Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Новый пакетный фильтр для борьбы с флудом на уровне Linux ядра, opennews (??), 11-Янв-09, (0) [смотреть все] Зачем сокращение такое FF - это Firefox , Аноним (1), 18:49 , 11-Янв-09, (1) // Firefox - Fxдавно уже , Аноним (1), 21:06 , 11-Янв-09, (12) Да http www acronymfinder com FF html, Andrey Mitrofanov (?), 09:39 , 12-Янв-09, (36) мне одному показалось что текст обрывается на полу-слове , Painbringer (?), 18:55 , 11-Янв-09, (2) Попытка содрать связку pf spamd http www onlamp com pub a bsd 2007 01 18 grey, _umka_ (ok), 19:08 , 11-Янв-09, (3) // ага а ещё и добавить , vitek (??), 19:24 , 11-Янв-09, (5) и как поведет себя spamd при 3-4 тыс коннектов к нему , Добрый Дохтур (?), 19:34 , 11-Янв-09, (8) // Не поверите - нормально На работе стоит на машине дуал п3-800 с 512 мегами памя, yason (?), 23:49 , 11-Янв-09, (22) // 10-15 тыс писем в какую единицу времени то в одной маленькой конторе, где я когд, Добрый Дохтур (?), 07:18 , 12-Янв-09, (30) а процент полезной информации , none (??), 10:07 , 12-Янв-09, (37) За час-два Когда как Вот цифири Информация получена скриптиком с calomel org , yason (?), 14:17 , 12-Янв-09, (43) Ну наконец-то А то маршрутизатор D-Link с Linux ом пропускает в первую очередь I, iZEN (ok), 19:20 , 11-Янв-09, (4) // а можно подробней не флуда ради, а образования для , vitek (??), 19:26 , 11-Янв-09, (7)   // Действительно замечал такое, думал что кажется, ан нет, я не один такой ЗЫ Поме, Solo_vrn (?), 19:39 , 11-Янв-09, (9)   // D-Link я конечно вообще за аппаратуру не считаю, но должно же быть объективное, vitek (??), 19:45 , 11-Янв-09, (10)   Запустил параллельно обновление Linux Mint 5 1 - 6 обновление портов FreeBSD, iZEN (ok), 21:33 , 11-Янв-09, (17)   вот это не надо у меня например специально настроено на приоритет винды даже, vitek (??), 22:41 , 11-Янв-09, (18)   D-Link DSL-504TВряд ли Это старенький домашний роутер ADSL провайдерский 128 k, iZEN (ok), 22:55 , 11-Янв-09, (19)   вообще adsl вещь интересная в том плане, что кто первый, тот и папа приходилось , vitek (??), 23:13 , 11-Янв-09, (20)   Вообще, ситуация такая Linux Mint изо-всех сил ломится скачивать бинарные обнов, iZEN (ok), 00:15 , 12-Янв-09, (25)   кстати, а как в pf точнее altq справедливо распределить полосу между нескольким, Добрый Дохтур (?), 07:20 , 12-Янв-09, (31)   Гы В usr share examples pf примерчики глянуть можно , CrazyF (?), 08:36 , 12-Янв-09, (33)   да ну вот есть канал в 10мбит, сеть на 23 Как равномерно распределить полосу, , Добрый Дохтур (?), 16:13 , 12-Янв-09, (46)   Давеча качал фаерфокс под вистой Убиться можно - тормозит адски Скачка заняла по, Ouch (?), 23:50 , 11-Янв-09, (23)   Несколько месяцев назад такая же ситуация была и у меня, но только под WindowsXP, iZEN (ok), 00:23 , 12-Янв-09, (27)   Много лет пользую D-Link 504T Правда вот с прошивкой от McMcc родная прошивка , User294 (ok), 13:25 , 12-Янв-09, (40)   конечно девайс я такой вряд ли найду, но могу предположить из всего того, что В, vitek (??), 13:58 , 12-Янв-09, (42)   а, да ещё многие забывают, что mss можно поставить не только через фаервол ipt, vitek (??), 14:56 , 12-Янв-09, (45)   os fingerprint Я могу, при желании, на Опене настроить pf на неполучение пакето, yason (?), 23:52 , 11-Янв-09, (24)   Подскажите навскидку, возможно ли и каким правилом можно отправить через PF pas, iZEN (ok), 00:29 , 12-Янв-09, (28)   man pf confпоиск по fingerprint дает примеры правил для подобной фильтрации Exam, yason (?), 13:37 , 12-Янв-09, (41)   Да, спасибо Сумел сделать отсылку фингерпринта Linux , Windows Cisco и их, iZEN (ok), 01:37 , 13-Янв-09, (50)   это полная чушь приведите хоть один пример паразитного трафика от линуха tcpd, vitek (??), 02:21 , 13-Янв-09, (51)   Кто кого победил 8212 тот ещё вопрос Когда машины с альтернативными операци, iZEN (ok), 03:43 , 13-Янв-09, (52)   gt оверквотинг удален linux убил локалку -- бред, pavel_simple (ok), 04:24 , 13-Янв-09, (53)   о чем и речь и на вопрос приведите пример этого паразитного трафика получаю во, vitek (??), 08:03 , 13-Янв-09, (54)   Не бред Сегодня снёс к чертям собачьим Linux Mint и на ту же машину установил P, iZEN (ok), 22:34 , 13-Янв-09, (56)   у Вас на adsl стоит линух или для Вас это был секрет и то что я писал пр, vitek (??), 01:55 , 14-Янв-09, (57)   Не к роутеру, как к таковому в локалке он работает фактически как свитч , а к L, iZEN (ok), 02:44 , 14-Янв-09, (58)   passive os fingerprinting можно и в freebsd делать, и в linux, а не только в ope, Добрый Дохтур (?), 07:22 , 12-Янв-09, (32)   DSCP настраивали , gentoouser (?), 14:26 , 12-Янв-09, (44) Нет, Умка Связка pf spamd вполне заменима связкой ipt spamd Которая, кстати гов, Хелагар (ok), 19:25 , 11-Янв-09, (6) // Так, для общего развития Вообще-то pf во Фряхе работает не используя подсистему, xxx (??), 20:28 , 11-Янв-09, (11) // хм а ведь там по-русски написано но ведь Вам и не важно, не так ли , vitek (??), 21:09 , 11-Янв-09, (13) // Важно, на родном языке читать приятней , xxx (??), 00:20 , 12-Янв-09, (26) Jeffrey Merkey случаем не в Intel работает , pavlinux (ok), 21:29 , 11-Янв-09, (16) // Для pavlinux По последним развед данным http www wolfmountaingroup com , srgaz (?), 08:45 , 12-Янв-09, (35) // G Jeffrey Merkey http en wikipedia org wiki Jeff_V _Merkey, Andrey Mitrofanov (?), 10:41 , 12-Янв-09, (38) // Так там написано, что товарищ - порядочный мудак On October 4, 2004, Merkey off, Аноним (-), 11:51 , 12-Янв-09, (39) Так это можно будет использовать параллельно с netfilter iptables, iproute2, ip, Аноним (-), 03:49 , 12-Янв-09, (29) // Можно, тольк ещё сетевуху Intel Gigabit надо купить, где будешь юзать , pavlinux (ok), 20:07 , 12-Янв-09, (49) // Уже прикупил, около ста штук e1000 Все серваки на них Весь мир нах зафаерволлю, Аноним (-), 08:12 , 13-Янв-09, (55) Jeffrey Merke --- красавчег Давно следил за FF, и вот свершилось , srgaz (?), 08:38 , 12-Янв-09, (34) // Захэшировал базу rbl на диске, и фильтровать эти адреса Еще один велосипед , Анонимус (?), 17:31 , 12-Янв-09, (47) // если он это будет делать быстро а есть подозрения, что так , тогда это очень бы, vitek (??), 19:39 , 12-Янв-09, (48) 1,2,3,4,6,16,29,34

Сообщения

[Сортировка по времени | RSS]

	7. "Новый пакетный фильтр для борьбы с флудом на уровне Linux яд..."	+/–
	Сообщение от vitek (??), 11-Янв-09, 19:26
	>А то маршрутизатор D-Link с Linux'ом пропускает в первую очередь IP-пакеты только от Linux-машин а... можно подробней? не флуда ради, а образования для.
	Ответить | Правка | Наверх | Cообщить модератору

	9. "Новый пакетный фильтр для борьбы с флудом на уровне Linux яд..."	+/–
	Сообщение от Solo_vrn (?), 11-Янв-09, 19:39
	> >А то маршрутизатор D-Link с Linux'ом пропускает в первую очередь IP-пакеты только от >Linux-машин > >а... можно подробней? >не флуда ради, а образования для. Действительно замечал такое, думал что кажется, ан нет, я не один такой. ЗЫ: Поменял D-Link на Zyxel, все стало ровно...
	Ответить | Правка | Наверх | Cообщить модератору

	10. "Новый пакетный фильтр для борьбы с флудом на уровне Linux яд..."	+/–
	Сообщение от vitek (??), 11-Янв-09, 19:45
	D-Link я конечно вообще за аппаратуру не считаю, но... должно же быть объективное объяснение? специально... через iptables и прочие извраты я могу представить как это сделать, но чтобы вот так.. на голой машише.... може там ядро проверить/пересобрать?
	Ответить | Правка | Наверх | Cообщить модератору

	17. "Новый пакетный фильтр для борьбы с флудом на уровне Linux яд..."	+/–
	Сообщение от iZEN (ok), 11-Янв-09, 21:33
	Запустил параллельно: * обновление Linux Mint 5.1 -> 6 * обновление портов FreeBSD 7.1-RELEASE Так вот, архивы с исходниками на FreeBSD переставали качаться и скорость скачки быстро понижалась до ~100 байтов в минуту. В это время Linux Mint качал -- дай боже! Вручную отсоединяю патчкорд машины с Linux Mint от ADSL-роутера и как по волшебству скорость закачки архивов на FreeBSD увеличивалась до полной скорости соединения с провайдером. На FreeBSD запущен пакетный фильтр PF с нормализацией всех пакетов на сетевом интерфейсе. На Linux Mint чего-то такого из сетевых экранов специально не настраивалось (похоже, флуд и есть). Вот и решайте про "избирательность" Linux TCP-стека к разным архитектурам.
	Ответить | Правка | Наверх | Cообщить модератору

	18. "Новый пакетный фильтр для борьбы с флудом на уровне Linux яд..."	+/–
	Сообщение от vitek (??), 11-Янв-09, 22:41
	>Вот и решайте про "избирательность" Linux TCP-стека к разным архитектурам. вот это не надо... у меня например специально настроено на приоритет винды (даже ttl там разные) а вот остальное - интересно. как девайс то точно называется? может удастся достать и посмотреть. да и adsl (какой?) - вещь интересная... плавали. знаем... критична к настройкам. особенно на плохих каналах. поставите фриху - может быть с точностью до наоборот.
	Ответить | Правка | Наверх | Cообщить модератору

	19. "Новый пакетный фильтр для борьбы с флудом на уровне Linux яд..."	+/–
	Сообщение от iZEN (ok), 11-Янв-09, 22:55
	>а вот остальное - интересно. >как девайс то точно называется? D-Link DSL-504T >может удастся достать и посмотреть. Вряд ли. Это старенький домашний роутер. >да и adsl (какой?) - вещь интересная... плавали. знаем... критична к настройкам. ADSL провайдерский. 128 kbps. >особенно на плохих каналах. На канал не жалуюсь. >поставите фриху - может быть с точностью до наоборот. Здесь уж приходится выбирать: либо Linux качает, либо FreeBSD.
	Ответить | Правка | Наверх | Cообщить модератору

	20. "Новый пакетный фильтр для борьбы с флудом на уровне Linux яд..."	+/–
	Сообщение от vitek (??), 11-Янв-09, 23:13
	вообще adsl вещь интересная в том плане, что кто первый, тот и папа. приходилось сети объединять.. серьезные.. ряд гипермаркетов. и другого выбора не было. перешел на самбу, чтобы каждый чих контролировать... не решил тогда только печать, если кто в очередь ставит, то в это время все курят (не большое, но..). сейчас бы решил. девайс посмотрю... но что-то совсем маленький (128 kbp). у меня даже в обратку раза в 4 больше было.. 1999-2000 где-то.
	Ответить | Правка | Наверх | Cообщить модератору

	25. "Новый пакетный фильтр для борьбы с флудом на уровне Linux яд..."	+/–
	Сообщение от iZEN (ok), 12-Янв-09, 00:15
	Вообще, ситуация такая: Linux Mint изо-всех сил ломится скачивать бинарные обновления в несколько потоков (при этом можно насчитать от пяти до десятка одновременно открытых соединений в окне обновлений), и быстро отбрасывает соединение (там бинарные пакетики по несколько десятков килобайт быстро скачиваются). FreeBSD качает архивы с исходниками по одному с помощью стандартного fetch. Как только включаю обновление Linux Mint -- всё, на FreeBSD можно вешаться, перезапуск закачки не помогает, и нужно физически отсоединять Linux Mint от роутера. (FreeBSD находится в DMZ роутера.) Чувство такое, что Linux генерирует паразитный трафик, мешающий соединениям с других машин.
	Ответить | Правка | Наверх | Cообщить модератору

	31. "Новый пакетный фильтр для борьбы с флудом на уровне Linux яд..."	+/–
	Сообщение от Добрый Дохтур (?), 12-Янв-09, 07:20
	кстати, а как в pf(точнее altq) справедливо распределить полосу между несколькими ip-адресами?
	Ответить | Правка | Наверх | Cообщить модератору

	33. "Новый пакетный фильтр для борьбы с флудом на уровне Linux яд..."	+/–
	Сообщение от CrazyF (?), 12-Янв-09, 08:36
	>кстати, а как в pf(точнее altq) справедливо распределить полосу между несколькими ip-адресами? > Гы! В /usr/share/examples/pf/ примерчики глянуть можно.
	Ответить | Правка | Наверх | Cообщить модератору

	46. "Новый пакетный фильтр для борьбы с флудом на уровне Linux яд..."	+/–
	Сообщение от Добрый Дохтур (?), 12-Янв-09, 16:13
	>Гы! В /usr/share/examples/pf/ примерчики глянуть можно. да ну? вот есть канал в 10мбит, сеть на /23. Как равномерно распределить полосу, чтобы клиент запустивший торрент не "сожрал" весь доступный канал?
	Ответить | Правка | Наверх | Cообщить модератору

	23. "Новый пакетный фильтр для борьбы с флудом на уровне Linux яд..."	+/–
	Сообщение от Ouch (?), 11-Янв-09, 23:50
	>вот это не надо... у меня например специально настроено на приоритет винды >(даже ttl там разные) Давеча качал фаерфокс под вистой.Убиться можно - тормозит адски.Скачка заняла почти полчаса.Маршрутизаторы вообще киски.А с машин под чем-то иным качается так что глазом не моргнуть.Может дело не в линуксе в длинке а кто-то просто нахимичил в сетевом стеке так что он иногда работает малоэффективно в некоторых условиях?А то сообщения про просадку сети в висте при проигрывании звука бывают например.
	Ответить | Правка | К родителю #18 | Наверх | Cообщить модератору

	27. "Новый пакетный фильтр для борьбы с флудом на уровне Linux яд..."	+/–
	Сообщение от iZEN (ok), 12-Янв-09, 00:23
	>>вот это не надо... у меня например специально настроено на приоритет винды >>(даже ttl там разные) > >Давеча качал фаерфокс под вистой.Убиться можно - тормозит адски.Скачка заняла почти полчаса.Маршрутизаторы >вообще киски. Несколько месяцев назад такая же ситуация была и у меня, но только под WindowsXP SP2 + всё тот же D-Link DSL-504T. Закачивал разные версии Sun JDK и драйвера NVIDIA. Через Firefox и через Download Master одинаково тормозно и бесперспективно. С тех пор никогда ничего не закачиваю через WindowsXP -- это просто невозможно стало -- всё тормозит на "тяжёлых" закачках, скорость скачки падает до нуля в течение пяти минут. FreeBSD на том же соединении не тормозит и спокойно качает многомегабайтные файлы без разрывов и пересоединений. (В роутере прошивку не менял.)
	Ответить | Правка | Наверх | Cообщить модератору

	40. "Новый пакетный фильтр для борьбы с флудом на уровне Linux яд..."	+/–
	Сообщение от User294 (ok), 12-Янв-09, 13:25
	>Несколько месяцев назад такая же ситуация была и у меня, но только >под WindowsXP SP2 + всё тот же D-Link DSL-504T. Закачивал разные >версии Sun JDK и драйвера NVIDIA. Через Firefox и через Download >Master одинаково тормозно и бесперспективно. С тех пор никогда ничего не >закачиваю через WindowsXP -- это просто невозможно стало -- всё тормозит >на "тяжёлых" закачках, скорость скачки падает до нуля в течение пяти >минут. Много лет пользую D-Link 504T. Правда вот с прошивкой от McMcc (родная прошивка извините кривая: лапухи из длинка не умеют параметры NAT ставить в соответствие с имеющейся у девайса оперативой, они такие не единственные "красавцы" кстати).Работает как часы и строго говоря - не тормозит.Ни в XP SP2 не тормозило, ни в Linux.Правда сам по себе XP SP2 потенциально куда тормознее из-за лимита на half-open соединения. >FreeBSD на том же соединении не тормозит и спокойно качает >многомегабайтные файлы без разрывов и пересоединений. До кучи у него наверняка нет лимита на half-open число соединений что ускорит иной раз скачку. >(В роутере прошивку не менял.) А это напрасно.Я как-то развлекался флудом в адрес роутера(со стороны LAN): ~1000 TCP соединений за 1 присест + несколько тысяч UDP датаграмм (все это на разные адреса в виде интенсивного флуда, должно проходить через длинковский нат) не просто сорвали крышу девайсу.Он не только ребутнулся\сглючил как полагается но до кучи еще и слетел на дефолты, включая ессно и логин (т.е. по сути я порутал свой же девайс - административный доступ с дефолтными параметрами, правда логин на интернет тоже слетает ессно).Макаки из длинка оказывается засунули систему в виде "как есть".Не утруждаясь какой-то адаптацией под low-memory conditions хотя делов то - параметры айпитаблесу подкрутить чтобы он не пытался отращивать таблицы трекинга соединений больше чем у девайса есть оперативы (коей у длинка всего 16 мегз из которых бОльшая часть уже занята при старте и нет свопа).Потом пробовал такое же в адрес прощивки с McMcc - ему просто пофиг.Несмотря на идентичность настроек.Даже осел работающий с 1000 соединений (разрешено до 400 соединений в секунду!) несколько дней не вызывает никаких проблем (иногие роутеры от такого очень любят глючить по все той же причине - таблица натинга имеет свойство оказываться крупнее доступной мизерной оперативки если производитель ступил и не подкрутил дефолты под особо-куцую оперативку). Отсюда вывод: длинковские железки могут вызывать разные впечатления.Само по себе железо сделано достаточно неплохо, а вот софт в них пихается удивительно безбашенно и без должной адаптации... особенно позорен тот факт что рецепт адаптации гуляет много лет в интернете (как известно, спасение утопающих - дело рук самих утопающих) и вообще-то удивительно прост и логичен: максимальное количество отслеживаемых соединений\ассоциаций должно ставиться с учетом доступной оперативки а чтобы не упираться в этот лимит время трекинга должно ограничиваться разумной величиной.Иначе рано или поздно девайс или начнет испытывать проблемы из-за выюзывания всей оперативки или юзеры начнут замечать проблемы с NAT когда у него закончится лимит на ассоциации (можут случиться при большом числе соединений, длинном времени трекинга и куцей оперативке).Как пример: у одного небезызвестного вендора по дефолту фирмваре зачем-то трекит состояния соединений с таймаутом ... в НЕДЕЛЮ.Понятно что за НЕДЕЛЮ можно столько соединений сделать что никакой оперативы для их трекинга не хватит(производитель девайса набил достаточно много оперативы поэтому видимо проблему вот так сходу - не отхватил). Соотношение между доступной оперативой и тем что сможет в даденых условиях изобразить NAT по идее очевидно любому продвинутому сетевику.Но у тайваньцев походу нет адекватных специалистов.Все на что их хватает - взять референсную схему от вендора чипсета (плюс\минус лапоть), софт в совершенно дефолтном виде.Ну и - вперед, бездумно штамповать!Логично что результат на выходе напоминает рулетку.Толи повезет, толи нет ;).Спасибо что хоть сорцы выкладывают - другие их кривизну поправить могут.Особо адекватные даже потом эти изменения интегрируют(в данном случае интересы юзеров и производителя совпадают - им обоим надо работающие и фичастые железки, так что кооперация - случается.Правда вот длинк в этом вопросе - редкостные лапухи.Тот же McMcc работает в результате ... на их конкурента (Acorp), у которого с дефолтным фирмваре в результате порядок out of the box, оно и не глючит и под местные особенности типа локалок с PPTP адаптировано, фичей куда больше и так далее... при столь же ширпотребной цене.В общем длинк - понятно кто.Обычные штампователи с минимальной компетенцией достаточной для штампования.
	Ответить | Правка | Наверх | Cообщить модератору

	42. "Новый пакетный фильтр для борьбы с флудом на уровне Linux яд..."	+/–
	Сообщение от vitek (??), 12-Янв-09, 13:58
	конечно девайс я такой вряд ли найду, но могу предположить (из всего того, что Вы описали) в чем проблема. скорее всего это связано с неправильной настройкой фрагментацией пакетов и mtu/mru (стандартное значение которых как правило 1500). особенно если Вы ещё и соединяетесь с провайдером через (PPPoA/PPPoE/PPTP) т.е. думаю, что здесь ключевые слова mtu+mru+mss+fragmentation. типа так: https://www.opennet.ru/cgi-bin/opennet/ks.cgi?mask=trouble+mt... вот примеры помощи (значения mss ставьте свои. ну и man iptables по этим параметрам): $iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 1350 $iptables -A FORWARD -i ppp+ -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1301:65535 -j TCPMSS --set-mss 1300 $iptables -A FORWARD -o ppp+ -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1301:65535 -j TCPMSS --set-mss 1300 или же (и что возможно более правильно): $iptables -t mangle -o "$PPP_IFACE" --insert FORWARD 1 -p tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1400:1536 -j TCPMSS --clamp-mss-to-pmtu
	Ответить | Правка | К родителю #27 | Наверх | Cообщить модератору

	45. "Новый пакетный фильтр для борьбы с флудом на уровне Linux яд..."	+/–
	Сообщение от vitek (??), 12-Янв-09, 14:56
	а, да. ещё многие забывают, что mss можно поставить не только через фаервол (iptables), но и просто задав его в таблицу маршрутизации (http://linux.die.net/man/8/route): route [-v] [-A family] add [-net|-host] target [netmask Nm] [gw Gw] [metric N] [mss M] [window W] [irtt I] [reject] [mod] [dyn] [reinstate] [[dev] If] ... mss M    set the TCP Maximum Segment Size (MSS) for connections over this route to M bytes. The default is the device MTU minus headers, or a lower MTU when path mtu discovery occured. This setting can be used to force smaller TCP packets on the other end when path mtu discovery does not work (usually because of misconfigured firewalls that block ICMP Fragmentation Needed) ну или естественно через ip - man ip http://linux.die.net/man/8/ip
	Ответить | Правка | Наверх | Cообщить модератору

	24. "Новый пакетный фильтр для борьбы с флудом на уровне Linux яд"	+/–
	Сообщение от yason (?), 11-Янв-09, 23:52
	os fingerprint. Я могу, при желании, на Опене настроить pf на неполучение пакетов с венды или линукса или того же опена. Или по очередям раскидать... Понятно, что это не панацея, особенно если "подпилить" "отпечатки" своей оси.
	Ответить | Правка | К родителю #10 | Наверх | Cообщить модератору

	28. "Новый пакетный фильтр для борьбы с флудом на уровне Linux яд"	+/–
	Сообщение от iZEN (ok), 12-Янв-09, 00:29
	>os fingerprint. Я могу, при желании, на Опене настроить pf на неполучение >пакетов с венды или линукса или того же опена. Или по >очередям раскидать... Понятно, что это не панацея, особенно если "подпилить" "отпечатки" >своей оси. Подскажите навскидку, возможно ли и каким правилом можно отправить через PF (pass out on $intf...) os fingerprint, допустим "Linux", чтобы проверить селективность роутера к сторонним системам. (Я только начал с PF разбираться, пока до этого не дошёл).
	Ответить | Правка | Наверх | Cообщить модератору

	41. "Новый пакетный фильтр для борьбы с флудом на уровне Linux яд"	+/–
	Сообщение от yason (?), 12-Янв-09, 13:37
	man pf.conf поиск по fingerprint дает примеры правил для подобной фильтрации: Examples:            pass  out proto tcp from any os OpenBSD            block out proto tcp from any os Doors            block out proto tcp from any os "Doors PT"            block out proto tcp from any os "Doors PT SP3"            block out from any os "unknown"            pass on lo0 proto tcp from any os "OpenBSD 3.3 lo0" ключевое слово os, а дальше смотрите свой /etc/pf.os. З.Ы. нижеотписавшемуся: Я в курсе, что и ФрииБСД и линукс умеют фингерпринтить, правда не знаю, насколько нативно. В общем то метод придумали давно...
	Ответить | Правка | Наверх | Cообщить модератору

	50. "Новый пакетный фильтр для борьбы с флудом на уровне Linux яд"	+/–
	Сообщение от iZEN (ok), 13-Янв-09, 01:37
	>man pf.conf Да, спасибо. Сумел сделать отсылку фингерпринта ("Linux", "Windows" "Cisco" и их вариации) на исходящем соединении. Но это не помогло -- сам роутер не справляется от паразитного трафика, генерируемого Linux Mint. Просто модем не такой функциональный, чтобы шейпить по-нормальному и отсекать излишне "разговорчивых" клиентов.
	Ответить | Правка | Наверх | Cообщить модератору

	51. "Новый пакетный фильтр для борьбы с флудом на уровне Linux яд"	+/–
	Сообщение от vitek (??), 13-Янв-09, 02:21
	>Но это не помогло -- сам роутер не справляется от паразитного трафика, генерируемого Linux Mint. это полная чушь. приведите хоть один пример "паразитного" трафика от линуха (tcpdump подойдёт). некоторые вещи я написал выше.... годов так 8 назад сильно боролся с adsl (авив правда был)... сейчас могу заключить только одно - Вы не справились... в Вашем случае линух победил бзд.
	Ответить | Правка | Наверх | Cообщить модератору

	52. "Новый пакетный фильтр для борьбы с флудом на уровне Linux яд"	+/–
	Сообщение от iZEN (ok), 13-Янв-09, 03:43
	>>Но это не помогло -- сам роутер не справляется от паразитного трафика, генерируемого Linux Mint. > >это полная чушь. >приведите хоть один пример "паразитного" трафика от линуха (tcpdump подойдёт). >некоторые вещи я написал выше.... >годов так 8 назад сильно боролся с adsl (авив правда был)... >сейчас могу заключить только одно - Вы не справились... в Вашем случае >линух победил бзд. Кто кого "победил" — тот ещё вопрос. Когда машины с альтернативными операционками начинают задыхаться от присутствия в сети борова под названием Linux, который выжирает в буквальном смысле всю полосу пропускания, дай только коннект... Это, позвольте заметить, уже серьёзный удар по этим самым альтернативным операционкам, которые настроены на минимизацию своих "голосов" и упорядочение исходящего от них трафика в едином домене коллизий (то биш в одном сегменте локалки).
	Ответить | Правка | Наверх | Cообщить модератору

	53. "Новый пакетный фильтр для борьбы с флудом на уровне Linux яд"	+/–
	Сообщение от pavel_simple (ok), 13-Янв-09, 04:24
	>[оверквотинг удален] >>сейчас могу заключить только одно - Вы не справились... в Вашем случае >>линух победил бзд. > >Кто кого "победил" — тот ещё вопрос. >Когда машины с альтернативными операционками начинают задыхаться от присутствия в сети борова >под названием Linux, который выжирает в буквальном смысле всю полосу пропускания, >дай только коннект... Это, позвольте заметить, уже серьёзный удар по этим >самым альтернативным операционкам, которые настроены на минимизацию своих "голосов" и упорядочение >исходящего от них трафика в едином домене коллизий (то биш в >одном сегменте локалки). linux убил локалку -- бред
	Ответить | Правка | Наверх | Cообщить модератору

	54. "Новый пакетный фильтр для борьбы с флудом на уровне Linux яд"	+/–
	Сообщение от vitek (??), 13-Янв-09, 08:03
	о чем и речь. и на вопрос "приведите пример этого паразитного трафика" получаю вот этот бред. ну что тут скажешь? тем более, что уж в линухе весь трафик контролировать или как минимум смотреть не проблема - tcpdump, trafshow,... iptables'ом в лог загнать наконец... всё это больше говорит о квалификации оппонента. ведь эти же вопросы (контроль трафика) решаются и в бзд, и в солярке, и в макоси, и даже в виндах. зато ляпнуть, что линух гамно, а вот в бзд супер-пупер - это да.
	Ответить | Правка | Наверх | Cообщить модератору

	56. "Новый пакетный фильтр для борьбы с флудом на уровне Linux яд"	+/–
	Сообщение от iZEN (ok), 13-Янв-09, 22:34
	>linux убил локалку -- бред Не бред. Сегодня снёс к чертям собачьим Linux Mint и на ту же машину установил PC-BSD 7.0.1. В текущий момент она занимается обновлением установленного ПО из бинарных пакетов, качает некоторые пакеты из Интернет, а другие пакеты берёт с моей машины (по NFS расшарен каталог packages/All). И я здесь всё это расписываю, не ощущая никаких неудобств с сетью.
	Ответить | Правка | К родителю #53 | Наверх | Cообщить модератору

	57. "Новый пакетный фильтр для борьбы с флудом на уровне Linux яд"	+/–
	Сообщение от vitek (??), 14-Янв-09, 01:55
	у Вас на adsl стоит линух... (или для Вас это был секрет?).. и то что я писал про mss, фрагментацию,.. всё относилось именно к нему. и Вы всё это расписываете не ощущая никаких неудобств с сетью.
	Ответить | Правка | Наверх | Cообщить модератору

	58. "Новый пакетный фильтр для борьбы с флудом на уровне Linux яд"	+/–
	Сообщение от iZEN (ok), 14-Янв-09, 02:44
	>у Вас на adsl стоит линух... (или для Вас это был секрет?).. >и то что я писал про mss, фрагментацию,.. всё относилось именно >к нему. Не к роутеру, как к таковому (в локалке он работает фактически как свитч), а к Linux Mint, установленному на одной из машин в локалке. Именно настольный Linux зафлуживал локальную сеть так, что ни одна из других машин не могла "пробиться" к роутеру (и нормальным образом пользоваться Интернетом). Ещё Linux учудил: на роутере я изменил фиксированный IP-адрес, так он ни в какую не пожелал работать с ним и не принимал новый IP-адрес роутера за адрес основного шлюза. Перезагрузки, включение DHCP, переконфигурирвание соединения в графическом настройщике -- бестолку -- IP-адрес шлюза был и оставался старый айпишник. :)) Устал бороться. Снёс. Теперь спокойно пользуюсь PC-BSD (ответ на вопрос "как настроить переключалку клавиатуры ЛАТ/РУС в KDE" мне ещё предстоит выяснить, потому что заветная строчка в xorg.conf, которая работает в Xfce4, в PC-BSD отказывает работать! :) ) >и Вы всё это расписываете не ощущая никаких неудобств с сетью. Ага. Модем тут ни при чём -- две машины FreeBSD с ним и между собой ладят отлично.
	Ответить | Правка | К родителю #57 | Наверх | Cообщить модератору

	32. "Новый пакетный фильтр для борьбы с флудом на уровне Linux яд"	+/–
	Сообщение от Добрый Дохтур (?), 12-Янв-09, 07:22
	passive os fingerprinting можно и в freebsd делать, и в linux, а не только в openbsd.
	Ответить | Правка | К родителю #24 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема