Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Эксперимент по настройке Linux для блокирования 10 млн пакет..., opennews (??), 08-Июл-18, (0) [смотреть все] Теперь понятно почему nftables не прижился По сравнению с iptables не только си, Аноним (1), 09:37 , 08-Июл-18, (1) // И что тут вырвиглазного, болезный А я отвечу - ничего Просто среди никсоидов е, fske (?), 13:02 , 08-Июл-18, (16) –5   // Мне тоже не нравится - слишком много текста в одном регистре, глазу плохо куски , Crazy Alex (ok), 13:58 , 08-Июл-18, (19) +3   // С консоли - возможно хотя дело привычки А при редактировании nftables conf в , KonstantinB (ok), 16:29 , 08-Июл-18, (24)   используй цвет, цветник (?), 23:21 , 08-Июл-18, (47)   Хорошие правила в виде дерева, спокойно помещаются в json формат , commiethebeastie (ok), 14:07 , 08-Июл-18, (20) –3   Да все эти фильтры вырвиглазные и нечитаемые Смотри, как надо New-NetFirewallRul, Аноним (22), 16:01 , 08-Июл-18, (22) +2   // Оно тоже 10кк пакетов в секунду блокирует Или на 10к синий екран вызывает , commiethebeastie (ok), 16:13 , 08-Июл-18, (23) –2   И даже больше Оно же не глинукс 128077 , Аноним (22), 12:10 , 09-Июл-18, (56)   Оно ваще все пакеты блокирует , KonstantinB (ok), 21:42 , 09-Июл-18, (66) +1   до New- -remoteaddress 13 54 0 0 24 - следоми пойди угадай, какое из двух рабо, пох (?), 20:00 , 08-Июл-18, (42) –1   Как минимум netsh умеет кучу remoteaddress через запятую , Аноним (91), 12:45 , 12-Июл-18, (91)   В этом вашем как надо кто-то фаерфол использует через консольку и с целями отл, Ан (??), 20:29 , 08-Июл-18, (43) –3   ну я иногда использую, если консолька под рукой, а правило такое же примитивное,, нах (?), 10:38 , 09-Июл-18, (55) +1   Да, powershell (ok), 16:16 , 09-Июл-18, (59)   Нечитаемая мешанина без разделителей, особенно вторая строчка , Аноним (1), 18:39 , 08-Июл-18, (35) +1   // в ней ЕСТЬ разделители - что делает ее еще более нечитаемой, особенно из-за не, пох (?), 19:51 , 08-Июл-18, (41)   В vim е есть подсветка для nft, будешь втирать, что vim не удобен для построчной, Аноним (53), 09:32 , 09-Июл-18, (53) –2   просто ты, обезьянка, не умеешь ни sed, ни grep Вот тебе vim и удобен для тех, нах (?), 10:32 , 09-Июл-18, (54) –2   Я стесняюсь спросить - а зачем столько Это действительно оправдано , Аноним (58), 15:06 , 09-Июл-18, (58)   ну вот ботнеты блокировать ты - вообще не собираешься У меня был специфический u, нах (?), 16:48 , 09-Июл-18, (61) –1   А смысл Сегодня ботнет есть, завтра его попалили, послезавтра хаксор забацал дв, Аноним (58), 09:26 , 10-Июл-18, (72)   чтобы тебя не поломали и не положили, дружочек Понятно, что кому-то все равно м, нах (?), 14:40 , 10-Июл-18, (76)   Шаблонизаторы в данном случае решают Не все кто умеют sed, grep и awk применяют, yu (??), 10:54 , 10-Июл-18, (73)   с чего это лишний и создается Файл у тебя существует перманентно, в etc и в v, нах (?), 15:00 , 10-Июл-18, (77)   К тому, что crontab создаёт тебе новый файл где-то в районе tmp И никакого i, yukra (ok), 15:42 , 10-Июл-18, (81)   для ускорения обработки пакетов в ядре линукс нужно не допускать попадания пак, Нанобот (ok), 10:18 , 08-Июл-18, (2) +25 // ну и что в общем удивительного в таком выводе, если вся обработка в ронянии их, пох (?), 11:09 , 08-Июл-18, (6) –5 // В том что линупs только для загрузки правил нужен - нет ничего плохого или необы, Ivan_83 (ok), 16:22 , 09-Июл-18, (60) –2 // плохо будет, если его начнут с этой целью улучшать Как обычно, ломая то, что , нах (?), 16:53 , 09-Июл-18, (62) –1 Дефолтами не довольны все, кто туда заглядывает, ибо универсальных значений не с, Ivan_83 (ok), 13:45 , 10-Июл-18, (75) некоторые ваши товарищи уже на себе почувствовали наше гуманное обращение каж, нах (?), 15:05 , 10-Июл-18, (78) Статья не про обработку пакетов в ядре, а про их роняние Вариант XDP роняет пак, Oleg (??), 11:44 , 08-Июл-18, (12) +4 Нужно линукс запихнуть в Intel Stratix FPGA, Аноним (17), 13:39 , 08-Июл-18, (17) +1 // Эх, а раньше это была Altera Слава богу, их продукт Quartus продолжил жить , Старый одмин (?), 17:37 , 08-Июл-18, (29) ичто роутерам всё это не поможет и серверам не поможет, они всё равно падут,по, Лычев Андрей (?), 10:19 , 08-Июл-18, (3) –9 // Ну вот сходи к CF расскажи как ddos отбивать правильно, кто в теме понимает, что, Начальник (?), 10:39 , 08-Июл-18, (4) +10 Откуда вы лезете Три первых комментария, а все неимоверно тупые и написаны типи, Аноним (5), 10:58 , 08-Июл-18, (5) +3 // Каникулы, Аноним (57), 12:49 , 09-Июл-18, (57) +1 Тебе уже ничего не поможет , оттуда (?), 11:10 , 08-Июл-18, (7) +5 Просто вы, как и многие другие, склонны путать DDoS и DoS Первый - достаточно р, Vitaliy Blats (?), 11:22 , 08-Июл-18, (9) +1 // но в новости так и написано DDoS , Аноним (11), 11:38 , 08-Июл-18, (11) Это DDOS то редок и дорог Мьсе живет в каком-то абстрактном розовом мире, ни , dry (ok), 13:02 , 08-Июл-18, (15) +2 // Да Редок и дорог Час - порядка нескольких тысяч долларов Ложит иногда даже IS, Vitaliy Blats (?), 13:51 , 08-Июл-18, (18) Не, дешевле вроде Ассист, судя по материалам уголовного дела и сливам 1 , ддосил, KonstantinB (ok), 16:36 , 08-Июл-18, (25) +1 Опечатался точнее, забыл отредактировать - за 1к в сутки, всего 9к за 9 дней , KonstantinB (ok), 16:36 , 08-Июл-18, (26) +3 почему то у токсина самый дешевый акк на стрессере с NTP,BoostHTTP,методами дудо, чече (?), 17:57 , 13-Июл-18, (93) Боюсь все зависит от цели, заказчика и исполнителя Тоесть когда речь идет о дд, Аноним (39), 19:16 , 08-Июл-18, (39) +1 В первую очередь путаешь их ты Второй случай это тоже DDoS, хоть и меньшего мас, angra (ok), 18:19 , 08-Июл-18, (33) +4 ddos уже давно не дорог и не особо сложен , тигарэтоя (?), 10:11 , 12-Июл-18, (90) Было бы интересно глянуть что за железо использовалось , Аноним (8), 11:12 , 08-Июл-18, (8) –1 А это можно использовать каким-то способом для увеличения количества отправляемы, Аноним (11), 11:45 , 08-Июл-18, (13) –1 // Смотря что у вас за пакеты Смотрите в сторону Netmap и DPDK, ими можно генериро, Аноним (14), 12:32 , 08-Июл-18, (14) +5 Интересно, но Странно, что не упомянута фильтрация средствами сетевушек Intel , solardiz (ok), 15:00 , 08-Июл-18, (21) +1 // Они используют Solarflare NIC, они судя по характеристикам еще круче , Аноним (17), 17:56 , 08-Июл-18, (30) Там ведь задержки большие, у CloudFlare задержки должны быть мега-низкие , Аноним (17), 17:58 , 08-Июл-18, (31) ну они вообще, похоже, странные Либо само это исследование - не для работы, а п, пох (?), 18:18 , 08-Июл-18, (32) –1 // Если блокировать нужно миллионы адресов, вместо обычной таблицы можно использова, Аноним (63), 20:13 , 09-Июл-18, (63) // ну, мы где-то даже такое делали, во времена оны, раскидывая теми же iptables спе, пох (?), 21:15 , 09-Июл-18, (64) –1 послушайте, память - дешевая , Netmapguy (?), 01:15 , 10-Июл-18, (68) А случайный доступ к ней на чтение дорогой как это ни парадоксально на первый в, Vkni (ok), 07:43 , 10-Июл-18, (71) Но вот никто не запрещает ставить несколько серверов параллельно, шарить на них , yu (??), 11:05 , 10-Июл-18, (74) там не случайный, но от этого сильно почему-то не легчает, это надо на уровне да, нах (?), 15:07 , 10-Июл-18, (79) а в чем дороговизна в вашем понимании , DPDKguy (?), 16:45 , 10-Июл-18, (82) Кстати про резиновую память - случайный доступ к ОЗУ - это 500 тактов Т е если, Vkni (ok), 07:42 , 10-Июл-18, (70) ну, мы можем лукапить пачками и префетчить , DPDKguy (?), 16:50 , 10-Июл-18, (83) Nyet, это будет fail Правильнее будет думать о чем-то вроде dir-24-8, Netmapguy (?), 01:07 , 10-Июл-18, (67) ну и вот где это делать-то В bpf Скорее всего не получится А в более доступных, нах (?), 15:09 , 10-Июл-18, (80) А что тогда делать с IPv6 Мы экспериментировали с несколькими видами trie, при н, Аноним (89), 09:30 , 12-Июл-18, (89) страдать с dir-24-8 можно делать 200 млн лукапов в секунду на одном ядре , DPDKguy (?), 18:01 , 12-Июл-18, (92) а смысл фильтры там довольно тупые, да и если у вас там линк-агрегация и вланы , Netmapguy (?), 01:18 , 10-Июл-18, (69) На увеличенной картинке черный фон, не видно подписей , Аноним (34), 18:36 , 08-Июл-18, (34) // там прозрачный фон, просто у кого-то цвет в браузере по умолчанию черный, Григорий Федорович Конин (?), 02:12 , 09-Июл-18, (49) Скоро ожидать наборы платных файлов вида xdp-make_something-ebpf-corp o, для кор, Аноним (36), 18:52 , 08-Июл-18, (36) // Никогда Разреверсить тривиально , Аноним (38), 18:54 , 08-Июл-18, (38) вечно поскольку совершенно непонятно, какую бы корпоративную нужду оно могло бы, пох (?), 19:43 , 08-Июл-18, (40) –1 // Ну не такое же глупое условие я имел в виду Скорее говорил про сложные правила , Аноним (36), 20:45 , 08-Июл-18, (44) // дык - а это как раз и не меряет никто то есть вполне возможно, что сложное и под, пох (?), 23:47 , 08-Июл-18, (48) –1 это называется нанять аутсорсера для написания правил но по хорошему скорее вс, RotarenegeD (?), 02:39 , 09-Июл-18, (50) нет, это называется подписка на наборы правил Существует десятки лет, в том чис, пох (?), 21:18 , 09-Июл-18, (65) –1 fpga всё равно вне конкуренции , Аноним (38), 18:53 , 08-Июл-18, (37) // Да клали все с прибором на FPGA , Anonymous_ (?), 21:41 , 08-Июл-18, (45) // Майню на ASIC у тебя в медиаплеере, Зеленая слизь на продакшен Линухе (?), 22:03 , 08-Июл-18, (46) –1 // Майню на ASIC у тебя в вибраторах, Аноним (-), 06:50 , 09-Июл-18, (51) Приложение значит прикладная программа Не стоит называть так хотя бы совсем, qweo (?), 09:10 , 09-Июл-18, (52) // Прикладная программа делает полезное действие и не важно какая она в плане скоуп, Мимокрокодил (?), 11:47 , 17-Июл-18, (94) Очень интересно , Аноним (85), 04:39 , 11-Июл-18, (85) Могу заблокировать хоть миллиард пакетов в секунду простым выниманием кабеля , vantoo (ok), 13:45 , 11-Июл-18, (86) –1 // плохая попытка, грант не дадут - , нах (?), 14:40 , 11-Июл-18, (87) Точно А вдруг, при таком насыщении, они и по воздуху проскакивать будут т н , Аноним (88), 14:47 , 11-Июл-18, (88) Ненавижу гребаный cloudflare Чтоб им там подавиться своей гугл-капчей и вечными, Аноним (95), 21:47 , 15-Сен-18, (95) 1,2,3,8,13,21,34,36,37,52,85,86,95

Сообщения

[Сортировка по времени | RSS]

	16. "Эксперимент по настройке Linux для блокирования 10 млн пакет..."	–5 +/–
	Сообщение от fske (?), 08-Июл-18, 13:02
	> nft add table netdev filter > nft -- add chain netdev filter input { type filter hook ingress device vlan100 priority -500 \; policy accept \; } > nft add rule netdev filter input ip daddr 198.18.0.0/24 udp dport 1234 counter drop > nft add rule netdev filter input ip6 daddr fd00::/64 udp dport 1234 counter drop И что тут вырвиглазного, болезный? А я отвечу - ничего. Просто среди никсоидов есть большАя часть людей, которые не способны выучить новый инструмент и будут всячески поливать говном всё, что они не способны понять/изучить.
	Ответить | Правка | Наверх | Cообщить модератору

	19. "Эксперимент по настройке Linux для блокирования 10 млн пакет..."	+3 +/–
	Сообщение от Crazy Alex (ok), 08-Июл-18, 13:58
	Мне тоже не нравится - слишком много текста в одном регистре, глазу плохо куски выхватывать. Ключики iptables рубят строку удобнее.
	Ответить | Правка | Наверх | Cообщить модератору

	24. "Эксперимент по настройке Linux для блокирования 10 млн пакет..."	+/–
	Сообщение от KonstantinB (ok), 08-Июл-18, 16:29
	С консоли - возможно (хотя дело привычки). А при редактировании nftables.conf в сколь-либо вменяемом $EDITOR, который умеет в подсветку синтаксиса, все шикарно.
	Ответить | Правка | Наверх | Cообщить модератору

	47. "Эксперимент по настройке Linux для блокирования 10 млн пакет..."	+/–
	Сообщение от цветник (?), 08-Июл-18, 23:21
	используй цвет
	Ответить | Правка | К родителю #19 | Наверх | Cообщить модератору

	20. "Эксперимент по настройке Linux для блокирования 10 млн пакет..."	–3 +/–
	Сообщение от commiethebeastie (ok), 08-Июл-18, 14:07
	Хорошие правила в виде дерева, спокойно помещаются в json формат.
	Ответить | Правка | К родителю #16 | Наверх | Cообщить модератору

	22. "Эксперимент по настройке Linux для блокирования 10 млн пакет..."	+2 +/–
	Сообщение от Аноним (22), 08-Июл-18, 16:01
	Да все эти фильтры вырвиглазные и нечитаемые. Смотри, как надо: New-NetFirewallRule -Direction Inbound -DisplayName "New_Rule" -Name "New_Rule" -RemoteAddress 13.54.0.0/16 -Action Block Разница, что называется, очевидна.
	Ответить | Правка | К родителю #16 | Наверх | Cообщить модератору

	23. "Эксперимент по настройке Linux для блокирования 10 млн пакет..."	–2 +/–
	Сообщение от commiethebeastie (ok), 08-Июл-18, 16:13
	Оно тоже 10кк пакетов в секунду блокирует? Или на 10к синий екран вызывает?
	Ответить | Правка | Наверх | Cообщить модератору

	56. "Эксперимент по настройке Linux для блокирования 10 млн пакет..."	+/–
	Сообщение от Аноним (22), 09-Июл-18, 12:10
	>Оно тоже 10кк пакетов в секунду блокирует? И даже больше. Оно же не глинукс. 👍
	Ответить | Правка | Наверх | Cообщить модератору

	66. "Эксперимент по настройке Linux для блокирования 10 млн пакет..."	+1 +/–
	Сообщение от KonstantinB (ok), 09-Июл-18, 21:42
	Оно ваще все пакеты блокирует.
	Ответить | Правка | К родителю #23 | Наверх | Cообщить модератору

	42. "Эксперимент по настройке Linux для блокирования 10 млн пакет..."	–1 +/–
	Сообщение от пох (?), 08-Июл-18, 20:00
	> Разница, что называется, очевидна. до New-.. -remoteaddress 13.54.0.0/24 - следом и пойди угадай, какое из двух работает в данную погоду, особенно, когда, в реальности, этих remoteaddress там два десятка в одном правиле (потому что цепочек мы не умеем точно так же, как и последовательностей).
	Ответить | Правка | К родителю #22 | Наверх | Cообщить модератору

	91. "Эксперимент по настройке Linux для блокирования 10 млн пакет..."	+/–
	Сообщение от Аноним (91), 12-Июл-18, 12:45
	Как минимум netsh умеет кучу remoteaddress через запятую.
	Ответить | Правка | Наверх | Cообщить модератору

	43. "Эксперимент по настройке Linux для блокирования 10 млн пакет..."	–3 +/–
	Сообщение от Ан (??), 08-Июл-18, 20:29
	В этом вашем "как надо" кто-то фаерфол использует через консольку и с целями отличными от заблочить варезной программе доступ в интернет? Для всяких роутеров там есть платные приблуды.
	Ответить | Правка | К родителю #22 | Наверх | Cообщить модератору

	55. "Эксперимент по настройке Linux для блокирования 10 млн пакет..."	+1 +/–
	Сообщение от нах (?), 09-Июл-18, 10:38
	> В этом вашем "как надо" кто-то фаерфол использует через консольку ну я иногда использую, если консолька под рукой, а правило такое же примитивное, как этот образчик. Это быстрее, чем ждать пока отрисуется mmc Если в правиле уже десяток адресов, а надо еще пару добавить - остается только mmc. И у вас так будет, слава роботам, nft и неумению современных горе-админов работать в юниксе.
	Ответить | Правка | Наверх | Cообщить модератору

	59. "Эксперимент по настройке Linux для блокирования 10 млн пакет..."	+/–
	Сообщение от powershell (ok), 09-Июл-18, 16:16
	Да
	Ответить | Правка | К родителю #43 | Наверх | Cообщить модератору

	35. "Эксперимент по настройке Linux для блокирования 10 млн пакет..."	+1 +/–
	Сообщение от Аноним (1), 08-Июл-18, 18:39
	Нечитаемая мешанина без разделителей, особенно вторая строчка.
	Ответить | Правка | К родителю #16 | Наверх | Cообщить модератору

	41. "Эксперимент по настройке Linux для блокирования 10 млн пакет..."	+/–
	Сообщение от пох (?), 08-Июл-18, 19:51
	> Нечитаемая мешанина без разделителей, особенно вторая строчка. в ней ЕСТЬ разделители ;-) что делает ее еще более нечитаемой, особенно из-за необходимости экранировать в шелле посимвольно (в моем еще и {}) пейсателям этой хрени никогда не приходилось управлять сложными фильтрами, о чем уже говорено. Они все "в редакторе с подсветочкой" собирались настраивать, поэтому им не нужны удобные способы построчной работы с правилами. В лучшем случае, а скорее всего - их мечта выглядит как плохая копия windows advanced firewall, с окошком и менюшком.
	Ответить | Правка | Наверх | Cообщить модератору

	53. "Эксперимент по настройке Linux для блокирования 10 млн пакет..."	–2 +/–
	Сообщение от Аноним (53), 09-Июл-18, 09:32
	>Они все "в редакторе с подсветочкой" собирались настраивать, поэтому им не нужны удобные способы построчной работы с правилами. В vim'е есть подсветка для nft, будешь втирать, что vim не удобен для построчной работы? Хотя я б не удивился, ты ж упoротый на всю голову.
	Ответить | Правка | Наверх | Cообщить модератору

	54. "Эксперимент по настройке Linux для блокирования 10 млн пакет..."	–2 +/–
	Сообщение от нах (?), 09-Июл-18, 10:32
	просто ты, обезьянка, не умеешь ни sed, ни grep. Вот тебе vim и "удобен" для тех целей, для которых нафиг не нужен. вместо одной строки - будешь тупо разглядывать простыню на пару тысяч (правил и поболее бывает) Наверное, и искать в ней будешь стрелка-вниз,стрелка-вниз - те, кому по силам /pattern, не будут ради этого запускать vim (ну или теперь - будут, чертыхаясь что новый обезьяно-совместимый формат конфига нормальным образом уже нечитаем, только с "подсветочкой синтаксиса", и непременно через промежуточное сохранение в ненужно-файл)
	Ответить | Правка | Наверх | Cообщить модератору

	58. "Эксперимент по настройке Linux для блокирования 10 млн пакет..."	+/–
	Сообщение от Аноним (58), 09-Июл-18, 15:06
	>простыню на пару тысяч (правил и поболее бывает) Я стесняюсь спросить - а зачем столько? Это действительно оправдано?
	Ответить | Правка | Наверх | Cообщить модератору

	61. "Эксперимент по настройке Linux для блокирования 10 млн пакет..."	–1 +/–
	Сообщение от нах (?), 09-Июл-18, 16:48
	> Я стесняюсь спросить - а зачем столько? Это действительно оправдано? ну вот ботнеты блокировать ты - вообще не собираешься? У меня был специфический use-case - QUEUE, там тоже поболее тысячи (и нам никогда не надо было читать эту простыню глазами - достаточно номера строки с нужным нам блоком, если клиент внезапно поехал на другой сервер)
	Ответить | Правка | Наверх | Cообщить модератору

	72. "Эксперимент по настройке Linux для блокирования 10 млн пакет..."	+/–
	Сообщение от Аноним (58), 10-Июл-18, 09:26
	>ну вот ботнеты блокировать ты - вообще не собираешься? А смысл? Сегодня ботнет есть, завтра его попалили, послезавтра хаксор забацал два новых. Там не то что 2k, там 2M не хватит. Кстати, а с чего ты взял, что все ботнеты против на тебя охотятся? В Пентагоне работаешь? >достаточно номера строки с нужным нам блоком, если клиент внезапно поехал на другой сервер А всех клиентов и сервера ты наизусть должно быть, помнишь?
	Ответить | Правка | Наверх | Cообщить модератору

	76. "Эксперимент по настройке Linux для блокирования 10 млн пакет..."	+/–
	Сообщение от нах (?), 10-Июл-18, 14:40
	> А смысл? чтобы тебя не поломали и не положили, дружочек. Понятно, что кому-то все равно может повезти прямо с первой попытки, не в том, так в другом, но уменьшать поверхность атаки все же надо по мере возможности. > А всех клиентов и сервера ты наизусть должно быть, помнишь? ну, по сути, да. Не всех, но тех которые в QUEUE - точно приходится помнить. Как ты понимаешь (зачеркнуто, как мог бы понимать, если бы обладал не гонором, а квалификацией) - далеко не любые сервисы можно развернуть в твоем любимом k8s, и дважды кликать свою верную мышь поднимая тысячами - иногда для переноса клиента надо одновременно кое-что править в его оборудовании, сделанном недочеловеками, и у себя тоже, и новый сервер тооже не разворачивается парой кликов, его вводят вручную несколько дней, проверяя и перепроверяя функционал. Причем оно такое, что автоматизации не поддается - точнее, ущерб от нее будет больше, чем выгода. Есть в мире еще кое-что, помимо порнобаннеров и фотокотиков, которых никому не жалко.
	Ответить | Правка | Наверх | Cообщить модератору

	73. "Эксперимент по настройке Linux для блокирования 10 млн пакет..."	+/–
	Сообщение от yu (??), 10-Июл-18, 10:54
	Шаблонизаторы в данном случае решают. Не все кто умеют sed, grep и awk применяют из везде подряд, особенно там где они не подходят. Хотя конечно для отладки придется и "ручками" эти конфиги потрогать. Кстати что бы что-то в vim открыть не обязательно это руками в файл сохранять (см. "crontab -e", хотя конечно "лишний" файл там создаётся, но проблем это не доставляет)
	Ответить | Правка | К родителю #54 | Наверх | Cообщить модератору

	77. "Эксперимент по настройке Linux для блокирования 10 млн пакет..."	+/–
	Сообщение от нах (?), 10-Июл-18, 15:00
	> см. "crontab -e", хотя конечно "лишний" файл там создаётся, но проблем это не доставляет с чего это лишний и создается? Файл у тебя существует перманентно, в /etc и в /var/spool/cron Причем там масса костыликов и подпорочек в виде висения на inotify у тех что поновее, или ежеминутном рескане mtime у тех что unixway, чтобы этот файл не разошелся с представлениями демона о том, что в нем лежит. Правда, это нынче тоже уже почти доломано неосиляторами sed - сплошные cron.daily и run-parts, и /etc/crontab из одной строки * * * * * root do-all-magic-through-the-ass. А в случае фиреволла у тебя все хуже - файл тебе все же нужен - из чего-то восстановить потом настройки, но ядру на него плевать, и никакого механизма обмена кроме довольно уродливых save/restore, даже нормальной гранулярности не обеспечивающих, не предусмотрено. Поэтому лично я предпочитаю работать не с файлом, а с реальным состоянием фильтра, сохраняя его после отладки изменений.  Счетчиков ты в файле не видишь, последовательность проходов по цепочкам в нем отслеживать неудобно, целиком он тебе вообще никогда и ни для чего не будет нужен - сплошные минусы. А юзерлевел утилиту писали еще те люди, которые именно так им и пользовались - поэтому она достаточно удобна для применения. В концепцию редхатоидов (досистемдэшных, конечно) этот механизм ложится идеально, для остальных все равно все приходится делать через задницу, поскольку у них банального resore на старте и save по желанию не предусмотрено, одни интуитивно-приятные уродливые монстры типа ufw.
	Ответить | Правка | Наверх | Cообщить модератору

	81. "Эксперимент по настройке Linux для блокирования 10 млн пакет..."	+/–
	Сообщение от yukra (ok), 10-Июл-18, 15:42
	К тому, что crontab создаёт тебе новый файл где-то в районе /tmp.   И никакого inotify там нет. "Среагирует" ОС только на ":wq" (сохранение и выход), если ты конечно не лазиешь руками мимо crontab'а
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема