Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Выпуск пакетного фильтра nftables 0.9.3, opennews (??), 05-Дек-19, (0) [смотреть все] Богомерзкий json Можно погибнуть в этом нагромождении скобочек, запятых и форма, pin (??), 12:20 , 05-Дек-19, (1) –8 // Это не JSON - не хватает двоеточий между параметром и значением и кавычек для ст, Moomintroll (ok), 12:32 , 05-Дек-19, (2) +8 // Богомерзкий n-ginx , Andrey Mitrofanov_N0 (??), 12:48 , 05-Дек-19, (5) // Бо-й nginx , Аноним (19), 14:13 , 05-Дек-19, (19) –1 зато сразу понятна как целевая аудитория, так и стремление исключить любые ручны, крокодил мимо.. (?), 12:36 , 05-Дек-19, (3) –2 // К нему в качестве фронтенда идет firewalld firewall-cmd --add-service httpsЧем п, Аноним (8), 12:54 , 05-Дек-19, (8) // firewalld по-умолчанию является фронтендом к iptables, который в свою очередь в , Аноним (10), 13:08 , 05-Дек-19, (10) –1 А объясните дураку еще одну вещь Если firewalld - фронтэнд к iptables nftables -, Аноним (12), 13:37 , 05-Дек-19, (12) Я не изучал как именно это работает, но думаю он использует libxtables libnftnl , Аноним (10), 13:59 , 05-Дек-19, (15) +1 Спасибо, Аноним (12), 14:01 , 05-Дек-19, (17) А глянуть в официальную документацию религия не позволяет https firewalld org , anon123 (?), 15:21 , 05-Дек-19, (24) А я и заглянул Вот сюда https firewalld org documentation direct options htm, Аноним (10), 15:28 , 05-Дек-19, (26) https firewalld org documentation man-pages firewalld richlanguage html, anon123 (?), 18:37 , 05-Дек-19, (40) А теперь попробуй с помощью этих правил разрешить ip forward между интерфейсами , Аноним (48), 20:05 , 05-Дек-19, (48) Я не могу представить ни себя и ни другого админа, который будет делать через fi, pin (??), 14:54 , 05-Дек-19, (21) –1 Ну я делал роутер на firewalld и networkd Просто потому что захотелось упоротьс, Аноним (10), 15:04 , 05-Дек-19, (23) Там есть rich rules, которые всё это вполне позволяют, anon123 (?), 15:22 , 05-Дек-19, (25) +1 Именно Они там есть потому, что firewalld только бестолковая обертка , pin (??), 15:37 , 05-Дек-19, (27) А нафиг оно нужно то если первоисточник иптаблес проще логичнее для понимания , привет (ok), 10:55 , 06-Дек-19, (70) –1 ну вот решение и найдено - удалить нахрен iptables, чтобы под капотом был набор , пох. (?), 16:28 , 06-Дек-19, (86) firewalld решает 4 задачи - унификация интерфейса iptables nftables Даже если i, Аноним (95), 02:57 , 08-Дек-19, (95) лол Теперь у вас есть ТРИ совершенно разных интерфейса и три нескучных синтакси, пох. (?), 07:16 , 09-Дек-19, (97) В редхате чтобы не слушал кто-то другой делает SELinux , RHEL Fan (?), 10:20 , 09-Дек-19, (99) Не, он такого не умеет в targeted mode, а остальные, собственно, для красоты, п, пох. (?), 12:06 , 09-Дек-19, (101) вы отстали от жизни cockpit и html5 наше всьо детально копировать внешность нел, пох. (?), 16:18 , 05-Дек-19, (32) –4 // Это был сарказм , _hide_ (ok), 13:34 , 06-Дек-19, (79) нет, попробуй через iptables ограничить доступ, предположим, netcat у только вну, пох. (?), 16:33 , 06-Дек-19, (87) –1 Сам придумал проблему, сам ее решай iptables ом , pin (??), 17:15 , 06-Дек-19, (88) –1 Это не надуманная проблема, это реальный блокер линукса на десктопе Разрешить з, Аноним (95), 03:08 , 08-Дек-19, (96) Ну, в винде проблема другая, там пользователь тычет в разрешить не особо задум, RHEL Fan (?), 10:30 , 09-Дек-19, (100) А потом всем неткатам на машине А потом произвольно придуманной группе процессо, имя (ok), 19:22 , 06-Дек-19, (90) Лучше винбокс Эх, вот бы винбокс , работающий поверх стандартных линуксов, а не, Аноноим (?), 19:53 , 05-Дек-19, (47) –1 Двоешник, это ни разу не json , Аноним (43), 19:25 , 05-Дек-19, (43) +2 Это вообще ни в каком виде не JSON Кроме упомянутых JSON характекрен заковычи, all_glory_to_the_hypnotoad (ok), 22:29 , 05-Дек-19, (50) +2 Оно, конечно, может быть и удобнее, но конфиг iptables читается куда легче А эт, Аноним (-), 12:44 , 05-Дек-19, (4) +2 // А вы пишите для него правила в стиле iptables, раз вам так читабельнее nft add r, Аноним (16), 14:00 , 05-Дек-19, (16) // жесть какая, Аноним (22), 14:55 , 05-Дек-19, (22) +2 вы, похоже, очередной вчерародившийся, все старье нинужна,ниниужна если это г-, пох. (?), 15:55 , 05-Дек-19, (28) –3 // Не знаю как кто, но я разобрался с nftables за 1 день Его структурный синтаксис, Аноним (51), 23:04 , 05-Дек-19, (51) +1 разобрался - это кое-как ман прочитал Я так тоже могу, и не за один день, а за п, пох. (?), 10:20 , 06-Дек-19, (61) Для этого в nft изобрели даже сохраняемые комментарии , InuYasha (?), 11:39 , 06-Дек-19, (75) угу, в nft, изобрели как вы достали, вчерародившиеся , пох. (?), 12:18 , 06-Дек-19, (76) +2 Переделал все свои правила iptables в nftables Получилось короче , Аноним (16), 14:19 , 06-Дек-19, (81) Чтобы получить хоть что-то читаемое пришлось писать так add rule inet fw forwar, sabitov (ok), 19:37 , 06-Дек-19, (91) +1 Синтаксис другой, но хороший, легко читаемый Есть возможность всё красиво отфор, InuYasha (?), 11:36 , 06-Дек-19, (74) –1 Документация к нему есть Не записки на манжетах в виде десятка разрозненных wi, Аноним (8), 12:48 , 05-Дек-19, (6) // Документацию у авторов отобрали санитары, Аноним (7), 12:54 , 05-Дек-19, (7) +6 man 8 nft недостаточно хорош , Аноним (10), 12:59 , 05-Дек-19, (9) –2 конечно нет, и не будет никогда, повторять подвиг автора lartc, которому ни одна, пох. (?), 15:58 , 05-Дек-19, (29) Есть, но некоторые мелочи из неё неочевидны например, что нельзя там одну хрень, InuYasha (?), 11:30 , 06-Дек-19, (73) Годнота, раньше на iptables-ах пользовался ferm, на фряхе пф-ом Перешел на nfta, Аноним (11), 13:14 , 05-Дек-19, (11) –1 Они хотят nftables и бздунам пропихнуть , Аноним (16), 13:52 , 05-Дек-19, (13) –1 // Базовую систему нет, не б3дунов, а винукс Фо избавляют от GPLv3 зависимосте, Andrey Mitrofanov_N0 (??), 13:58 , 05-Дек-19, (14) –1 // А что так-то, Микрософт же тепереча стал борцом с патентами, участник OIN В GP, Аноним (16), 14:05 , 05-Дек-19, (18) +1 Классный инструмент, спасиб, Иваня (?), 14:31 , 05-Дек-19, (20) +1 Помер Линукс , Николашка (?), 16:04 , 05-Дек-19, (30) –3 // скорее, сделался вечноживой Но в целом, да, тот линукс - давным-давно мертв А, пох. (?), 16:13 , 05-Дек-19, (31) –1 // Оно появилось лет за 5 - 6 до покупки Шляпы ещё , Аноним (51), 23:07 , 05-Дек-19, (52) // Поболе , Аноним (54), 00:27 , 06-Дек-19, (54) причем тут оно , это просто еще один червяк в трупе, тыщи их Линух как нормаль, пох. (?), 10:21 , 06-Дек-19, (62) –1 Конкретно, когда P S Кто тебя заставляет использовать, к примеру, тот же system, Аноним (16), 14:34 , 06-Дек-19, (82) я в неподдерживаемую маргинальную хрень - не могу, потому что работаю ей за день, пох. (?), 14:58 , 06-Дек-19, (83) Если есть волкодавы - можешь к нам приехать - волков бить - по 20 тр за шкуру пл, сосед (?), 17:17 , 11-Дек-19, (102) на него можно перетащить правила iptables не снимая свитера вроде был какой то , Аноним (-), 17:15 , 05-Дек-19, (33) // конвертер год назад, когда я попытался им воспользоваться, ниасилил тривиальный , пох. (?), 18:08 , 05-Дек-19, (36) –1 // я тоже мануально переходил но синтаксис очень понравился, хотя есть некоторые н, InuYasha (?), 11:28 , 06-Дек-19, (71) // с этого места поподробнее - что стало удобнее , кроме чудовищного синтаксиса, н, пох. (?), 15:00 , 06-Дек-19, (84) о да, они все за одно systecmt start proftpd echo 0 pgrep proftpd echo 1, pin (??), 17:23 , 06-Дек-19, (89) вы просто отсталый замшелый мамонт, неспособный зазубрить новый ненужный интерфе, пох. (?), 10:03 , 09-Дек-19, (98) Есть VPN провайдер с кучей серваков по всему миру, IP адреса и подсети у них не , Olololo (?), 18:04 , 05-Дек-19, (34) –1 // Похожая идея описана тут, но у меня нету никаих ошибок при запуске второго конне, Olololo (?), 18:05 , 05-Дек-19, (35) –1 Это лог первого коннекта sbin ip link set dev tun0 up mtu 1500 sbin ip addr add , Olololo (?), 18:10 , 05-Дек-19, (37) –1 нет, нерешаема То есть была бы решаема с некоторыми нехорошими глюками , если , пох. (?), 18:17 , 05-Дек-19, (38) –1 // Нет, они лезут правильно один в tun0, другой в tun1, это просто лог старый Тем , Olololo (?), 18:23 , 05-Дек-19, (39) –1 // тогда иди в форумы тут и не место, и сотрут быстро и приведи там нормальные , пох. (?), 19:43 , 05-Дек-19, (44) Если в комп поставить несколько сетевых карт, подключить их к самодельным маршру, Olololo (?), 18:41 , 05-Дек-19, (41) –1 // RaspberryPI, Урри (?), 18:45 , 05-Дек-19, (42) такой вариант лишь продемонстрирует твою криворукость Все можно сделать в преде, пох. (?), 19:45 , 05-Дек-19, (45) росбери его на пи , Аноним (46), 19:47 , 05-Дек-19, (46) Откуда у людей такие наркоманские идеи , Аноним (49), 22:10 , 05-Дек-19, (49) +2 люди ниасилили пяток страниц майкрософтовского учебника что нужно знать про tcp, пох. (?), 10:23 , 06-Дек-19, (63) Проблема решается, используя VDS и баундинг Просто, вместо реальных сетевых инт, Аноним (55), 01:01 , 06-Дек-19, (55) –1 // вы бредите , пох. (?), 10:24 , 06-Дек-19, (64) –1 // Вы не понимаете , Аноним (55), 15:13 , 06-Дек-19, (85) Если мне не изменяет склероз маршрут прописывается лишь если это указано в конфи, Ананимас009 (?), 04:55 , 06-Дек-19, (57) // у него там все пичально - если присмотришься, там оно тунель сносит и заново соз, пох. (?), 08:16 , 06-Дек-19, (58) // tun оно не сносит, во втором логе нужно заменить tun1 на tun0 Оно только маршру, Olololo (?), 10:54 , 06-Дек-19, (69) У меня стоит машина на Linux и рядом iMac Машина на Linux через один из VPN сер, Olololo (?), 10:49 , 06-Дек-19, (68) чейта как-то стремно надеюсь iptables еще долго не выкинут, ф (?), 00:20 , 06-Дек-19, (53) // Там net-tools уже выкидывают Сабж я так и не осилил, но думаю рано или поздно, Аноним (56), 04:01 , 06-Дек-19, (56) // Их уже 20 лет выкидывают и никак выкинуть не могут С iptables так же будет , Аноним (10), 09:00 , 06-Дек-19, (59) // net-tools сломать очень сложно - слишком примитивен в отличие от используемого , пох. (?), 10:26 , 06-Дек-19, (65) больше виртуальных машин Что-то линукс быстро работает аж подозрительно , Аноним (60), 09:09 , 06-Дек-19, (60) // и эксплойтов этой х-ни давно что-то не публиковали хотя бы kernel unprivileged, пох. (?), 10:28 , 06-Дек-19, (66)   // мне больше интересно при каком PPS оно загнется , Аноним (60), 10:38 , 06-Дек-19, (67)   // зависит же ж, что ты на нем наbpf ал iptables-то тоже можно все собрать в один , пох. (?), 11:30 , 06-Дек-19, (72)   Я не удивлюсь, если он окажется быстрее Без тестов сложно сказать, как оно буде, Ordu (ok), 13:04 , 06-Дек-19, (78) +1   угу, а так же для очень нетривиального траблшутинга, когда компилятор что-то теб, пох. (?), 13:46 , 06-Дек-19, (80)   Компилируй для траблшутинга без оптимизаций, проблем-то Я всегда в сложных случ, Ordu (ok), 21:22 , 06-Дек-19, (92)   Тебе не надоело каждый раз портянки бредового текста строчить Какие тесты, како, Аноним (93), 23:09 , 06-Дек-19, (93)   Чужие ошибки -- это конечно ленивый способ учиться, но люди тупые, они даже ошиб, Ordu (ok), 10:14 , 07-Дек-19, (94) +1   Виртуальные машины -- это круто, это повышает надёжность На компьютере Apollo к, Ordu (ok), 12:56 , 06-Дек-19, (77) 1,4,6,11,13,20,30,33,34,53,60

Сообщения

[Сортировка по времени | RSS]

	66. "Выпуск пакетного фильтра nftables 0.9.3"	+/–
	Сообщение от пох. (?), 06-Дек-19, 10:28
	и эксплойтов этой х-ни давно что-то не публиковали... хотя бы kernel.unprivileged_bpf_disabled=1, надеюсь, все уже включили?
	Ответить | Правка | Наверх | Cообщить модератору

	67. "Выпуск пакетного фильтра nftables 0.9.3"	+/–
	Сообщение от Аноним (60), 06-Дек-19, 10:38
	мне больше интересно при каком PPS оно загнется.
	Ответить | Правка | Наверх | Cообщить модератору

	72. "Выпуск пакетного фильтра nftables 0.9.3"	+/–
	Сообщение от пох. (?), 06-Дек-19, 11:30
	зависит же ж, что ты на нем наbpf'ал. iptables-то тоже можно все собрать в один огромный плоский список, и потом плакать что все медленно и пакеты теряет. Причем, не удивлюсь, если в bpf-исполнении такой список будет еще медленней ;-)
	Ответить | Правка | Наверх | Cообщить модератору

	78. "Выпуск пакетного фильтра nftables 0.9.3"	+1 +/–
	Сообщение от Ordu (ok), 06-Дек-19, 13:04
	> не удивлюсь, если в bpf-исполнении такой список будет еще медленней Я не удивлюсь, если он окажется быстрее. Без тестов сложно сказать, как оно будет, потому что цепочка вызовов предкомпилированных фильтров и скомпилированная цепочка фильтров -- это заметно разные вещи. С чисто теоретической точки зрения можно предположить, что компиляция в этом случае открывает широкие просторы для оптимизации -- можно же и ненужные дублирующиеся телодвижения выкинуть, уменьшив таким образом нагрузку на проц, и локальность кода повысить, уменьшив таким образом нагрузку на кеш. А то, что это байткод, дык его потом можно в ядерный jit-компилятор засунуть, и получить native-код, который делает то же самое. То есть тут ситуация, в которой вообще сложно удивляться какому бы то ни было результату сравнения производительности, потому что диванных рассуждений тут недостаточно, чтобы увести неопределённость предсказаний зело в сторону от 50/50 -- либо медленне, либо быстрее.
	Ответить | Правка | Наверх | Cообщить модератору

	80. "Выпуск пакетного фильтра nftables 0.9.3"	+/–
	Сообщение от пох. (?), 06-Дек-19, 13:46
	> С чисто теоретической точки зрения можно предположить, что компиляция в этом случае открывает > широкие просторы для оптимизации угу, а так же для очень нетривиального траблшутинга, когда компилятор что-то тебе такое наоптимизирует, совсем тобой неожидаемое. А отладчик bpf - это нечто, безусловно очень простое, понятное и доступное (его уже вообще хотя бы - пишутъ?) А теперь вопрос знатокам - а нахрена оно все, с перекладыванием оптимизации на компилятор, сдалось в такой несложной, в общем-то, задаче, как набор правил примитивного пакетного фильтра? И нельзя ли вместо этого девляпса просто выпороть? > То есть тут ситуация, в которой вообще сложно удивляться да нет, удивляться "как так, да не может же ж быть" - вполне несложно, но, примерно оценивая и осмысленность поставленной эффективными менеджерами редхата задачи, и подход к ее решению, и общий уровень нынешнего софта - я заранее вношу поправку на ветер. И вот тогда - получается 50/50.
	Ответить | Правка | Наверх | Cообщить модератору

	92. "Выпуск пакетного фильтра nftables 0.9.3"	+/–
	Сообщение от Ordu (ok), 06-Дек-19, 21:22
	>> С чисто теоретической точки зрения можно предположить, что компиляция в этом случае открывает >> широкие просторы для оптимизации > угу, а так же для очень нетривиального траблшутинга, когда компилятор что-то тебе > такое наоптимизирует, совсем тобой неожидаемое. Компилируй для траблшутинга без оптимизаций, проблем-то? Я всегда в сложных случаях отладки с C врубаю -O0. > А отладчик bpf - это нечто, > безусловно очень простое, понятное и доступное (его уже вообще хотя бы > - пишутъ?) Зачем он тебе? Ты в байткоде bpf планируешь писать фильры? > А теперь вопрос знатокам - а нахрена оно все, с перекладыванием оптимизации > на компилятор, сдалось в такой несложной, в общем-то, задаче, как набор > правил примитивного пакетного фильтра? И нельзя ли вместо этого девляпса просто > выпороть? Ну, во-первых, файрволл станет примитивным, если из него выкинуть все фильтры и оставить интерпретатор простенького байткода. А до того, как такая чистка проведена, он вовсе не примитивный, достаточно глянуть на список опций в menuconfig, перечисляющий всякие разные опциональные фильтры. Во-вторых, оптимизации, о которых я говорю, будет выполнять либо компилятор, либо никто. Либо компилятор посмотрит на твои правила, и подумает как бы таких их посчитать максимально эффективно, либо он не будет смотреть и ничего не будет делать, и в рантайме будет выполняться куча вещей, которые можно было бы выполнить один раз компиляцией. Как собрать цепочки и состыковать ты в любом случае будешь думать самостоятельно, но в случае если эти цепочки реализуются на табличках itables, то при передаче каждого пакета с одного фильтра на другой, заглядывает в табличку, достаёт оттуда указатель на фильтр, из него достаёт указатель на функцию, вызывает её... во всём этом очень много ненужных телодвижений процессора, и много ненужных телодвижений кешу. Ты можешь быть хоть семи пядей во лбу оптимизатором, но всё равно используя iptables ты не избавишь систему от них, потому что iptables не для этого. >> То есть тут ситуация, в которой вообще сложно удивляться > да нет, удивляться "как так, да не может же ж быть" - > вполне несложно, но, примерно оценивая и осмысленность поставленной эффективными менеджерами > редхата задачи, и подход к ее решению, и общий уровень нынешнего > софта - я заранее вношу поправку на ветер. И вот тогда > - получается 50/50. Да, я знаю, что когда ты оцениваешь софт, ты делаешь это не по его техническим характеристикам, не по результатам тестов, а исключительно на основании своего субъективного отношения к менеджменту и к современным программистам. Ты мог бы не рассказывать об этом ещё раз, мне кажется все и так уже знают. Ты ж админ, и всякие высоконагруженные случаи админишь? У тебя есть куча знаний и возможностей потестить? Ну дык потесть, выложи результаты тестов, раскрути свой аккаунт на хабре, или где там ты излагаешь результаты своих изысканий? Вот я ничего не админю, даже локалхост последнее время я не админю, потому что уже лет десять как он просто работает. Я иногда переустанавливаю систему, но тоже в "ленивом" режиме, чтобы оно само в фоне там собиралось и ставилось, не мешая при этом мне в интернетиках комментить. Но это даже не админство локалхоста, это, немного льстя себе, можно назвать "паверюзер". И это значит, что я не могу сравнить legacy iptables и интерпретатор байткода по производительности и прочему потреблению ресурсов на задачах хоть сколько-нибудь приближенных к реальности, потому что я не знаю, что это за задачи. Но меня гложет профессиональное любопытство, я бы с огромным интересом почитал бы про исследование нацеленное на сравнение, или даже нашёл бы скрипт который бы сравнивал, чтобы его можно было бы палочкой потыкать и своими глазами посмотреть, куда и зачем в разных случаях тратятся ресурсы. Ты, казалось бы, обладаешь всеми квалификациями, для того чтобы провести такое исследование, но вместо этого ты рассуждаешь об эффективности менеджеров, и в прочую гуманитарщину лезешь, что мне совершенно неинтересно, потому что уж в гуманитарщине-то я точно больше твоего понимаю.
	Ответить | Правка | Наверх | Cообщить модератору

	93. "Выпуск пакетного фильтра nftables 0.9.3"	+/–
	Сообщение от Аноним (93), 06-Дек-19, 23:09
	Тебе не надоело каждый раз портянки бредового текста строчить? Какие тесты, какой хабар? Ну был вон там один анестезиолог, что-то пописывал и всех убеждал. Его сначала на резиновых катали. А потом на его идеях Инго всё Коновское переписал. И теперь Инго молодец а про Кона почти никто не помнит. Мне в своё время тоже хватило общения с авторами опенсурс ПО - снобов каждый если не второй то третий. И теперь я предпочитаю учиться на чужих ошибках и знать историю.
	Ответить | Правка | Наверх | Cообщить модератору

	94. "Выпуск пакетного фильтра nftables 0.9.3"	+1 +/–
	Сообщение от Ordu (ok), 07-Дек-19, 10:14
	> теперь я предпочитаю учиться на чужих ошибках и знать историю. Чужие ошибки -- это конечно ленивый способ учиться, но люди тупые, они даже ошибиться как следует не могут. Пока сам не ошибёшься, не получишь настоящей ошибки.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема