянули pf:
>>> 1)http://forum.nag.ru/forum/index.php?showtopic=47497
>>> 2)http://forum.nag.ru/forum/index.php?showtopic=18744
>> Здесь с тем же успехом могли вылезти тормоза из-за переброса пакетов между
>> фаерволами. А тут сравнивают «PF+ipfw+клей vs. ipfw» вместо «PF vs. ipfw».
> Если вас это интересует, могу сделать тест на 2х сокетном quad core
> Nehalem и гигабитной сетке.

Сделайте. Если можно, пожалуйста, на отдельной страничке где-нибудь выложите результаты, вместе с dmesg и описанием всех использованных sysctl-ек, а здесь просто ссылку киньте. Сам постараюсь сделать такой тест вечером (в дополнение к обещанному) на третьем пеньке, который у меня домашнюю локалку обслуживает: гигабитного Intel'а с двух сторон, думаю, будет достаточно.

>> Вот другой пример, именно сравнения равного функционала: http://lists.freebsd.org/pipermail/freebsd-performance/2010-...
>> ; не то чтобы конкретный слив, но преимущество PF заметно.
> Test scheme:
> laptop(192.168.0.188)-->age0(192.168.0.1)-->rl0(10.1.2.142)-->internet
> после этого можно дальше не читать. 1GE/10GE во внешний мир уже не
> редкость.

Если бы всё упиралось в скорость канала, то и заметной разницы между фильтрами бы не было, м-м-м?

>[оверквотинг удален]
> 2)выкручиваем таймауты до 2х часов
> 3)настраиваем nat транслировать всё из сети /8
> 4)с помощью ядерного генератора трафика создаём 1.4mpps udp-пакетами из сети /8 с
> рандомными src port.
> Так вот, при ~ 200-300k стейтов в топе оказывается pfpurge и swi1:net.
> При этом видно, что на исходящем интерфейсе начинаются провалы по pps
> а сам pf начинает просто дропать трафик.
> С netfilter всё было куда скучнее: медленная деградация производительности по мере увеличения
> числа стейтов. при 2млн стейтов на выходе было ~ 700kpps и
> почти полная загрузка всех ядер.

А это уже интереснее, несмотря на искусственность условий. Можно поподробнее? Списки правил и статистику фаерволов («pfctl -si» и «iptables -n -L -v») хотя бы.

BTW, о птичках: какие версии netfilter и PF? А то был у меня один знакомый любитель сравнивать PF из 2006 года и netfilter из 2010. А в PF за последние несколько лет много чего улучшили (уж не знаю, портировали последние изменения во фряху). На http://pf4freebsd.love2party.net/ вообще пишут, что во фряхе сейчас PF из OpenBSD 4.1, то есть четырёхлетней давности. Производительность у PF из 4.1 и 4.9 на большом количестве стейтов может различаться в несколько раз запросто: в промежутке были переписаны в том числе как раз NAT-подсистема и таблица стейтов; помню пример с Soekris'ом, производительность которого после одного из нововведений поднялась аккурат в два раза.

>[оверквотинг удален]
> см. мои тесты выше.
>> Только фряху, боюсь, я туда не вкорячу ради эксперимента, ибо уволился.
>> :) А так — http://www.mail-archive.com/freebsd-pf@freebsd.org/msg0...
>> , например.
> там чистый роутинг. вот подробнее и с NAT:
> https://calomel.org/network_performance.html
> "When the MTU is limited to 1500 (standard MTU for most of
> the Internet) we hit almost 10 million packets over sixty secods
> (9,666,777 packets or 161,112 pps) and 1.9333 gigabits per second."
> 161kpps. посмотрите на моих цифры и подумайте еще раз про скорость :)

Ваши цифры, если вы вспомните, взяты из трафикогенератора. То есть не учитывают обработку входящих пакетов и переброску между интерфейсами. Так что напрямую сравнивать результаты ваши и у Саломеи, мягко говоря, некорректно.

>> Инсталяция базовой системы, поднятие pfsync (одна команда ifconfig) и CARP (ещё 1-2
>> команды ifconfig). Всё, дальше оно само. Ну, ещё не грех те
>> же команды в /etc/rc.conf записать, разумеется. :) Остальное — написание правил
>> собсно фаервола (для ленивых есть Firewall Builder, например).
> pfsync в GENERIC нет. ALTQ тоже.

Ага, виноват: повторюсь, не слежу внимательно за фряхой. Кстати, вы NPF не пробовали? А то у меня руки так и не дошли его нагрузить...

Ответить | Правка | Наверх | Cообщить модератору

266. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от ragus (ok), 18-Июл-11, 12:19 
> А это уже интереснее, несмотря на искусственность условий. Можно поподробнее? Списки правил
> и статистику фаерволов («pfctl -si» и «iptables -n -L -v») хотя
> бы.

там ничего интересного. для netfilter вообще одно правило.
для pf - nat + pass in quick/pass out quick


> BTW, о птичках: какие версии netfilter и PF? А то был у

freebsd 8.1 & linux 2.6.37

> Ваши цифры, если вы вспомните, взяты из трафикогенератора. То есть не учитывают
> обработку входящих пакетов и переброску между интерфейсами. Так что напрямую сравнивать
> результаты ваши и у Саломеи, мягко говоря, некорректно.

цифры снимались с помощью netstat в FreeBSD и sar в Linux.

>>> Инсталяция базовой системы, поднятие pfsync (одна команда ifconfig) и CARP (ещё 1-2
>>> команды ifconfig). Всё, дальше оно само. Ну, ещё не грех те
>>> же команды в /etc/rc.conf записать, разумеется. :) Остальное — написание правил
>>> собсно фаервола (для ленивых есть Firewall Builder, например).
>> pfsync в GENERIC нет. ALTQ тоже.
> Ага, виноват: повторюсь, не слежу внимательно за фряхой. Кстати, вы NPF не
> пробовали? А то у меня руки так и не дошли его
> нагрузить...

Не трогал вообще.

Ответить | Правка | Наверх | Cообщить модератору

270. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от PereresusNeVlezaetBuggyemail (ok), 18-Июл-11, 12:39 
>> А это уже интереснее, несмотря на искусственность условий. Можно поподробнее? Списки правил
>> и статистику фаерволов («pfctl -si» и «iptables -n -L -v») хотя
>> бы.
> там ничего интересного. для netfilter вообще одно правило.
> для pf - nat + pass in quick/pass out quick

Ага, раз NAT в отдельной секции, то PF староватый...

>> BTW, о птичках: какие версии netfilter и PF? А то был у
> freebsd 8.1 & linux 2.6.37

Покопался ещё: похоже, за исключением импорта sloppy states (и, возможно, ещё чего-то), PF во фряхе совсем протух. :( Ну да ладно. Спасибо за информацию, попробую повторить тесты и если всё будет печально, поискать узкое место.

>> Ваши цифры, если вы вспомните, взяты из трафикогенератора. То есть не учитывают
>> обработку входящих пакетов и переброску между интерфейсами. Так что напрямую сравнивать
>> результаты ваши и у Саломеи, мягко говоря, некорректно.
> цифры снимались с помощью netstat в FreeBSD и sar в Linux.

А это тут причём? :) В одном случае (Саломея) тестировалась пропускная способность, говоря аналогиями, целого таможенного терминала, в другом (вы) — только той части, что «на выход». Это не говоря о других различиях в методике тестирования. Поэтому, повторюсь, тест ваш сам по себе интересен, но сравнивать его результаты с результатами Саломеи абсолютно некорректно.

>>>> Инсталяция базовой системы, поднятие pfsync (одна команда ifconfig) и CARP (ещё 1-2
>>>> команды ifconfig). Всё, дальше оно само. Ну, ещё не грех те
>>>> же команды в /etc/rc.conf записать, разумеется. :) Остальное — написание правил
>>>> собсно фаервола (для ленивых есть Firewall Builder, например).
>>> pfsync в GENERIC нет. ALTQ тоже.
>> Ага, виноват: повторюсь, не слежу внимательно за фряхой. Кстати, вы NPF не
>> пробовали? А то у меня руки так и не дошли его
>> нагрузить...
> Не трогал вообще.

Жаль. :)

Ответить | Правка | Наверх | Cообщить модератору

110. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от тигар (ok), 17-Июл-11, 21:05 
в более древние посты слонека загляните. там где меряют linux vs fbsd. + там он еще ssd vs hdd мерял. если сложить те 2 поста - получается смайлик.
Ответить | Правка | К родителю #66 | Наверх | Cообщить модератору

286. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от Клыкастый (ok), 18-Июл-11, 14:11 
>> Почему против? Я про сферу применения. FreeBSD там производительнее
> цифры, тесты?

ну с конкурентами мы пупами померялись и по нагрузке и по отдаче ФС RHEL как бы помягче сказать, выполнил двойную рыбную операцию, что-то там про лосося и тунца.

>>и удобнее, даже,
> чем именно?

ZFS с репликацией и снапшотами, ZRAID и другими полезняшками.
грамотным размещением конфигов. да тупо если в случае чего линуксах управляемость падает резче, по тому же ssh. и когда жители вилларибы ещё разруливают штатными средствами, жители виллабаджо уже ребутают.


>> как минимум, не менее надежна при грамотном использовании (надежность, конечно, в
>> смысле минимального простоя).
> на чем основаны ваши слова?

видимо, на том же, на чём основаны ваши сомнения.

Ответить | Правка | К родителю #66 | Наверх | Cообщить модератору

709. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от Аноним (-), 21-Июл-11, 21:29 
> ну с конкурентами мы пупами померялись и по нагрузке и по отдаче
> ФС RHEL как бы помягче сказать, выполнил двойную рыбную операцию,

Что-то ext4 нынче не в настроении лососевать, знаете ли :)

> ZFS с репликацией и снапшотами, ZRAID и другими полезняшками.

Ох довыступаетесь: оракл вам халяву перекроет (да уже перекрыл), а пингвинологи как раз доделают btrfs.

> резче, по тому же ssh. и когда жители вилларибы ещё разруливают
> штатными средствами, жители виллабаджо уже ребутают.

Не замечал особых проблем с ssh. Накрайняк, если уж и правда ж... каким-то чудом имеет место быть - ну настройте приоритеты и проца и IO, чтоли?

> видимо, на том же, на чём основаны ваши сомнения.

Так и запишем: обнаружено 2 пустобреха.

Ответить | Правка | Наверх | Cообщить модератору

975. "Rambler-почта собирается мигрировать с FreeBSD на Debian GNU..."  +/
Сообщение от Клыкастый (ok), 24-Июл-11, 04:17 
> Что-то ext4 нынче не в настроении лососевать, знаете ли :)

и все побежали переделывать продакшны на ext4

>> ZFS с репликацией и снапшотами, ZRAID и другими полезняшками.
> Ох довыступаетесь: оракл вам халяву перекроет (да уже перекрыл), а пингвинологи как  раз доделают btrfs.

ZFS назад отберут? :) да ладно, мы глянем что там в 9-ке будет :)


> Не замечал особых проблем с ssh. Накрайняк, если уж и правда ж...
> каким-то чудом имеет место быть - ну настройте приоритеты и проца
> и IO, чтоли?

хм. при попытке объяснить что что-то во FreeBSD можно подкрутить начинаются капризы типа "нада-чтоб-искаропки".

>> видимо, на том же, на чём основаны ваши сомнения.
> Так и запишем: обнаружено 2 пустобреха.

а это всегда пожалуйста. уж лет как 10 нет желания распинаться перед анонимусами :)

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру