Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Выполнено портирование ipfw и dummynet для Linux, opennews (??), 22-Июн-09, (0) [смотреть все] +1 а зачем им делать нечего , Аноним (-), 23:07 , 22-Июн-09, (1) –2 // Затем, что ipfw - мощнейший инструмент хотя его гибкость вызывает сложность в п, Дмитрий Ю. Карпов (?), 23:11 , 22-Июн-09, (3) –1 // iptables -j QUEUE или NFQUEUEЭто, конечно, не отменяет преимуществ ipfw, про, FrBrGeorge (ok), 00:29 , 23-Июн-09, (9) +5 Вы с айпитаблесами не попутали Они могут почти все, но синтаксис чем-то напомина, User294 (ok), 06:57 , 23-Июн-09, (26) // Синтаксис может быть и не очень приятен, зато семантика гораздо лучше, чем у ipf, www2 (??), 07:10 , 23-Июн-09, (30) –1 Ну, привыкнуть можно А если влом - ну так можно скопипастить или генератором , User294 (ok), 07:43 , 23-Июн-09, (39) –2 У User294 очередлой линупсячий понос наступил Пример из жизни - Изобразите на , _umka_ (??), 08:09 , 23-Июн-09, (42) –1 Добавляем правила огранечения по меткам Далее средствами iptables ставим эти ме, sauron (ok), 08:20 , 23-Июн-09, (45) +1 ipfw add pipe tablearg all from table 1 to anyи илиipfw pipe 1 config mask , nuclight (??), 08:48 , 23-Июн-09, (51) +1 А теперь вложенные хеш-фильтры И да еще как мне там дисциплины крутить Использ, sauron (ok), 14:09 , 23-Июн-09, (114) +2 tc qdisc add dev eth1 root handle 1 htb default 10 tc c, zmc (?), 08:58 , 23-Июн-09, (55) +1 Как только велосипед сможет покрыть возможности и комфорт автомобиля, тогда и по, www2 (??), 12:36 , 23-Июн-09, (104) +2 можешь как-то аргументировать , leshiy.by (?), 00:07 , 25-Июн-09, (233) +1 Больше функций - больше рычагов управления ими Примеры мотоцикл - легковой авт, www2 (??), 06:56 , 25-Июн-09, (236) летать на автомобиле сложнее чем на самолёте, любитель метафор , leshiy.by (?), 18:14 , 25-Июн-09, (245) +1 Про айпитаблесы он все правильно говорит Геморройны в управлении Но умеют дофига, User294 (??), 23:41 , 25-Июн-09, (252) –1 Я не совсем понимаю как вы предлагаете сравнивать пакетый фильтр с связкой пакет, _umka_ (??), 08:01 , 23-Июн-09, (41) –3 Уважаемый _umka_, мне кажется вы че то напутали, шейпинг имеет смысл только на и, zmc (?), 08:15 , 23-Июн-09, (44) +2 Еще один, не знающий, как работает TCP Ситуация домашний сервер, который NAT д, nuclight (??), 09:15 , 23-Июн-09, (61) +1 Будьте любезны не тыкать мне Правила хорошего тона в общении еще не кто не отме, zmc (?), 09:28 , 23-Июн-09, (65) +1 Я вам пока еще не тыкал, и вообще веду себя более корректно, чем ваш уровень зна, nuclight (??), 09:49 , 23-Июн-09, (75) согласена то некоторые тут уверяют, что шейпить входящий траффик нельзя , Осторожный (ok), 14:46 , 23-Июн-09, (115) Ну зашейпил ты входящий канал, а там 99 флуда Буфер переполнился, полезные пак, www2 (??), 14:55 , 23-Июн-09, (118) Что есть флуд на входящем канале - конкретнее Телепат Кто тебе сказал, что не б, Осторожный (ok), 15:09 , 23-Июн-09, (120) как пример выше - фикция виртуальный роутер - уже внутри сети с таким же успех, vitek (??), 15:20 , 23-Июн-09, (123) Ну например у тебя NAT-роутер Изнутри наружу установлено несколько соединений , www2 (??), 16:00 , 23-Июн-09, (129) Эмммм А ты firewall nat вообще настраивал хоть раз в жизни Потому как если наст, Осторожный (ok), 21:54 , 23-Июн-09, (156) Да что вы говорите А я всю жизнь думал что сначала вам по вашему каналу пакеты в, User294 (??), 22:43 , 23-Июн-09, (171) –1 Какие пакетики на закрытый TCP-порт Да еще чтобы траффика было много Если это , Осторожный (ok), 08:25 , 24-Июн-09, (183) +1 Обычные С технической точки зрения - всем глубоко похрену что там шлется в вашу , User294 (??), 18:04 , 24-Июн-09, (224) –1 Всё-таки вам очень тяжело объяснить очевидное Хорошо, попробуем описать ситуацию, www2 (??), 07:22 , 24-Июн-09, (178) –1 Да, действительно, очень тяжело объяснять очевидное, когда собеседник имеет очен, nuclight (??), 12:50 , 24-Июн-09, (192) +1 Как же он рассортирует пакеты по выходным буферам, если решение о том, по какому, www2 (??), 12:58 , 24-Июн-09, (194) Уважаемый www2, можно я обьясню DВидите ли в чем дело, просто nuclight уже осоз, zmc (?), 13:37 , 24-Июн-09, (202) дык и нельзя объем входящего трафика всё равно этим не ограничешь сколько из вн, vitek (??), 15:12 , 23-Июн-09, (122) –1 Картина маслом я шлю вам SYN пакеты или какие угодо иные пакеты долетающие до , User294 (??), 17:50 , 23-Июн-09, (146) –1 Мде Благородный дон, если бы весь трафик состоял из атак то может быть ты бы и, Одмин (?), 18:45 , 23-Июн-09, (147) +1 больша часть трафа - http и иже с ним толку что он tcp соединение устанавлива, vitek (??), 19:03 , 23-Июн-09, (149) –1 Действительно, прекращайте С понятием slow start в tcp вы явно не знаком, nuclight (??), 12:53 , 24-Июн-09, (193) +1 когда ж ты угомонишься то ну пролетел ты, с кем не бывает -D, vitek (??), 14:52 , 24-Июн-09, (214) Есть одна проблема - все это допускает что все ремотные юзеры белые, пушистые и , User294 (??), 18:20 , 24-Июн-09, (226) –1 Проблем нет ровно до тех пор пока удача улыбается вам лицом А если повернетс, User294 (??), 22:12 , 23-Июн-09, (162) –1 И пров тоже не поможет потомукак его канал тоже флудом забит , Хм... (?), 21:24 , 24-Июн-09, (229) +1 Забить прововские каналы флудом труднее чем одну тощую соску Которую обычно и хо, User294 (??), 23:39 , 25-Июн-09, (251) А я что где-то говорил, что нельзя за-DDOS-ить роутер , Осторожный (ok), 21:58 , 23-Июн-09, (158) Это строго говоря не ддос сие не обязано быть распределенной атакой, ни даже sy, User294 (??), 22:20 , 23-Июн-09, (167) Вот только блаародный дон упускает несколько моментов 1 В природе есть не то, User294 (ok), 14:54 , 23-Июн-09, (117) Ну и Протоколы приложения, которым не пофиг, организуют свои собственные мех, nuclight (??), 13:28 , 24-Июн-09, (198) Допустим есть VoIP Как правило - UDP Ему не пофиг латентность и потери пакетов И, User294 (ok), 15:21 , 24-Июн-09, (217) Блин модераторы зачем пост зарезали там не так много матов было - Для особо упр, zmc (?), 18:45 , 23-Июн-09, (148) +1 Ну не понимает чувак что в общем случае ремота не обязана быть кооперативной и и, User294 (??), 22:56 , 23-Июн-09, (172) +1 Ага, то есть вы предлагаете шейпить ответные ACK и от клиента к отправителю Заг, nuclight (??), 13:17 , 24-Июн-09, (196) +1 Я конечно не такой умный как Но вот в связке iptables iproute tc , у меня бо, zmc (?), 14:17 , 24-Июн-09, (210) –1 Единственный способ контролировать вход это грамотно резать выход, а TCP сам вы, Gra2k (?), 07:45 , 25-Июн-09, (239) +1 А что вас поразило, то, что мы косвено можем контролировать вход балансируя выхо, zmc (?), 09:07 , 25-Июн-09, (240) –1 Вы уж тогда определитесь косвенно или единственный способ В любой книге написан, Gra2k (?), 20:17 , 25-Июн-09, (246) +1 Это вы о чем, мы с вами говорим совершенно о разных вещах, не поленитесь перечет, zmc (?), 04:08 , 26-Июн-09, (253) –1 Перестаньте гнать пургу и ознакомьтесь со схемой iptables Ознакомьтесь с поняти, www2 (??), 12:31 , 23-Июн-09, (103) –1 Причем здесь iptables, mangle, OUTPUT, FORWARD Речь идет про ipfw С ipfw сделаю, Fantomas (??), 16:40 , 23-Июн-09, (136) обратно отправишь типа - никого нет дома, заберите назад -Dв любом случае, пр, vitek (??), 17:04 , 23-Июн-09, (143) –1 Пожалуется в ООН наверное - вон та нехорошая ремота наплевала на мои тщетные по, User294 (??), 22:29 , 23-Июн-09, (170) –1 Если машина - только роутер, и всё - то да Но ipfw может защищать и регулировать, Freebsdun (?), 23:24 , 24-Окт-10, (262) Шейпер можно ставить только на исходящий трафик Любые вещи мы повесили фильтр н, sauron (ok), 08:22 , 23-Июн-09, (46) –1 Бред Шейпер нужен там, где необходимо резать канал на полосы пропускания с соотв, iZEN (ok), 08:58 , 23-Июн-09, (56) +1 Блин да скоко вам обьеснять мы можем контролировать шейпером тока НАШ ИСХОДЯЩИЙ , zmc (?), 09:14 , 23-Июн-09, (60) +2 Типичное заблуждение, входящий TCP трафик очень хорошо шейпится за счет удержива, Аноним (-), 09:26 , 23-Июн-09, (64) +2 А как это сделать с помощью tc и pipe в dummynet , zmc (?), 09:30 , 23-Июн-09, (68) –1 При условии что ремота - кооперативна, а не просто срет в ваш адрес пакетами, по, User294 (ok), 15:09 , 23-Июн-09, (121) –1 т е другими словами, тотже эффект - шейпим исходящий трафик для внутренней сети, vitek (??), 15:36 , 23-Июн-09, (124) –1 А если он шакал, не дал админу пароль на торрент , Fantomas (??), 16:52 , 23-Июн-09, (141) –1 хреновый админ тогда однако у Вас же в бзде дерэйс есть там даже пароли на ssh , vitek (??), 19:07 , 23-Июн-09, (150) –1 Элементарно Режешь сразу после ната , Fantomas (??), 16:49 , 23-Июн-09, (139) –1 Ха-ха, вы снаала получаете пакеты а потом можете их прибить, отполисовать и проч, User294 (??), 18:57 , 24-Июн-09, (227) –1 Поясняю в случае исходящего трафика у вас есть бак с краниками и соотвественно в, sauron (ok), 14:05 , 23-Июн-09, (113) –1 Ну что же, если вы использовали такую аналогию, то сами подставились, я не винов, nuclight (??), 13:01 , 24-Июн-09, (195) +2 Аналогия не верна и всё дальнейшее - чушь Это ещё могло бы подойти для описания, www2 (??), 13:25 , 24-Июн-09, (197) –1 И что характерно у этих упёртых получается Как ни странно входящие шейперы раб, Аноним (-), 16:02 , 25-Июн-09, (244) +1 Вы забыли одну вещь Краник 1 находится у провайдера, а не у вас крутить вы его , sauron (ok), 13:42 , 24-Июн-09, (204) –1 Да-дад, идите учите Ситуация наоборот верна, любой исходящий можно заменить в, nuclight (??), 09:22 , 23-Июн-09, (63) +1 gt оверквотинг удален На самом деле Вы сами предложили написать тоже самое, н, KO (?), 09:30 , 23-Июн-09, (67) –1 Например, tablearg, несколько разных тегов на пакете одновременно, OR-блоки внут, nuclight (??), 08:46 , 23-Июн-09, (50) +1 А что есть IPT http en wikipedia org wiki IPT, Осторожный (ok), 14:49 , 23-Июн-09, (116) +1 Навскидку только ipfw, как просили - Таблицы адресов а не таблицы правил с ч, Spase (?), 09:09 , 23-Июн-09, (59) +1 Ну, вообще-то оно нынче уже умеет указывать номер правила в подцепочке -I, --ins, nuclight (??), 09:29 , 23-Июн-09, (66) Таблицы адресов присутствуют уже с полгода Этого не помню, возможно и нет Весьма, KO (?), 09:38 , 23-Июн-09, (70) –1 А чем таблицы адресов отличаются от ipset , piavlo (?), 10:20 , 23-Июн-09, (80) Отсутствием tablearg Опять же, не исключаю, что уже сделали Правда, с трудом п, Spase (?), 11:08 , 23-Июн-09, (88) skipДа, видимо, отстал от жизни , Spase (?), 11:12 , 23-Июн-09, (89) –1 Это не то Во-первых, не может быть нескольких правил под одним и тем же номером, Spase (?), 11:28 , 23-Июн-09, (92) Вы сам его привели iptables iproute2 tc вместо 1го файла с приятным и понятным, Ыку (?), 11:43 , 23-Июн-09, (94) +1 Ясно, преимуществ нет , www2 (??), 12:40 , 23-Июн-09, (105) нужное дело делают это не зоопарк, а расширение возможностей выбор каждый сдел, div (??), 23:12 , 22-Июн-09, (4) +2 Лучшеб IMQ уже в ядро внесли совместными усилиями А так без IMQ согласен вещь о, chuvy (??), 13:23 , 25-Июн-09, (241) +1 Лучше бы PF портировали , kukulkan (??), 23:22 , 22-Июн-09, (5) +2 // что это мешает сделать лично вам , div (??), 23:29 , 22-Июн-09, (6) +3 // он занят писательством комментариев, Dan (??), 00:53 , 23-Июн-09, (13) +3 ipfw проще в настройке, например, минимальный файрволл настраивается в четыре на, Ilya Evseev (?), 23:49 , 22-Июн-09, (7) +2   // Забавно А если iptables этого не умеет, то почему жк он так называется - , Ivan (??), 00:07 , 23-Июн-09, (8) –1   // Потому что он умеет работать с таблицами правил, FrBrGeorge (ok), 00:29 , 23-Июн-09, (10) +2   // да куча уже упрощающих настройщиков для iptables в бубунте вот ufw типа ufw , vitek (??), 00:49 , 23-Июн-09, (12) +2   По недоразумению В линуксе вообще многое называется не так, как в точности след, nuclight (??), 09:09 , 23-Июн-09, (57) +1   // Вообще-то проще его поставить руками , KO (?), 09:43 , 23-Июн-09, (71) –1   Более того http packages ubuntu com search keywords ipsetставится apt-get-ом , KO (?), 09:46 , 23-Июн-09, (74) –1   Ну вот поинтересуйтесь у них, почему у них такой возможности не было, хотя они о, nuclight (??), 09:55 , 23-Июн-09, (77) +1   Радиус кривизны рук наверное большой был, вот и решили не искать лёгких путей , www2 (??), 12:56 , 23-Июн-09, (109) –1   ага, тут выше приводят ссылку по ссылке эмулируют хеш лол вот у них спросите по, eye (?), 11:02 , 23-Июн-09, (86) +1   gt оверквотинг удален Это уже отдаёт самоцелью Даже теоретически не могу пред, www2 (??), 12:55 , 23-Июн-09, (108) –1   gt оверквотинг удален Как раз-таки наоборот Линейная последовательность прави, nuclight (??), 13:47 , 24-Июн-09, (206) +1   Не согласен В iptables не бывает переходов на правило с произвольным номером, т, www2 (??), 14:14 , 24-Июн-09, (209) –1   ну вообще-то ещё есть man iptables -g, --goto chain , vitek (??), 14:49 , 24-Июн-09, (212) –1   1 iptables -P INPUT DROP2 iptables -A INPUT -i lo -j ACCEPT 3 iptables -A INP, poige (ok), 07:20 , 23-Июн-09, (33) –1   // Хотел запостить то же самое , www2 (??), 07:23 , 23-Июн-09, (35) –1   // И echo bingo-bingo тоже -D, poige (ok), 08:29 , 23-Июн-09, (47) –1   Нет, тут я признаю ваше авторство echo bingo-bingo с poige, www2 (??), 12:47 , 23-Июн-09, (106) –1   Поржал, спасибо - , poige (ok), 12:52 , 23-Июн-09, (107) –1   Вы считаете, что это более читаемо, чем приведённый выше пример , none (??), 11:28 , 23-Июн-09, (91) +1   // Вы правда хотите услышать поговорку про то, что мешает плохому танцору, ещё раз , poige (ok), 12:14 , 23-Июн-09, (100) –1   А в чём сакральный смысл этого набора правил Разве не достаточно просто не запу, Дмитрий Ю. Карпов (?), 16:33 , 24-Июн-09, (219) –1   Отличная новость Долгоя этого момента ждал Шейпить в 10 раз проще станет , pipboy_13 (?), 00:40 , 23-Июн-09, (11) // Забыл съесть сникерса Кому оно было надо - уже давно шейпили Не, если у кого рад, User294 (ok), 06:59 , 23-Июн-09, (27) –1 // Я как раз ищу решения для шейпинга, может подскажите http www opennet ru open, TrueHead (ok), 07:28 , 23-Июн-09, (37) +1 УРАААААА ждем теперь PF вот его то особо не хватает , bmnbmn (?), 00:59 , 23-Июн-09, (14) // да сносите вы нафиг свой Linux, сетапте опенка и будет вам еще много много счаст, cyberpokemonus (?), 01:05 , 23-Июн-09, (15) –3 // не ради холивора будет сказано, но как поддерживать то его поставил убунту - вс, bmnbmn (?), 01:32 , 23-Июн-09, (16) +2 // Не вижу смысла в шейпинге на воркстейшене - нет проблем с флешплеером Сама сис, yason (?), 02:24 , 23-Июн-09, (20) –1 Интересная логика А что, в OpenBSD какие-то крутые технологии энергосбережени, User294 (ok), 07:04 , 23-Июн-09, (28) –1 Логика простая - мы, вроде, про серверное применение говорили Нет Но вы подумай, yason (?), 10:26 , 23-Июн-09, (83) +1 Как фанат фанату Или все-таки каждый пользует то, что ему больше нравится и , EVS21 (??), 11:40 , 24-Июн-09, (186) Дебианщики и убунтуйцы это достаточно хитро разруливают До обновления версии сис, User294 (ok), 07:29 , 23-Июн-09, (38) –1 Про убунту не знаю, зато скажу про дебиан Бога ради, даже не пытайтесь рассчиты, www2 (??), 12:21 , 23-Июн-09, (102) –1 Ослиное упрямство не делает чести людям ИМХО Я бы предпочел если бы вместо ослин, User294 (??), 23:15 , 23-Июн-09, (173) –1 А кто будет определять степень и грань разумности Не получится ли так, что кажд, www2 (??), 07:10 , 24-Июн-09, (177) –1 Вы бы предпочли, чтобы с вашей точки зрения упрямство было бы ну и т д Стра, EVS21 (??), 11:44 , 24-Июн-09, (188) fixed, www2 (??), 12:43 , 24-Июн-09, (191) –1 Да, а в итоге все порой приходит к пичканию всех древним софтом for no reasons П, User294 (ok), 14:25 , 24-Июн-09, (211) –1 У nginx вообще до недавних пор стабильных версий не было А это значит, что наря, www2 (??), 14:51 , 24-Июн-09, (213) –1 Вот это - хорошо сказано И именно в этом плане дебиан хорошая система Иногда Да , User294 (??), 23:08 , 25-Июн-09, (248) –1 Если _обычно_ - это уже не подходит На брудершафт не пили, но Вы вызываете у ме, www2 (??), 08:15 , 26-Июн-09, (254) –1 Т е предполагается что для майнтайнера включить мозг при пересборке пакета и пр, User294 (ok), 17:55 , 26-Июн-09, (255) –1 Предполагается что пользователи Debian должны быть на 100 уверены, что изменени, www2 (??), 17:25 , 27-Июн-09, (257) Ну и сколько всего серверов И что нибудь посерьёзней чем почта и proxy есть VPN, Brain (??), 07:45 , 23-Июн-09, (40) А что вы понимаете под посерьёзней У меня всё это для работы стоит 3 сервера , yason (?), 10:35 , 23-Июн-09, (85) OMG Я нашел человека который шейпит на десктопе Или Вам на сервере нужен флешь, тигар (ok), 11:07 , 23-Июн-09, (87) –1 Пипец Во фре порты обновляются можно сказать мнгоновенно Недавно вышел clamav , chuvy (??), 13:40 , 25-Июн-09, (242) Это ж от конкретного ментейнера зависит а не от системы , Аноним (-), 22:16 , 25-Июн-09, (247) +2 Наверное Марта очень красивая, раз смогла возбудить, тфу, побудить Луиджи Риццо , RapteR (ok), 04:11 , 23-Июн-09, (23) +3 М-да Вот что значит, выдернутая из контекста новость Марта провела работу по, northbear (??), 07:05 , 23-Июн-09, (29) +1 // Стоит сторонний софт, который по ssh работает только с ipfw Фряху держали тольк, ImSolo (?), 08:09 , 23-Июн-09, (43) –1 // А что вам мешало создать bash-скрипт sbin ipfw, который быэлементарно синтаксис, morten (?), 08:48 , 23-Июн-09, (52) +1 // Фигня вопрос Тогда может полный синтаксис ipfw сделаешь Там вообще одна полезна, Осторожный (ok), 16:32 , 23-Июн-09, (132) +1 man ipset google linux ipset , poige (ok), 10:01 , 23-Июн-09, (79) –1 // этот способ абсолютно не годится ipset везде надо вручную вкомпиливать в ядро , charon (ok), 11:39 , 23-Июн-09, (93) +1 // Если Вы обновляете ядро на всех доступных машинах почти каждый месяц - Вам дей, Sergey Lychko (?), 11:55 , 23-Июн-09, (97) –1 я обновляю ядро по мере появления критичных ошибок безопасности И такое бывает , charon (ok), 12:02 , 23-Июн-09, (98) +1 Ну, я бы сильно удивился, если бы на Linux е не было вообще никакого аналога Кс, northbear (??), 16:00 , 23-Июн-09, (130) +1 лучше-бы под винду портанули, whip (?), 08:42 , 23-Июн-09, (48) –2 // ipfw под винду УЖЕ НЕСКОЛЬКО ЛЕТ как есть, morten (?), 08:48 , 23-Июн-09, (53) +2 с 2004 года есть http wipfw sourceforge net http sourceforge net project sho, hhg (ok), 10:32 , 23-Июн-09, (84) +1 // 1 Под Windows есть2 но только для до Windows XP включительно на Vista не рабо, Минас (ok), 03:58 , 27-Июн-09, (256) +1 А как на счет совместимости лицензий , sergey (??), 13:40 , 23-Июн-09, (110) // А что с ними Лицензия BSD позволяет брать код и выпускать его под любой лицензи, www2 (??), 13:49 , 23-Июн-09, (111) –1 // Лицензия BSD позволяет брать код, но лицензия на это код остается BSD GPL щики в, oops (?), 07:24 , 24-Июн-09, (179) +1 // Ну-ка ну-ка, попросите у мицросовт BSD-шный сетевой стек из винды Или BSD-код J, www2 (??), 07:40 , 24-Июн-09, (182) –1 Не путаем теплое с мягким Я не говорю про дележку Мой код остается МОИМ куда б, oops (?), 11:43 , 24-Июн-09, (187) +1 И о чём спор Вернитесь по ветке выше к самому первому вопросу А как на счет с, www2 (??), 12:38 , 24-Июн-09, (190) –1 давайте вернемся это в корне неверно , oops (?), 15:13 , 24-Июн-09, (215) +1 зато в хоме отлично отрабатывает , vitek (??), 18:58 , 24-Июн-09, (228) –1 Один раз вы уже попробовали http www opennet ru opennews art shtml num 11844, oops (?), 05:41 , 25-Июн-09, (235) +1 Это называется Тео развонялся Он начал требовать изменения в коде драйвера ath5, www2 (??), 07:31 , 25-Июн-09, (237) +1 Походу кому-то не нравятся последствия выбора лицензии А чем они думали выбирая , User294 (??), 23:37 , 25-Июн-09, (250) Ну да, под почти любой Ограничений в BSDL немного Поэтому можно переиначить си, User294 (??), 23:34 , 25-Июн-09, (249) Вопрос уважаемым знатокам Поставил себе на убунту ipfwнастроил раздачу инета чер, solarw (?), 15:00 , 23-Июн-09, (119) // Если я правильно протелепатировал, в модуле_ipfw по умолчанию deny from any to , Дмитрий Ю. Карпов (?), 16:55 , 24-Июн-09, (220) // ipfw nat смотрите, chuvy (??), 13:54 , 25-Июн-09, (243) +1 Некоторые так возмущаются о портирование будто вас призвали портировать а вы не , Аноним (-), 16:01 , 23-Июн-09, (131) по шейпу вход трафика есть IMQhttp www linuximq net usage html, Аноним (-), 16:46 , 23-Июн-09, (137) вот такое напишите на iptables ipfw add 1 prob 0 01 deny icmp from any to me re, Илья (??), 21:04 , 23-Июн-09, (152) // Вот такое напишите на ipfw2 http www netfilter org projects patch-o-matic pom, poige (ok), 21:25 , 23-Июн-09, (153) Илья мне кажется вы плохо знаете ipfw Обьясню почему Чисто со стороны логики ес, zmc (?), 07:31 , 24-Июн-09, (180) // Так не покатит -- Can t use -i with POSTROUTING но это можно обойти при помощ, poige (ok), 12:03 , 24-Июн-09, (189) у iptables к сожалению нет понятия me , этого наиболее жаль с вероятностями и , Илья (??), 13:33 , 24-Июн-09, (199) Илья я конечно может многово не знаю, но мне вот на вскидку трудно найти примене, zmc (?), 07:35 , 24-Июн-09, (181) // хотя бы аналог me покажите в iptables, Илья (??), 13:34 , 24-Июн-09, (200) // Я не знаю, кто такой me , но цепочки INPUT и OUTPUT - не оно , Andrey Mitrofanov (?), 13:37 , 24-Июн-09, (201) Да без БЭ - -m addrtype --dst-type LOCAL Если вы не осилили man iptables то это , zmc (?), 13:50 , 24-Июн-09, (207) –1 насколько я помню в линуксе собирались переписать iptables ради человеческого си, safron (?), 17:18 , 24-Июн-09, (222) // google ru nftables рассказал бы Вам, что http www netfilter org news html , Andrey Mitrofanov (?), 18:06 , 24-Июн-09, (225) http www rootconf ru papers2009 12352 htmlИнтересная инфа по ipfwДумаю ng пока, tor (??), 10:09 , 30-Июн-09, (259) // Чего ждать-то Каких-то абстрактных вкусностей Линуксоиды решают конкретные прак, www2 (??), 12:48 , 30-Июн-09, (260) Вопрос к знатокам ipfw Можно ли в нем реализовать нечто подобное IPTABLES -A , danmer (ok), 08:57 , 04-Июл-09, (261) 1,5,7,11,14,23,29,48,110,119,131,137,152,222,259,261

Сообщения

[Сортировка по времени | RSS]

7. "> а зачем ? им делать нечего ?"	+2 +/–
Сообщение от Ilya Evseev (?), 22-Июн-09, 23:49
> а зачем ? им делать нечего ? ipfw проще в настройке, например, минимальный файрволл настраивается в четыре наглядных строки: ipfw flush ipfw add check-state ipfw add allow all from me to any out keep-state ipfw add deny all from any to any В ipfw умеет работать с таблицами IP-адресов. Для iptables есть ipset, но большинство дистрибутивных ядер пока собираются без него. Но основное преимущество - это (IMHO!) простота настройки dummynet'a по сравнению с LARTC для массового шейпирования.
Ответить | Правка | Наверх | Cообщить модератору

	8. "> а зачем ? им делать нечего ?"	–1 +/–
	Сообщение от Ivan (??), 23-Июн-09, 00:07
	> В ipfw умеет работать с таблицами IP-адресов. Забавно. А если iptables этого не умеет, то почему жк он так называется? :-)
	Ответить | Правка | Наверх | Cообщить модератору

	10. "> а зачем ? им делать нечего ?"	+2 +/–
	Сообщение от FrBrGeorge (ok), 23-Июн-09, 00:29
	>> В ipfw умеет работать с таблицами IP-адресов. > >Забавно. А если iptables этого не умеет, то почему жк он так >называется? :-) Потому что он умеет работать с таблицами правил
	Ответить | Правка | Наверх | Cообщить модератору

	12. "> а зачем ? им делать нечего ?"	+2 +/–
	Сообщение от vitek (??), 23-Июн-09, 00:49
	да куча уже упрощающих "настройщиков" для iptables. в бубунте вот ufw. типа: ufw deny proto tcp from 2001:db8::/32 to any port 25 ufw allow proto tcp from any to any port 80,443,8080:8090 ufw limit ssh/tcp ufw allow from 192.168.0.0/16 to any app Samba и т.д., которые разворачиваются в несколько сот строчек. и это фронтэнды. они делают своё дело, а iptables - своё.
	Ответить | Правка | Наверх | Cообщить модератору

	57. "> а зачем ? им делать нечего ?"	+1 +/–
	Сообщение от nuclight (??), 23-Июн-09, 09:09
	>> В ipfw умеет работать с таблицами IP-адресов. > >Забавно. А если iptables этого не умеет, то почему жк он так >называется? :-) По недоразумению. В линуксе вообще многое называется не так, как в точности следовало бы. Это таблицы правил, но на самом деле они представляют собой списки правил, а не таблицы. В ipfw список правил никаким специальным словом не называется, а таблицы - это набор IP-адресов/масок, организованных в radix-дерево для быстрого поиска, т.е. O(log N) вместо O(N) для линейного списка правил в цепочке iptables и ipfw. Таблицей же это называется потому, что в ней действительно более одного столбца - кроме адреса еще сопоставлено числовое значение, по которому можно дополнительно проверять совпадение либо использовать для сокращения списка правил: ipfw table 1 add 1.2.3.4 ipfw table 1 add 1.2.3.7 0 ipfw table 1 add 1.2.4.0/24 1 ipfw table 1 add 1.2.5.0/27 1 ipfw table 1 add 1.2.6.0/24 2 ... ipfw add deny all from table(1,2) to www.example.org // 1.2.6.0/24 etc. ipfw add pipe tablearg all from table(1) to any иначе была бы портянка вида ipfw add pipe 1 all from 1.2.4.0/24 to any ipfw add pipe 2 all from 1.2.6.0/24 to any ... В линуксе для этого есть ipset, но он, во-первых, действительно set (множество), а не таблица, ничего не сопоставлено с адресом, во-вторых, не входит в стандартную поставку, из-за чего админам иногда приходится эмулировать его руками (вспоминается DoS башорга).
	Ответить | Правка | К родителю #8 | Наверх | Cообщить модератору

	71. "> а зачем ? им делать нечего ?"	–1 +/–
	Сообщение от KO (?), 23-Июн-09, 09:43
	>в стандартную поставку, из-за чего админам иногда приходится эмулировать его руками >(вспоминается DoS башорга). Вообще-то проще его поставить руками.
	Ответить | Правка | Наверх | Cообщить модератору

	74. "> а зачем ? им делать нечего ?"	–1 +/–
	Сообщение от KO (?), 23-Июн-09, 09:46
	> >>в стандартную поставку, из-за чего админам иногда приходится эмулировать его руками >>(вспоминается DoS башорга). > >Вообще-то проще его поставить руками. Более того: http://packages.ubuntu.com/search?keywords=ipset ставится apt-get-ом.
	Ответить | Правка | Наверх | Cообщить модератору

	77. "> а зачем ? им делать нечего ?"	+1 +/–
	Сообщение от nuclight (??), 23-Июн-09, 09:55
	>>в стандартную поставку, из-за чего админам иногда приходится эмулировать его руками >>(вспоминается DoS башорга). > >Вообще-то проще его поставить руками. Ну вот поинтересуйтесь у них, почему у них такой возможности не было, хотя они о нём знали. Пришлось им руками дерево эмулировать, 256 цепочек по октету IP-адреса.
	Ответить | Правка | К родителю #71 | Наверх | Cообщить модератору

	109. "> а зачем ? им делать нечего ?"	–1 +/–
	Сообщение от www2 (??), 23-Июн-09, 12:56
	>Ну вот поинтересуйтесь у них, почему у них такой возможности не было, >хотя они о нём знали. Пришлось им руками дерево эмулировать, 256 >цепочек по октету IP-адреса. Радиус кривизны рук наверное большой был, вот и решили не искать лёгких путей.
	Ответить | Правка | Наверх | Cообщить модератору

	86. "> Вообще-то проще его поставить руками."	+1 +/–
	Сообщение от eye (?), 23-Июн-09, 11:02
	ага, тут выше приводят ссылку: >Добавляем правила огранечения по меткам. Далее средствами iptables ставим эти метки. >А теперь покажите мне в ipfw организовать хеш-фильтры http://www.opennet.ru/docs/RUS/LARTC/x1661.html по ссылке эмулируют хеш лол. вот у них спросите почему они так делают. наверное по-другому не получается.
	Ответить | Правка | К родителю #71 | Наверх | Cообщить модератору

	108. "> а зачем ? им делать нечего ?"	–1 +/–
	Сообщение от www2 (??), 23-Июн-09, 12:55
	>[оверквотинг удален] >ipfw table 1 add 1.2.5.0/27 1 >ipfw table 1 add 1.2.6.0/24 2 >... >ipfw add deny all from table(1,2) to www.example.org // 1.2.6.0/24 etc. >ipfw add pipe tablearg all from table(1) to any > >иначе была бы портянка вида >ipfw add pipe 1 all from 1.2.4.0/24 to any >ipfw add pipe 2 all from 1.2.6.0/24 to any >... Это уже отдаёт самоцелью. Даже теоретически не могу представить зачем это нужно. А даже если это и нужно, то это как разгребать спагетти бейсика с его goto. >В линуксе для этого есть ipset, но он, во-первых, действительно set (множество), >а не таблица, ничего не сопоставлено с адресом, во-вторых, не входит >в стандартную поставку Специально для вас мини-хау-ту для Debian Lenny: 1. устанавливаем пакеты: # apt-get install ipset # apt-get build-dep netfilter-extensions-source # apg-get install netfilter-extensions-source # cd /usr/src # tar xjf netfilter-extensions.tar.bz2 2. собираем и устанавливаем: # m-a a-i netfilter-extension 3. пользуемся! >из-за чего админам иногда приходится эмулировать его руками >(вспоминается DoS башорга). Кстати, даже для эмуляции у iptables средства не так уж и плохи. Цепочки по сути являются подпрограммами обработки трафика и позволяют писать довольно сложные, но ТЕМ НЕ МЕНЕЕ гораздо более понятные правила, чем конструкции вида >ipfw add pipe tablearg all from table(1) to any
	Ответить | Правка | К родителю #57 | Наверх | Cообщить модератору

	206. "> а зачем ? им делать нечего ?"	+1 +/–
	Сообщение от nuclight (??), 24-Июн-09, 13:47
	>[оверквотинг удален] >>ipfw add pipe tablearg all from table(1) to any >> >>иначе была бы портянка вида >>ipfw add pipe 1 all from 1.2.4.0/24 to any >>ipfw add pipe 2 all from 1.2.6.0/24 to any >>... > >Это уже отдаёт самоцелью. Даже теоретически не могу представить зачем это нужно. >А даже если это и нужно, то это как разгребать спагетти >бейсика с его goto. Как раз-таки наоборот. Линейная последовательность правил - это пачка if'ов и goto. А tablearg - это диспетчеризация вызова функции по указателю. ОДНО правило вместо пачки - это гораздо понятнее и эффективнее. Что же касается того, зачем это нужно - тренируйте воображение, что ли. Одно из применений этой штуки (люди реально пользуются) - есть семейство тарифов (полос), клиентов много, каждый купил один из тарифов, нужно шейпить соответственно. Чтобы не писать по правилу на каждого клиента - мы вгоняем их адреса в таблицу с указанием номера. И всё! >>из-за чего админам иногда приходится эмулировать его руками >>(вспоминается DoS башорга). > >Кстати, даже для эмуляции у iptables средства не так уж и плохи. >Цепочки по сути являются подпрограммами обработки трафика и позволяют писать довольно >сложные, но ТЕМ НЕ МЕНЕЕ гораздо более понятные правила, чем конструкции >вида >>ipfw add pipe tablearg all from table(1) to any Как средство эмуляции оно хуже - внутри подпрограммы поиск всё равно линейный. Очень странно, если вы приводите аналогии из програмирования, и не понимаете, чем одна строка с индексацией по таблице (массиву) лучше и _понятнее_, чем пачка if-else if для каждого варианта значения индекса.
	Ответить | Правка | Наверх | Cообщить модератору

	209. "> а зачем ? им делать нечего ?"	–1 +/–
	Сообщение от www2 (??), 24-Июн-09, 14:14
	>>Это уже отдаёт самоцелью. Даже теоретически не могу представить зачем это нужно. >>А даже если это и нужно, то это как разгребать спагетти >>бейсика с его goto. > >Как раз-таки наоборот. Линейная последовательность правил - это пачка if'ов и goto. Не согласен. В iptables не бывает переходов на правило с произвольным номером, только цепочки - аналог подпрограмм. А вот в ipfw есть skipto - элемент, образующий спагетти. >А tablearg - это диспетчеризация вызова функции по указателю. ОДНО правило >вместо пачки - это гораздо понятнее и эффективнее. А, понятно, теперь до меня дошла семантика правила: >ipfw add pipe tablearg all from table(1) to any Мне показалось это будет просто правило для одного (первого) элемента таблицы, а это оказывается номер столбца. Да, интересная возможность.
	Ответить | Правка | Наверх | Cообщить модератору

	212. "> а зачем ? им делать нечего ?"	–1 +/–
	Сообщение от vitek (??), 24-Июн-09, 14:49
	>Не согласен. В iptables не бывает переходов на правило с произвольным номером, только цепочки - аналог подпрограмм. А вот в ipfw есть skipto - элемент, образующий спагетти. ну вообще-то ещё есть: $ man iptables ................. -g, --goto chain               This  specifies that the processing should continue in a user specified chain. Unlike the --jump option return will not continue processing in this chain but instead in the chain that called us via --jump. но это так, к слову.
	Ответить | Правка | Наверх | Cообщить модератору

	33. "> минимальный файрволл настраивается в четыре наглядных строки:"	–1 +/–
	Сообщение от poige (ok), 23-Июн-09, 07:20
	1) iptables -P INPUT DROP 2) iptables -A INPUT -i lo -j ACCEPT 3) iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 4) echo bingo-bingo
	Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору

	35. "> минимальный файрволл настраивается в четыре наглядных стро..."	–1 +/–
	Сообщение от www2 (??), 23-Июн-09, 07:23
	>1) iptables -P INPUT DROP >2) iptables -A INPUT -i lo -j ACCEPT >3) iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT >4) echo bingo-bingo Хотел запостить то же самое.
	Ответить | Правка | Наверх | Cообщить модератору

	47. ">Хотел запостить то же самое. "	–1 +/–
	Сообщение от poige (ok), 23-Июн-09, 08:29
	И echo bingo-bingo тоже? :-D
	Ответить | Правка | Наверх | Cообщить модератору

	106. ">Хотел запостить то же самое. "	–1 +/–
	Сообщение от www2 (??), 23-Июн-09, 12:47
	>И echo bingo-bingo тоже? :-D Нет, тут я признаю ваше авторство! echo bingo-bingo (с) poige
	Ответить | Правка | Наверх | Cообщить модератору

	107. ">>И echo bingo-bingo тоже? :-D "	–1 +/–
	Сообщение от poige (ok), 23-Июн-09, 12:52
	>Нет, тут я признаю ваше авторство! > >echo bingo-bingo (с) poige Поржал, спасибо. :-)
	Ответить | Правка | Наверх | Cообщить модератору

	91. "> минимальный файрволл настраивается в четыре наглядных стро..."	+1 +/–
	Сообщение от none (??), 23-Июн-09, 11:28
	Вы считаете, что это более читаемо, чем приведённый выше пример??
	Ответить | Правка | К родителю #33 | Наверх | Cообщить модератору

	100. ">Вы считаете, что это более читаемо, чем приведённый выше приме"	–1 +/–
	Сообщение от poige (ok), 23-Июн-09, 12:14
	Вы правда хотите услышать поговорку про то, что мешает плохому танцору, ещё раз? :-)
	Ответить | Правка | Наверх | Cообщить модератору

	219. "> а зачем ? им делать нечего ?"	–1 +/–
	Сообщение от Дмитрий Ю. Карпов (?), 24-Июн-09, 16:33
	> ipfw проще в настройке, например, минимальный файрволл настраивается в четыре наглядных строки: > > ipfw flush > ipfw add check-state > ipfw add allow all from me to any out keep-state > ipfw add deny all from any to any А в чём сакральный смысл этого набора правил? Разве не достаточно просто не запускать ненужных сервисов? Или дело в атаках типа "from me to me in"?
	Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема