В течение минувшей недели проект Netfilter (http://www.netfilter.org/), занимающийся разработкой одноименного фреймворка для фильтрации и преобразования пакетов в ядре Linux, объявил (http://lists.netfilter.org/pipermail/netfilter-announce/2010...) о выходе новых версий сразу нескольких субпроектов, развивающихся под его эгидой:- libnetfilter_queue 1.0.0 (http://lists.netfilter.org/pipermail/netfilter-announce/2010...). Данная библиотека позволяет ядру передавать пакеты на обработку userspace-приложениям, обеспечивая взаимодействие с модулем nfnetlink_queue через интерфейс nfnetlink. Этот механизм заменяет собой устаревший интерфейс ip_queue/libipq. Библиотека libnetfilter_queue используется в ряде проектов, таких как:
- l7-filter-userspace (http://l7-filter.sourceforge.net/) — может определять протокол прикладного уровня путем анализа пакета с применением регулярных выражений.
- NuFW (http://www.nufw.org/) — обеспечивает разрешение или бл...URL: http://lists.netfilter.org/pipermail/netfilter-announce/2010...
Новость: http://www.opennet.ru/opennews/art.shtml?num=27332
Давно ничего не слышно о nftables - замена iptables.
>Давно ничего не слышно о nftablesОна утонула.
Захлебнулась говорите???
Нет, просто главный баг архитектуры netfilter, с которого все начиналось (необходимость перезагружать всю таблицу при добавлении одного правила) успешно устраняется мейнстримным проектом xtables2, а все прочие соображения (синтаксис и т.п.) не являются весомыми аргументами.В git-репе nftables несколько мелких коммитов от 6 июля, а до этого последние вообще были год назад. Разве это разработка?
>Нет, просто главный баг архитектуры netfilter, с которого все начиналось (необходимость перезагружать
>всю таблицу при добавлении одного правила) успешно устраняется мейнстримным проектом xtables2,
>Хм. А кто сказал, что это баг, когда это всю жизнь было фичей? Хочешь большой список правил - используй iptables-restore, всегда так жили.
И не могли бы Вы рассказать, как именно он устраняется в xtables2? До каких версий апгрейдиться, чтобы пощупать?Сам по себе nftables - да, никому и не был нужен. Более того, на первый взгляд сильно усложнял работу с фаерволлом своим гораздо более идиотским синтаксисом.
>Хм. А кто сказал, что это баг, когда это всю жизнь было фичей? Хочешь большой список правил - используй iptables-restore, всегда так жили.Теперь будем жить лучше =)
>И не могли бы Вы рассказать, как именно он устраняется в xtables2?
Как-то так
>The internal structure of the ruleset is switched from the serialized blob format (concatenated packed structs) to linked lists.Подробности можно почитать здесь: http://lwn.net/Articles/345176
>До каких версий апгрейдиться, чтобы пощупать?
Это просто набор патчей, которые потихоньку коммитят в ядро. Обычные юзеры и админы не должны заметить никакой разницы - отличия будут видны только разработчикам.
iplist vs ipset и что интереснее ?
>iplist vs ipset и что интереснее ?Если кратко: ipset - для серверов, iplist+ipblock - для домохозяек.
Выбирайте в зависимости от задачи.
Скорее бы взяли "под крыло" ipt_NETFLOW - единственная нормальная реализация экспорта netflow для Linux.
>Скорее бы взяли "под крыло" ipt_NETFLOW - единственная нормальная реализация экспорта netflow для Linux.Раз не взяли, то, видимо, и не возьмут. Скорее для ulogd плагин сделают. Что вполне согласуется с линуксовой традицией весь потенциально опасный сетевой хлам (ppp и проч.) держать в юзерспейсе.
Бедные процессоры.ipt_NETFLOW — единственное решение, которое себя хорошо показало на высоконагруженном PPPoE-концентраторе.
Вы пробовали ulogd2? Говорят, во второй ветке его переписали с нуля, и он получился очень быстрым. Правда, пока что в netflow экспортировать не умеет =(
>Бедные процессоры.
>
>ipt_NETFLOW — единственное решение, которое себя хорошо показало на высоконагруженном PPPoE-концентраторе.Плюсую.
BTW, есть ли инфа, почему ещё не "взяли под крыло"? Что-то сходу ничего не нагуглилось. Где-нибудь в xtables-addons ему сейчас самое место.
>BTW, есть ли инфа, почему ещё не "взяли под крыло"? Что-то сходу
>ничего не нагуглилось. Где-нибудь в xtables-addons ему сейчас самое место.Может, напишете человеку, который занимается xtables-addons (http://jengelh.medozas.de/contact/)?
Кстати, если вас не затруднит, отпишитесь потом здесь. Не то чтобы лично для меня судьба ipt_NETFLOW так уж важна, просто самому любопытно, в чем же дело.
Думаю проблемы только из-за того что протокол разработан cisco и соответсвенно права принадлежат ей.
"проект Netfilter, занимающийся разработкой одноименного фреймворка"фреймворк там, фреймворк тут. Нынче стало модно заменять все слова на "фреймворк"?
Кстати, подскажите, как задавать несколько подсетей в --dst у iptables. Нужен матч, или таки можно штатными средствами?
Начиная с 1.4.6 - можно.
iptables -A OUTPUT -d 192.168.0.0/16,172.16.0.0/12,10.0.0.0/8 -j ...При этом автоматически добавятся три правила, каждое для одной подсети, в остальном одинаковые.