Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Для ядра Linux предложен новый пакетный фильтр bpfilter, opennews (?), 21-Фев-18, (0) [смотреть все] Какая у них интеллектуальная дискуссия, а был бы Линус обозвал бы всех макаками, mimocrocodile (?), 22:16 , 21-Фев-18, (1) +31 // Если б они сказали Мы запилили новый bpfilter, с новой версией все старые iptab, Аноним (-), 14:36 , 22-Фев-18, (92) +3 // Да их и сейчас не лишне назвать Потому что если вгружать мутные блобы из юзермо, Аноним (-), 19:56 , 24-Фев-18, (154) +1 какая свежая идея, бинго, vitalif (ok), 22:25 , 21-Фев-18, (2) +13 // И почему-то не слышно воплей что бсд не нужен Все аналитики в школе , anonymoused (?), 16:27 , 22-Фев-18, (96) // В Беркли всё ещё химичат с алгоритмами TCP IP, так-как у них актуальны проблемы , Джон Ленин (?), 11:37 , 23-Фев-18, (127) –1 А что, нужен Кому и нахрена Они могут делать хоть что-то лучше других Грантое, Аноним (-), 20:19 , 24-Фев-18, (157) А как жо Firewalld , Аноним (-), 22:32 , 21-Фев-18, (3) –7 // надстройка над Iptables же, Аноним (-), 22:45 , 21-Фев-18, (5) +7 // вот-вот Сразу видна квалификация -d разработчиков только очередную обертку и , Аноним (-), 07:16 , 22-Фев-18, (33) // Кроме оберток и не нужно ничего да и обертка не нужна, впилили бы механизмы заг, Аноним (-), 10:08 , 22-Фев-18, (45) Может пиплам некогда заниматься тестированием, да и рисковано , Аноним (-), 13:06 , 22-Фев-18, (80) Механизмы есть, см как реализовано в redhat Пипл оценил, что в новом фаерволе, anonymoused (?), 16:32 , 22-Фев-18, (98) Блин, httpd - обертка над протоколом http оказывается А что до квалификации, fi, Аноним (-), 02:26 , 23-Фев-18, (118) который в свою очередь надстройка над netfilter, Alex_hha (?), 13:00 , 22-Фев-18, (76) тык чтоже nftables учить или нет , Аноним (-), 22:40 , 21-Фев-18, (4) +12 // systemd-tables учи заранее , EuPhobos (ok), 09:24 , 22-Фев-18, (39) +15 // Который будет всего-лишь парсером конфигов с их ивент-активацией Pulse vs, Джон Ленин (?), 11:55 , 23-Фев-18, (129) Эврика, пойду фичреквест на гитхабе закатаю , Аноним (-), 04:19 , 24-Фев-18, (144) Например, API iptables не предоставляет способа добавления или замены единичног, cat666 (ok), 22:58 , 21-Фев-18, (7) –3 // Не путайте API iptables и утилиту iptables Из FAQ 4 5 Is there an C C API fo, Аноним (-), 23:18 , 21-Фев-18, (9) +2 // Спасибо за грамотный ответ Не думал, что всё так запущено , cat666 (ok), 23:20 , 21-Фев-18, (10) +1 // Года 4 назад обсуждали тут Обсуждали код, не слова из мануала, а код Логика рабо, ананим.orig (?), 13:00 , 22-Фев-18, (74) Как соблюсти последовательность и логику при добавлении правилаи не запороть , Аноним (-), 13:09 , 22-Фев-18, (81) Добавляй user define chains на каждый случай , anonymoused (?), 16:36 , 22-Фев-18, (99) ну, все операции атомарны и thtrad safeа логику 8212 а вам то за что з п плат, ананим.orig (?), 23:42 , 22-Фев-18, (115) –1 Использовать -I CHAIN номер-правила вместо -A CHAIN , XoRe (ok), 16:25 , 24-Фев-18, (147) Что, всего половину логики программы iptables надо написать, а не всю Офигитель, Аноним (-), 02:29 , 23-Фев-18, (119) –2 а в чем и зачем там вообще весь api , если правила добавлять он не умеет И кому, пох (?), 00:28 , 22-Фев-18, (14) +4 // простите, что именно используется и где мысль о том, что где-то можно хранить ор, DPDKguy (?), 11:28 , 22-Фев-18, (56) нет, я не идиот Это не оригинальный набор правил , в этом все и дело Если я из, пох (?), 12:28 , 22-Фев-18, (60) +2 сложно вам, наверное начать можно с того, что просто хранить текущий рулесет в я, DPDKguy (?), 12:45 , 22-Фев-18, (66) Просто только простейшим Вон амёбы, как выяснили британские учонные Tm - всегд, _ (??), 19:10 , 22-Фев-18, (108) При добавлении еденичного правила, iptables выгружает через api весь набор прави, Riv1329 (?), 07:10 , 22-Фев-18, (32) // Ну дык это блобик загружаемый в ядро И только особо приближенные понимают как, Аноним (-), 09:17 , 22-Фев-18, (38) там есть commit то есть оно почти-атоммарное И внутри оно немножко менее , пох (?), 12:31 , 22-Фев-18, (61) +1 // Ну то-есть ты сам описал предпосылки почему systemd должен стать центральным дис, Аноним (-), 19:59 , 24-Фев-18, (155) –2 Когда пробую новую конфигурацию добавляю правила по-одному Неужели при этом все , Аноним (-), 23:25 , 21-Фев-18, (11) // Да, именно так все и происходит, Аноним (-), 00:50 , 22-Фев-18, (17) +2 Да, но пофиг, - реальных проблем с производительностью это не создает, Аноним (-), 05:23 , 22-Фев-18, (27) // Только накопленная статистика слетает, а так ничего , DeadLoco (ok), 09:51 , 22-Фев-18, (43) –2 // раньше, вплоть до 2 6 27 не слетала, Аноним (-), 09:58 , 22-Фев-18, (44) Тут проблема в чем В том, что многие забывают, что система слегка не однозадач, КО (?), 10:17 , 26-Фев-18, (159) Опять этот троян Усложненный синтаксис и встроенный троян, сомнительные такие до, EHLO (?), 23:55 , 21-Фев-18, (12) +1 // почему троян , АНОНИМ (?), 13:12 , 22-Фев-18, (83) // Самосгенерированный код будет выполняться в режиме ядра и парсить заголовки кажд, EHLO (?), 17:04 , 22-Фев-18, (106) // спасибо за пояснение, АНОНИМ (?), 18:43 , 22-Фев-18, (107) А то, что статические правила существуют сначала в виде текста, и после парсинга, Джон Ленин (?), 11:52 , 23-Фев-18, (128) Бинарник 8800 исполняемый код Текстовые правила в обоих случаях статические , EHLO (?), 12:45 , 23-Фев-18, (132) Ну согласен же, не говоря о том, что выполняющийся в машине код должен иметь п, Аноним (-), 16:21 , 23-Фев-18, (135) Генерящийся код может быть следствием псевдо-ооп, когда ветвящийся процесс обща, Джон Ленин (?), 22:17 , 23-Фев-18, (142) Потому-что iptables знакомый во всех местах, существует тонна документации, прим, asdasdasd (?), 00:23 , 22-Фев-18, (13) +3 // если вы используете генераторы , то вам должно быть глубоко похрен apt-get upgr, пох (?), 00:40 , 22-Фев-18, (15) +1 // Чукча не мыслитель, чукча писатель ГОТОВЫЕ утилки которые генерируют iptables , sadasd (?), 02:46 , 22-Фев-18, (19) // пока ещё - убунопроблемы У меня в демьянах кое где вообще по крону , . (?), 03:11 , 22-Фев-18, (23) я и говорю - своими мозгами вы _даже_ это сгенерировать не можете, вам подавай , пох (?), 09:04 , 22-Фев-18, (36) Вот вот, плохие новости, НО вот оно это но как всегда в самый неподходящий моме, Аноним (-), 09:31 , 22-Фев-18, (40) конечно А разработчики не любят лишний раз морщить ум свои-то ценные идеи куд, пох (?), 12:36 , 22-Фев-18, (63) Справедливости ради стоит отметить, что разработчики ведут себя так при явной по, anonymoused (?), 16:45 , 22-Фев-18, (100) Что-то надобие sbin iptables -F sbin iptables -A INPUT -p tcp --tcp-flags ALL N, Аноним (-), 16:29 , 22-Фев-18, (97) Что действительно надо, так это перед типичным для линуксойдов изобретением вело, anonymoused (?), 16:51 , 22-Фев-18, (102) Что, ты тоже повзрослел до WinXP, как другой гражданин , Аноним (-), 20:01 , 24-Фев-18, (156) gt оверквотинг удален сблеванул ужасно и крайне неэффективно, DPDKguy (?), 13:53 , 27-Фев-18, (162) А где ты видел в IT, в последнее время, здравый ум Чем хуже - тем лучше , . (?), 03:09 , 22-Фев-18, (22) +3 Леня и его систымДы , Alex_hha (?), 13:05 , 22-Фев-18, (79) +1 Эй Я еще с iptables на nftables не переучился , Аноним (-), 00:50 , 22-Фев-18, (16) Самое приятное в этой ситуации, что на основе этого можно сделать порт pf Чтобы, Anonymous Coward (?), 01:36 , 22-Фев-18, (18) +2 // Покажи как в pf conf будет выглядить правило делать MIRROR на все UDP пакеты из, pavlinux (ok), 02:54 , 22-Фев-18, (21) +1 // А как в iptables Или ты так, для почесать ниже хвоста , . (?), 03:12 , 22-Фев-18, (24) // Ну, если опустить установку и загрузку необходимых для этого модулей, то как то , angra (ok), 03:44 , 22-Фев-18, (25) +9 То есть iptables выполняет ф-цию крона А как же unix-way и все такое , Аноним (-), 05:33 , 22-Фев-18, (28) –2 В каком месте cron это выполнение действия в определенное время, а здесь одно и, angra (ok), 05:53 , 22-Фев-18, (29) +4 Кеонечно не unixway, поскольку вывод списка файлов это частный случай поиска , Агроном (?), 07:36 , 23-Фев-18, (125) Зачем напрямую дёргать ассемблер iptables, если для декларативного описания це, PnDx (ok), 12:36 , 22-Фев-18, (62) действительно, зачем нужна конфигурация из пяти удобочитаемых строк, когда можн, пох (?), 12:45 , 22-Фев-18, (65) +1 Вот как раз diff прекрасно выгладит Потому что 1 Декларация модульная Нужное , PnDx (ok), 12:57 , 22-Фев-18, (70) Конечно всем учить iptables не нужно И уж тем более ferm не нужно Для этих нев, angra (ok), 21:58 , 22-Фев-18, (112) А чего в примере скобки разные Это баг или фича Впрочем у блинлайна, мегавони,, Аноним (-), 04:32 , 24-Фев-18, (146) Это кривая копипаста А вы таки хотели, чтобы я слил для иллюстрации чуть мень, PnDx (ok), 12:23 , 26-Фев-18, (161) Жжуть,опять маны читать надо , pavlinux (ok), 03:15 , 23-Фев-18, (121) gt оверквотинг удален этот велосипед примерно так же ужасен, как и неэффективе, DPDKguy (?), 13:55 , 27-Фев-18, (164) что за модули , ЫЫЫыыЫЫЫ (?), 17:15 , 24-Фев-18, (149) поищи extra iptables modules, наноним (?), 14:51 , 12-Окт-23, (171) слив засчитан , pavlinux (ok), 03:05 , 23-Фев-18, (120) Слив в чём В том что чел не знал что в иптаблах есть работа с таймстампом В БСД, _ (??), 20:27 , 23-Фев-18, (138) +1 С фига ли Пакеты можно по PID фильтровать Разумеется только для локальных проц, Аноним (-), 04:23 , 24-Фев-18, (145) Нет, в Линуксе для этого системы мандатного управления доступом, а не пакетный ф, EHLO (?), 17:59 , 24-Фев-18, (151) –1 Или просто namespaces То же самое но в 20 раз проше , Аноним (-), 19:16 , 24-Фев-18, (153) что-то наподобие pass quick in proto udp from geoip-cn to any port 0 1023 mi, Аноним (-), 11:33 , 22-Фев-18, (58) // а можно ли показать то же самое, но для трафика внутри gre-туннеля который бегае, DPDKguy (?), 13:58 , 27-Фев-18, (165) Гм Как-то так etc pf conf table geoip-china persist file etc geoip chi, A. Stahl Is Gay (?), 16:49 , 22-Фев-18, (101) // А вот аноним выше уверен, что может При таких разногласиях выходит, что не тако, angra (ok), 22:05 , 22-Фев-18, (113) Мб он плохо man прочитал Эта опция там для scrub Почему же , Anonymous Coward (?), 22:30 , 22-Фев-18, (114) Всё может быть Я pf не знаю и мне не особо интересно, кто из них прав Меня в п, angra (ok), 00:00 , 23-Фев-18, (117) Ты злодей , ПавелС (ok), 18:18 , 23-Фев-18, (136) чтобы ради ftp держать user-space демон, а протоколы посложнее вообще не работал, пох (?), 09:16 , 22-Фев-18, (37) // А демон для ftp тут причем o0Ась gt оверквотинг удален У iptables нет конфига, A. Stahl Is Gay (?), 16:59 , 22-Фев-18, (104) +1 // Аха Что Никогда не понимал таких чудаков Именно это и надо использовать Тольк, Аноним (-), 16:38 , 27-Фев-18, (168) gt оверквотинг удален У меня дак все понятно Я используюсь dns имена и службы, ПавелС (ok), 18:22 , 23-Фев-18, (137) вы можете прямо сейчас взять nftables и писать в подобном стиле , DPDKguy (?), 13:54 , 27-Фев-18, (163) Руки прям чешутся всё пихать в ядро , pavlinux (ok), 02:51 , 22-Фев-18, (20) +2 // Ну прям таки всё Компилять правила в байткод предлается вне ядра Или ты прелае, Аноним (-), 10:29 , 22-Фев-18, (50) // У многих железяк есть схемы PCI - DMA - CPU и обратно , pavlinux (ok), 03:31 , 23-Фев-18, (122) +1 Если они все сделают по-человечески, кода в ядре станет меньше, потому что все д, A. Stahl Is Gay (?), 17:01 , 22-Фев-18, (105) Noooo В бытность сетевиком всякие файерволы доводилось настраивать, страшнее ip, leap42 (ok), 04:58 , 22-Фев-18, (26) –8 // я надеюсь, тебя уволили и больше ты к сетевому оборудованию не подходишь Справка, пох (?), 09:44 , 22-Фев-18, (41) +2   // плюсую разделение на таблицы и цепочки, а также модульность сделали iptables ст, Аноним (-), 10:12 , 22-Фев-18, (46)   // ipchains, на самом деле iptables скопировал идею, уже годами отлаженную, к сожа, пох (?), 12:56 , 22-Фев-18, (69)   gt оверквотинг удален Да, гибкость и возможности всяких тонких настроек в , Аноним (-), 10:16 , 22-Фев-18, (48)   То есть с zbfw ты разобраться так и не смог Да и если ты путаешь в одну кучу zb, Pofigist (?), 10:45 , 22-Фев-18, (53) –1   ну-ну давайте изобразите одним правилом разный набор действий на 4 src ip , DPDKguy (?), 12:26 , 22-Фев-18, (59)   // угу сэкономим несколько строк в конфиге и получим нечитаемое месиво , Аноним (-), 12:38 , 22-Фев-18, (64)   отлично ваш вариант напомню, что у нас 4к адресов ок, префиксов и для каждого, DPDKguy (?), 12:48 , 22-Фев-18, (67)   покажите Я хочу эту образцовую глупость увидеть адреса не показывайте, не хочу, пох (?), 12:59 , 22-Фев-18, (73)   Ну на самом деле может быть 4к _разных_ инспектов Но таки да - глупость ра, Pofigist (?), 13:03 , 22-Фев-18, (77)   https wiki nftables org wiki-nftables index php Dictionaries, DPDKguy (?), 14:00 , 27-Фев-18, (166)   можно начать с простого 4k адресов из какой-нибудь 10 8 и такое же количество п, DPDKguy (?), 14:15 , 27-Фев-18, (167)   Ну расскажи по 4к разных action Не умете структурировать задачу Ваши проблемы, Pofigist (?), 13:00 , 22-Фев-18, (75)   увольняют и не подпускают к сетевому оборудованию клоунов, которые isr к фаервол, juniper рулит (?), 12:50 , 22-Фев-18, (68) –1   // Стандартный компонент isr - zbfw, рассказать как расшифровывается сия аббревиату, Pofigist (?), 12:58 , 22-Фев-18, (71)   а банальнейший nbar мы как iptables ами будем имитировать - цепочку u32 на кажды, пох (?), 13:04 , 22-Фев-18, (78)   Формально nbar - абсолютно отдельная фича, никак не привязанная к ipfw, что разу, Pofigist (?), 13:18 , 22-Фев-18, (84)   Бро, дай я тебя обниму Вынуждено приходится настраивать кучу легаси на ipfw с 1, Аноним (-), 02:05 , 24-Фев-18, (143)   Какой нахрен ты сетевик, если даже примитивный iptables ниасилил D От настрой, pavlinux (ok), 03:40 , 23-Фев-18, (123) –1 Какую задачу решает bpfilter, заменяя iptables и используя правила iptables Щоб, Аноним (-), 08:30 , 22-Фев-18, (34) // Там же написано у вас нет гемора с iptables, будет , An (??), 08:35 , 22-Фев-18, (35) +5 // Потому что будет гемор с bpfilter Логично , Аноним (-), 12:59 , 22-Фев-18, (72) +1 нет, щоб пропихнуть в ведро эту поделку, а потом радостно клепать интуитивноприя, пох (?), 09:50 , 22-Фев-18, (42) ух ты, есть же, кто думает пр ообратную совместимость Аргумент весомый, однако Р, Аноним (-), 10:16 , 22-Фев-18, (49) А что мешает сейчас дополнить этот API соответстующими возможностями , Аноним (-), 10:40 , 22-Фев-18, (52) И стоило переводить это 1 Со времён 2 4 iptables модули сетевых фильтров могут , Ne01eX (ok), 11:01 , 22-Фев-18, (54) +2 // стоило - надо ж заранее готовить запасной аэродром э типа, в 2 2 вообще-то бы, пох (?), 13:09 , 22-Фев-18, (82) +1 // емнип, в 2 2 для ipchains были nat-хелперы, но не полноценные модули, как у ipta, Аноним (-), 13:38 , 22-Фев-18, (85) // да и ipchains так себе был - очень мало функционала даже tcp режектить не умел , Аноним (-), 13:39 , 22-Фев-18, (87) Типовая задача - некая IDS обнаруживает аномалиb и дает FW команду блокировать а, Pofigist (?), 13:39 , 22-Фев-18, (86) // ipset, Аноним (-), 13:47 , 22-Фев-18, (88) Разумеется IDS и FW работают на разных машинах И не на одной , Pofigist (?), 14:24 , 22-Фев-18, (91) ну напиши себе мега-api, которое будет через libastral передавать эту информацию, пох (?), 20:58 , 22-Фев-18, (111) +2 Я ждал этого ответа Еще раз - там не 2 сарвера, один с IDS, другой с FW - там и, Pofigist (?), 11:10 , 23-Фев-18, (126) +2 Пока ты выглядишь как диванный аналитик копипастивший тролльные фразочки Вчера б, pavlinux (ok), 12:53 , 23-Фев-18, (133) Нда у всех гордых админов локалоста есть сугубо неправильное мнение что самая, Pofigist (?), 13:59 , 23-Фев-18, (134) Не, ну конечно с Российским филиалом Horns and hooves Inc тут никто не сравнится, _ (??), 20:38 , 23-Фев-18, (139) Можно логировать пакеты не попавшие в правила Юзерспейсная программа вполне сп, ПавелС (ok), 17:31 , 24-Фев-18, (150) ping -c1 -p 0xdeadbeef 192 168 0 FW Надеюсь обработчик ICMP меток осилишь напис, pavlinux (ok), 03:55 , 23-Фев-18, (124) +3 Злой ты Хотя тяпница и праздник, когда галифе пропей, но , _ (??), 20:39 , 23-Фев-18, (140) Му-ха-ха, с-оптимизировал продай в сразу - пропей , _ (??), 20:41 , 23-Фев-18, (141) вероятно, да, один из немногих хороших способов применения этой фигни Хотя я, к, пох (?), 20:50 , 22-Фев-18, (110) Не бывает хороших хостов - кругом враги До-да - любой хост можно скомпрометиров, Pofigist (?), 11:57 , 23-Фев-18, (130) Вот Нужен просто компилятор привычных правил iptables nft в bpf плюс возможност, amonymous (?), 11:32 , 22-Фев-18, (57) 2018, а фаерволлы до сих пор не умеют в правила per file и per process без косты, Аноним (-), 14:11 , 22-Фев-18, (89) –2 // не осилил - так и скажи, Аноним (-), 14:20 , 22-Фев-18, (90) // если Вы осилили - примеры в студию пожалуйста Единственный способ оградить отде, Аноним (-), 14:40 , 22-Фев-18, (93) // Дали им неймспесы сетевые 8212 нет, не хотим Хотим страдать Ну страдайте, ч, Аноним (-), 23:57 , 22-Фев-18, (116) еще раз - как это решает проблему с запуском гуевого софта от пользователя , Аноним (-), 12:21 , 23-Фев-18, (131) Так напиши свою запускалку, чтоб запускала файл в определенном неймспейсе И пус, КО (?), 11:07 , 26-Фев-18, (160) Честно пытался, но нишмог, да Меня даже не удивляет, что воз и ныне там В IT во, Аноним (-), 15:25 , 22-Фев-18, (95) –4 потому что как в 78м не было в ip пакете, нипаверишь, ну никаких указаний какому, пох (?), 20:39 , 22-Фев-18, (109) // gt оверквотинг удален Входящие соединения конечно анонимны, но для этого тогда, ПавелС (ok), 18:14 , 24-Фев-18, (152) Во времена systemd звучит прямо как фантастика, прямо даже удивительно что ещё г, Аноним (-), 14:46 , 22-Фев-18, (94) Не знал, что все так запущено , XoRe (ok), 16:27 , 24-Фев-18, (148) Всё было просто замечательно пока я не дочитал до строчки Харальд Вельте По, mumu (ok), 03:45 , 04-Мрт-18, (170) 1,2,3,4,7,11,12,13,16,18,20,26,34,49,52,54,57,89,94,148,170

Сообщения

[Сортировка по времени | RSS]

	41. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+2 +/–
	Сообщение от пох (?), 22-Фев-18, 09:44
	> Noooo! В бытность сетевиком всякие файерволы доводилось настраивать, страшнее iptables > не было ничего. я надеюсь, тебя уволили и больше ты к сетевому оборудованию не подходишь? Справка: я настраиваю "всякие файрволы" двадцать лет. Включая всякие "next generation" за пару сотенок тысяч зелененьких. Лучше iptables именно с точки зрения того, кто настраивает, ничего не попадалось в принципе. Лучшие из коммерческих решений умели иерархические системы правил (но ни одно не умело полностью отделять nat от forwarding и использовать при этом одни и те же элементы в разных частях фильтра, дальше дерева с ветками у их разработчиков фантазия засбоила, хотя, казалось бы... В лучшем случае что-нибудь одно, и то не до конца.) Пожалуй, опубликую свой топ наиболее уродливых: 1. безусловно и с огромным отрывом - *bsd ipfw. Так обожаемый админами локалхостов за свою "простоту". Распутать эту вермишель когда каналов, линков, уровней доступа становится больше одного они обычно уже сами не могут. 2. (open)bsd pf. Неудачная попытка "а сейчас мы всем покажем как надо". К счастью, сложные конфигурации на нем и не делают. Впрочем, простая внезапно становится сложной, если добавить туда, к примеру, ipsec. Не они одни вступили на эти грабли, но только им нужны были патчи ядра чтобы оно хоть как-то работало. Годами. 3. cisco pix v4 (нигде не используется, но, к сожалению, совместимость конфига сохранилась до 6, а может и до 7, не проверял) conduit. Громадный плоский лист правил, написанных задом-наперед. Удалять из середины можно, заменять нет (то есть даже визуальная структуризация невозможна). 4. cisco isr с ее идиотическими "inside global/outside local", нормально описанными только в документе 92го года, похороненном где-то в недрах сайта (во всяком случае, я его уже очень давно не могу найти) Кто, какой рептилоид вообще до этого додумался? 5. cisco asa - четырехуровневая inside/outside никуда не делась, но хоть синтаксическим сахарком присыпали, большая его часть не используется никем и никогда, но то что осталось, сильно упрощает чтение и понимание, если ты писал это сам. Если альтернативно-одаренный - все, разобраться невозможно, только реконструировать что же он на самом деле хотел и делать заново, правильно. 6. PaloAlto - прекрасная реализация dpi-based firewall совмещенного с бордером (и даже работает), но cli писал рептилоид, для использования непригоден в принципе, только задать начальный адрес, чтоб как-то зайти браузером.  К тому же их принято использовать кластером или вовсе распределенной сетью, а cli об этом вообще не в курсе. gui писал обычный индус, на 30" экране с 12ядерного компьютера с последним хромом можно пользоваться. Поэтому они проигрывают все тендеры, требующие визуальной демонстрации - пока их пресейл "щас, щас я покажу как это удобно и просто у нас..ой,не туда мышкой попал, подождите, сейчас, сейчас вот загрузится", продавец чекпоинта уже упрыгал с деньгами. если эту шкалу считать приблизительно линейной - iptables будет где-то на 255м месте.
	Ответить | Правка | Наверх | Cообщить модератору

	46. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+/–
	Сообщение от Аноним (-), 22-Фев-18, 10:12
	плюсую. разделение на таблицы и цепочки, а также модульность сделали iptables столь удобным инструментом. сам поддерживаю оборудование с 10 и более линками, и честно скажу ничего понятнее и юзабельнее не придумали- разделение и реюз правил(цепочки) ОЧЕНЬ РУЛИТ! :)
	Ответить | Правка | Наверх | Cообщить модератору

	69. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+/–
	Сообщение от пох (?), 22-Фев-18, 12:56
	> плюсую. разделение на таблицы и цепочки, а также модульность сделали iptables столь ipchains, на самом деле. iptables скопировал идею, уже годами отлаженную, к сожалению, потеряв как функциональность (некоторые модули так и не были переписаны) так и управляемость (поскольку за два десятка лет так и осталось "TODO" сделать возможность проверки - ну не админы это пишут, не админы) - выиграв в производительности (сегодня уже малоактуально, потому что либо и так хватает, либо этому нужны asics) но лучшего, все равно, по сей день нет.
	Ответить | Правка | Наверх | Cообщить модератору

	48. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+/–
	Сообщение от Аноним (-), 22-Фев-18, 10:16
	>[оверквотинг удален] > Справка: я настраиваю "всякие файрволы" двадцать лет. Включая всякие "next generation" > за пару сотенок тысяч зелененьких. Лучше iptables именно с точки зрения > того, кто настраивает, ничего не попадалось в принципе. Лучшие из коммерческих > решений умели иерархические системы правил (но ни одно не умело полностью > отделять nat от forwarding и использовать при этом одни и те > же элементы в разных частях фильтра, дальше дерева с ветками у > их разработчиков фантазия засбоила, хотя, казалось бы... В лучшем случае что-нибудь > одно, и то не до конца.) > если эту шкалу считать приблизительно линейной - iptables будет где-то на 255м > месте. Да, "гибкость" и возможности всяких "тонких" настроек в сетевой подсистеме Linux и iptables просто поражает. Спасибо сообществу за такие хорошие мысли. К Вам будет одна просьба, с высоты ваших знаний в этих вопросах (понимаю, что вопрос очень противоречивый, но это не для дискуссии, а как Ваше личное авторитетное мнение), посоветуйте что нибудь из того что можно поставить командой apt-get в Debian, но такое, чтобы совмещало гибкость и простоту настройки (короче нижнюю часть списка в студию ;). Please.
	Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

	53. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	–1 +/–
	Сообщение от Pofigist (?), 22-Фев-18, 10:45
	То есть с zbfw ты разобраться так и не смог? Да и если ты путаешь в одну кучу zbfw и asa, а ты - путаешь, то надеюсь что ты 20 лет настраиваешь фаерволы исключительно на стендах...
	Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

	59. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+/–
	Сообщение от DPDKguy (?), 22-Фев-18, 12:26
	> Справка: я настраиваю "всякие файрволы" двадцать лет. Включая всякие "next generation" > за пару сотенок тысяч зелененьких. Лучше iptables именно с точки зрения > того, кто настраивает, ничего не попадалось в принципе. ну-ну. давайте изобразите одним правилом разный набор действий на 4 src ip.
	Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

	64. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+/–
	Сообщение от Аноним (-), 22-Фев-18, 12:38
	угу сэкономим несколько строк в конфиге и получим нечитаемое месиво.
	Ответить | Правка | Наверх | Cообщить модератору

	67. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+/–
	Сообщение от DPDKguy (?), 22-Фев-18, 12:48
	> угу сэкономим несколько строк в конфиге и получим нечитаемое месиво. отлично. ваш вариант? напомню, что у нас 4к адресов(ок, префиксов) и для каждого свой action
	Ответить | Правка | Наверх | Cообщить модератору

	73. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+/–
	Сообщение от пох (?), 22-Фев-18, 12:59
	>> угу сэкономим несколько строк в конфиге и получим нечитаемое месиво. > отлично. ваш вариант? напомню, что у нас 4к адресов(ок, префиксов) и для > каждого свой action покажите. Я хочу эту образцовую глупость увидеть. (адреса не показывайте, не хочу. 4k индивидуальных, _разных_ action в студию! ;)
	Ответить | Правка | Наверх | Cообщить модератору

	77. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+/–
	Сообщение от Pofigist (?), 22-Фев-18, 13:03
	>>> угу сэкономим несколько строк в конфиге и получим нечитаемое месиво. >> отлично. ваш вариант? напомню, что у нас 4к адресов(ок, префиксов) и для >> каждого свой action > покажите. Я хочу эту образцовую глупость увидеть. > (адреса не показывайте, не хочу. 4k индивидуальных, _разных_ action в студию! ;) Ну на самом деле может быть 4к _разных_ инспектов... :) Но таки да - глупость раз, человек немного путается в вопросе - два. Типичные последствия обученbя сетям в линаксе, а защите оных - на примере iptables :)
	Ответить | Правка | Наверх | Cообщить модератору

	166. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+/–
	Сообщение от DPDKguy (?), 27-Фев-18, 14:00
	>>> угу сэкономим несколько строк в конфиге и получим нечитаемое месиво. >> отлично. ваш вариант? напомню, что у нас 4к адресов(ок, префиксов) и для >> каждого свой action > покажите. Я хочу эту образцовую глупость увидеть. > (адреса не показывайте, не хочу. 4k индивидуальных, _разных_ action в студию! ;) https://wiki.nftables.org/wiki-nftables/index.php/Dictionaries
	Ответить | Правка | К родителю #73 | Наверх | Cообщить модератору

	167. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+/–
	Сообщение от DPDKguy (?), 27-Фев-18, 14:15
	> (адреса не показывайте, не хочу. 4k индивидуальных, _разных_ action в студию! ;) можно начать с простого: 4k адресов из какой-нибудь 10/8 и такое же количество публичных адресов. и вот для каждого надо прописать nat.
	Ответить | Правка | К родителю #73 | Наверх | Cообщить модератору

	75. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+/–
	Сообщение от Pofigist (?), 22-Фев-18, 13:00
	Ну расскажи по 4к разных action... Не умете структурировать задачу? Ваши проблемы! :)
	Ответить | Правка | К родителю #67 | Наверх | Cообщить модератору

	68. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	–1 +/–
	Сообщение от juniper рулит (?), 22-Фев-18, 12:50
	увольняют и не подпускают к сетевому оборудованию клоунов, которые isr к фаерволам причисляют
	Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

	71. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+/–
	Сообщение от Pofigist (?), 22-Фев-18, 12:58
	Стандартный компонент isr - zbfw, рассказать как расшифровывается сия аббревиатура? И кстати - вполне себе фаерволл. Ну достаточно базовый, не продвинутый... на уровне iptables
	Ответить | Правка | Наверх | Cообщить модератору

	78. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+/–
	Сообщение от пох (?), 22-Фев-18, 13:04
	> Стандартный компонент isr - zbfw, рассказать как расшифровывается сия аббревиатура? > И кстати - вполне себе фаерволл. Ну достаточно базовый, не продвинутый... на > уровне iptables а банальнейший nbar мы как iptables'ами будем имитировать - цепочку u32 на каждый напишем? Бррр... (нет, если аккуратно, оно даже будет еще читаемо) "достаточно базовый" - в смысле, не "ng", да, не application-detection-based. Ну так их, работающих, таких всего два (держатся на прикованных цепью к рабочему месту индусах, по понятным причинам). Остальное имитации за (сравнимые) невменяемые деньги.
	Ответить | Правка | Наверх | Cообщить модератору

	84. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+/–
	Сообщение от Pofigist (?), 22-Фев-18, 13:18
	>> Стандартный компонент isr - zbfw, рассказать как расшифровывается сия аббревиатура? >> И кстати - вполне себе фаерволл. Ну достаточно базовый, не продвинутый... на >> уровне iptables > а банальнейший nbar мы как iptables'ами будем имитировать - цепочку u32 на > каждый напишем? Бррр... (нет, если аккуратно, оно даже будет еще читаемо) > "достаточно базовый" - в смысле, не "ng", да, не application-detection-based. Ну так > их, работающих, таких всего два (держатся на прикованных цепью к рабочему > месту индусах, по понятным причинам). Остальное имитации за (сравнимые) невменяемые деньги. Формально nbar - абсолютно отдельная фича, никак не привязанная к ipfw, что разумеется не отрицает возможности (и нужности) их совместного использования. В терминах линакса - надо поставить и настроить LibreNBARd ибо OpenNBARd имеет несовместимую лицензию и кучу дырок :)
	Ответить | Правка | Наверх | Cообщить модератору

	143. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+/–
	Сообщение от Аноним (-), 24-Фев-18, 02:05
	> 1. безусловно и с огромным отрывом - *bsd ipfw. Так обожаемый админами локалхостов за свою "простоту". Распутать эту вермишель когда каналов, линков, уровней доступа становится больше одного они обычно уже сами не могут. Бро, дай я тебя обниму. Вынуждено приходится настраивать кучу легаси на ipfw с 1) ipsec + gif-туннели, 2) 2+ внешними каналами, 3) локалкой и куцым dmz, 4) nat'ом наружу 5) кое-где nat'ом внутрь. ...и всё это одновременно. Это ад, бро. Особенно если учесть, что в некоторых случаях, пакеты out в туннель через фаервол не проходят в принципе. (https://forums.freebsd.org/threads/solved-ipfw-not-matching-.../). Про "solved" - врут, есть только неофициальный полурабочий патч: "This one doesn't resolve it correctly, i.e. not all ipsec packets are captured. Furthermore the captured packets have both directions (in and out)"
	Ответить | Правка | К родителю #41 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема