The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Релиз ядра Linux 3.13. Обзор новшеств, opennews (ok), 20-Янв-14, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


51. "Релиз ядра Linux 3.13. Обзор новшеств"  +/
Сообщение от Аноним (-), 20-Янв-14, 13:23 
По ссылке про Nftables первый же комментарий:

You must be joking. This got pulled in?
“Building a basic ruleset”?! Wow. The direction of Linux development never ceases to amaze me.

Собственно, такие же ощущения были.

Ответить | Правка | Наверх | Cообщить модератору

56. "Релиз ядра Linux 3.13. Обзор новшеств"  +3 +/
Сообщение от gapsf2 (ok), 20-Янв-14, 14:25 
По умолчанию встроенных таблиц (filter, mangle, nat...) и цепочек (INPUT, OUTPUT, FORWARD) нет - все абсолютно пусто.
Встроенных счетчиков у каждого правила нет (для увеличения производительности) - нужен счетчик - создаем явно.

# создаем таблицу filter
table filter {
        chain input {                                # создаем цепочку input
                 table filter hook input priority 0; # вставляем перехват пакета
                 ct state established accept         # разрешаем established
                 ct state related accept             # разрешаем related
                 meta iif lo accept                  # разрешаем входящий на localhost-интерфейса
                 tcp dport ssh counter packets 0 bytes 0 accept  # разрешаем SSH
                 counter packets 5 bytes 5 log drop            # для всех остальных пакетов считаем пакеты и байты, логируем и игнорируем в одном правиле
        }

        chain output {                                 # создаем цепочку output
                 table filter hook output priority 0;  # вставляем перехват пакета
                 ct state established accept           # разрешаем established
                 ct state related accept               # разрешаем related
                 meta oif lo accept                    # разрешаем исходящий с localhost- интерфейса
                 ct state new counter packets 0 bytes 0 accept  # считаем и разрешаем новые исходящие соединения
        }
}
В целом здесь все идентично iptables за исключением явного создания таблиц и цепочек, и возможности объединения нескольких вердиктов в одной команде.
Система гибкая за счет отказа от зашитости всего в ядро - поэтому все надо создать из userspace.
Естественно, что создавать таблицы и цепочки можно один раз и скорее всего в дистрибах будут скрипты базовой настройки, так что вам можно будет не заморачиваться особо.

З.Ы. Похоже что либо старый пример, либо не проверенный - не совсем соответствует синтаксису http://git.netfilter.org/nftables/tree/src/parser.y
В частности в "table filter hook output priority 0;" вроде не должно быть "table", а между всеми правилами должен быть разделитель ";"

Ответить | Правка | Наверх | Cообщить модератору

58. "Релиз ядра Linux 3.13. Обзор новшеств"  +1 +/
Сообщение от vitalif (ok), 20-Янв-14, 14:36 
Ой, да нормально. Как будто iptables интуитивно понятен. Если постоянно не юзать - всё равно забываешь каждый раз, что там да как называется...
Ответить | Правка | К родителю #51 | Наверх | Cообщить модератору

61. "Релиз ядра Linux 3.13. Обзор новшеств"  –6 +/
Сообщение от Perain (?), 20-Янв-14, 14:51 
По сравнению с ipfw, iptables полный выродок!
Ответить | Правка | Наверх | Cообщить модератору

70. "Релиз ядра Linux 3.13. Обзор новшеств"  +5 +/
Сообщение от Аноним (-), 20-Янв-14, 15:36 
Это называется "синдром утенка".
Ответить | Правка | Наверх | Cообщить модератору

83. "Релиз ядра Linux 3.13. Обзор новшеств"  +4 +/
Сообщение от pavlinux (ok), 20-Янв-14, 16:32 
> По сравнению с ipfw, iptables полный выродок!

По сравнению с bpf, ipfw ущербное говно!

Ответить | Правка | К родителю #61 | Наверх | Cообщить модератору

85. "Релиз ядра Linux 3.13. Обзор новшеств"  –3 +/
Сообщение от Perain (?), 20-Янв-14, 16:35 
в этом согласен http://citrin.ru/freebsd:ng_ipfw_ng_bpf
Ответить | Правка | Наверх | Cообщить модератору

94. "Релиз ядра Linux 3.13. Обзор новшеств"  +/
Сообщение от pavlinux (ok), 20-Янв-14, 17:00 
> в этом согласен http://citrin.ru/freebsd:ng_ipfw_ng_bpf

BPF нужен тем, кто пишет iptables, свои фаерволы, системы управления трафиком, и пр.
Сисадмину, и тем более хомякам, это геморрой на 5 лет вперёд по изучению и разбору
на биты всего стека IP.

Ответить | Правка | Наверх | Cообщить модератору

103. "Релиз ядра Linux 3.13. Обзор новшеств"  +/
Сообщение от Miha (??), 20-Янв-14, 19:45 
> По сравнению с ipfw, iptables полный выродок!

Вы шутник. Для двух карт - может быть, а вот когда у вас сложная топология, то айпитаблес - лучшее решение. В ipfw per-interface acl только в прошлом году стало возможным. Так что не надо.

Ответить | Правка | К родителю #61 | Наверх | Cообщить модератору

105. "Релиз ядра Linux 3.13. Обзор новшеств"  –2 +/
Сообщение от Аноним (-), 20-Янв-14, 20:07 
айпитаблес не может быть лучшим решением, потому что не работает под FreeBSD.
Ответить | Правка | Наверх | Cообщить модератору

112. "Релиз ядра Linux 3.13. Обзор новшеств"  +2 +/
Сообщение от pavlinux (ok), 20-Янв-14, 20:46 
> айпитаблес не может быть лучшим решением, потому что не работает под FreeBSD.

Ещё один повод выкинуть BSD

Ответить | Правка | Наверх | Cообщить модератору

124. "Релиз ядра Linux 3.13. Обзор новшеств"  +/
Сообщение от Аноним (-), 20-Янв-14, 21:45 
> потому что не работает под FreeBSD.

А что под ней вообще работает? Полторы бестолковых файловых системы, недопиленная виртуализация и пакетный манагер для галочки? Крутая система для крутых пасанов.


Ответить | Правка | К родителю #105 | Наверх | Cообщить модератору

126. "Релиз ядра Linux 3.13. Обзор новшеств"  +/
Сообщение от Аноним (-), 20-Янв-14, 22:04 
> потому что не работает под FreeBSD.

это не беда, ~BSD не нужно.

Ответить | Правка | К родителю #105 | Наверх | Cообщить модератору

159. "Релиз ядра Linux 3.13. Обзор новшеств"  +2 +/
Сообщение от user455 (?), 21-Янв-14, 19:54 
не забуду freebsd 6, когда я сидел и день за днем разбирался с ipfw в купе с его правилами и divert к natd. сколько разбирался - не помню, но было это долго и нудно.
потом, спустя год я откырл pf и разобрался с ним за 3и часа. а потом еще пару дней игрался.
спустя еще год я открыл iptables (nf) и разобрался с ним за час. он мне показался самы клевым , удобным и логичным фаером из всех, что я видел.

Ответить | Правка | К родителю #61 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру