Исходное сообщение
"Разработчики Netfilter официально объявили инструментарий ip..." Отправлено нах, 21-Июн-18 23:30
хорошо когда "прод", "ответственность успешно переложена на никого" и т д. А дырки в фильтре за тебя делает докер, да? -i !docker0 -o docker0 -j ACCEPT (не понимаю только, зачем тебе какие-то nft, ты их все равно никогда не видишь) А когда у тебя десяток софтсвитчей (и в мир торчит h323, да, они для того и стоят) - к примеру, уже очень нехорошо (в том числе потому, что при ошибке - LA быстренько разгонится до непотребных значений и контора попадет на очень заметные деньжата). Да, руками, каждый индивидуально (есть, разумеется, общие chain'ы, раздаваемые из svn, но они не главные- клиенты на каждом свои, настройки тоже свои) когда у тебя пара файрволлов периметра сложной сетки - их тоже, внезапно, настраивают индивидуально (а потом еще и траблшутить часто приходится - тоже индивидуально). Впрочем, да, в одном крупном банчке сделали не индивидуально. "мы настройки сделали, закрой, пожалуйста, задачу, kpi падает. А порты? А когда ансибля проползет по всем железкам, тогда и откроются. Нет, ускорить не можем." Ну чо, закрыл - они ж не выбирают чем им пользоваться, за них топ-топ менеджмент уже выбрал. Спрашивать, как они в этой автоматике будут искать ошибку, не стал, за бесполезностью.