Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

OpenNews: Новая версия пакетного фильтра для Linux - iptables 1.4.0, opennews (??), 26-Дек-07, (0) [смотреть все] ключ -table в iptables-restore недавно нужен был, ток подумал и тут новость , valfrom (?), 14:30 , 26-Дек-07, (4) есть слова с pf не сравнится , V (??), 14:48 , 26-Дек-07, (6) // Embedded-системы -- вообще беседа отдельная Строго говоря, для них и BSD, и Lin, Andrew Kolchoogin (?), 15:21 , 26-Дек-07, (9) Спасибо, нормально объяснили По-больше б таких камментов на ОпенНете, fresco (??), 15:29 , 26-Дек-07, (10) да, спасибо Интересно, почему под Линь только iptables А под бсд столько мног, sHaggY_caT (??), 15:43 , 26-Дек-07, (11) Это неправда Есть порт IP Filter под Linux Потому, что они изначально н, Andrew Kolchoogin (?), 16:08 , 26-Дек-07, (13) Это тот, который IP filter - IP chains - IP tables , Ананимуз (?), 16:54 , 26-Дек-07, (17) Благородный дон не понимает разницы между IP Filter и ipfwadm - , Andrew Kolchoogin (?), 17:10 , 26-Дек-07, (18) Ааа Это про тот IPFilter, который ipf и пишется слитно , Ананимуз (?), 22:52 , 26-Дек-07, (27) Благородный дон не потрудится ли посетить http coombs anu edu au avalon и уб, Andrew Kolchoogin (?), 01:30 , 27-Дек-07, (33) Не совсем понял какое отношение это имеет к вопросу о мне показалось что вы гово, demimurych (?), 15:45 , 26-Дек-07, (12) Дело в том, что на домашних роутерах стоит одна задача -- удешевления И поэ, Andrew Kolchoogin (?), 16:11 , 26-Дек-07, (14) Сейчас железки без MMU - скорее экзотика Если лучше, то почему куда ни плюнь в , Аноним (-), 16:27 , 26-Дек-07, (15) Да ладно уж, экзотика Xscale далеко не везде Я обычно в VXWorks и его д, Andrew Kolchoogin (?), 16:49 , 26-Дек-07, (16) ну 100kpps вполне реально получить на половине fast ethernet , Аноним (-), 17:29 , 26-Дек-07, (19) Так сейчас так, втупую, никто не DoS ит микропроцессоры стали достаточно быстры, Andrew Kolchoogin (?), 21:53 , 26-Дек-07, (24) ага, но остались ОС, в которых нет polling и которым от относительно небольших з, Аноним (-), 10:20 , 27-Дек-07, (48) Ну, в эпоху PCI Express и даже PCI с Message-signalled Interrupts это уже мало, Andrew Kolchoogin (?), 17:46 , 27-Дек-07, (60) Ой Шо, таки уже убрали один глобальный лок на весь PF Пока что на тестах файр, nuclight (?), 22:18 , 30-Дек-07, (115) gt оверквотинг удален Насчет SMP можно медленнее и подробнее Ксеоны 3 4 одн, routerSMP (?), 20:38 , 17-Янв-08, (123) Прочитал сие и сразу средце екнуло неужели к нам сам Rusty Russell заглянул, ли, Sampan (?), 21:43 , 26-Дек-07, (21) gt оверквотинг удален Аналог scrub и modulate state у iptables в студию , Andrew Kolchoogin (?), 21:48 , 26-Дек-07, (22) Скажите, а часто вы на интенсивном трафике пользуетесь scrub state modulation , Дохтур (?), 22:11 , 26-Дек-07, (25) Стоять Вопрос был в возможностях пакетных фильтров Так что не надо увиливать А, Andrew Kolchoogin (?), 01:28 , 27-Дек-07, (32) вы же прекрасно понимаете что прямых аналогов нет часть функционала есть в штатн, Аноним (-), 10:42 , 27-Дек-07, (49) Ну тогда и не надо кричать Надо уметь честно признаваться, что у нас вот э, Andrew Kolchoogin (?), 17:56 , 27-Дек-07, (61) Ооох заглянем в в man http www freebsd org cgi man cgi query pf conf apropo, Аноним (-), 20:50 , 27-Дек-07, (76) кесарю кесарево знаете-линюхач snort snortsamМожет см выше, BB (??), 21:01 , 27-Дек-07, (77) снорт даст куда большую нагрузку на cpu Хотя бы потому что ему придётся слушать, Аноним (-), 21:15 , 27-Дек-07, (83) Ох, ну ведь можно-же хоть иногда думать на шаг вперед,а не воспринимать все в ло, BB (??), 22:08 , 27-Дек-07, (85) вы алерты откуда получать будете С сенсоров В любом случае сенсоры должны мони, Дохтур (?), 23:34 , 27-Дек-07, (87) Он не свобеобразный, а вполне себе обычный язык tcpdump Который уже и так обяза, nuclight (?), 22:29 , 30-Дек-07, (117) Если фильтровать на уровне ядра через узлы NetGraph а ipfw имеет свои узлы , ск, Кирилл (??), 11:06 , 29-Дек-07, (112) Кстати, passive os fingerprinting в iptables поддерживается модулем OSF OS fing, Анонимус (?), 00:30 , 28-Дек-07, (89) Есть патч для ipfw емнип, даже в базе PRов И он и без патча уже может матчить, nuclight (?), 22:20 , 30-Дек-07, (116) http ozlabs org rusty index cgi 2006 08 15no scrubbing, but we do fragment re, s_dog (??), 01:05 , 27-Дек-07, (31) Я ж просил аналоги вполне конкретных вещей scrub и modulate state И где он, Andrew Kolchoogin (?), 01:49 , 27-Дек-07, (36) Вобщем-то, правильно сказали выше Некорректно требовать именно аналога вот этой, Nick (??), 08:55 , 28-Дек-07, (98) Тоже знаю Ринет и знаю, подтверждаю, что там циски, но фрю там любят Не рекламы, SunTech (?), 18:54 , 27-Дек-07, (72) gt оверквотинг удален что вы плетёте какие 800 Гб - это 25 Гб в деньповерьт, Redacid (??), 22:13 , 27-Дек-07, (86) Издеваетесь, коллега - Там только на инфраструктуру MSK-IX гигабит , Andrew Kolchoogin (?), 01:58 , 28-Дек-07, (96) Вообще-то я имел ввиду ширину внешних каналлов, но не в этом суть Это всего лиш, Redacid (??), 08:03 , 28-Дек-07, (97) Без обид, но это первый признак непрофессионализма - исходить из личных предпочт, Аноним (-), 11:37 , 28-Дек-07, (103) Это потрясающе - мало того, что сам нифига не знает, дык ещё и других поучать бе, guest (??), 23:43 , 26-Дек-07, (28) Ну вот опять Только дин думающий и вменяемый человек на опеннете высказался, ка, klez (??), 23:59 , 26-Дек-07, (29) Высказался может и правильно да вот только ИМХО не объективно, pavel_simple (ok), 00:09 , 27-Дек-07, (30) На OpenNet е высказываются почти никогда не объективно объективность _может_ бы, Andrew Kolchoogin (?), 01:52 , 27-Дек-07, (37) Ну, я человек без комплексов, ФСБ не боюсь, так что подписываюсь везде и всегда , Andrew Kolchoogin (?), 09:25 , 27-Дек-07, (46) Гражданин, OpenNet -- не место, где показывают свои комплексы Во-первых,, Andrew Kolchoogin (?), 01:47 , 27-Дек-07, (35) При админе-эникейщике все пофиг - все равно работать не будет Странно, а у меня , Аноним (38), 02:15 , 27-Дек-07, (38) Безусловно Всё, что один человек сделал, другой завсегда сломать может , Andrew Kolchoogin (?), 09:18 , 27-Дек-07, (42) em, bge в 6ке или это драйвера, не считается , Аноним (-), 10:46 , 27-Дек-07, (50) У меня 6 ка с em работает два года, и ничего там не ломается Что я делаю не та, Andrew Kolchoogin (?), 17:57 , 27-Дек-07, (62) т е то что творилось в freebsd-net freebsd-current перед выпуском 6 2 - это г, Аноним (-), 19:51 , 27-Дек-07, (73) А, это про импорт и откаты Так это же _перед_ выпуском Вы бы почитали -current , Andrew Kolchoogin (?), 01:53 , 28-Дек-07, (95) имеется ввиду, что он у вас core router ЗЫ постинги на редкость осмысленные для , V.O. (?), 04:52 , 27-Дек-07, (39) Не у меня, у tvoe tv Да, MPLS Core сделан на нескольких 7604 х У меня core, Andrew Kolchoogin (?), 09:21 , 27-Дек-07, (43) Так, теперь ещё и ядро с дистрибутивом путаем вообще красота Ядро и базовые б, гость (?), 12:12 , 27-Дек-07, (53) Извините, у нас принято говорить про работающую платформу Или ядро Линук, Andrew Kolchoogin (?), 18:27 , 27-Дек-07, (70) да Андрей, вы же вроде адекватный человек А давайте туда постгрес с 50гиговой , Аноним (-), 20:04 , 27-Дек-07, (74) Это как сказать, где-то умеет, с использованием мегахаков , а где то нет Есть , BB (??), 20:46 , 27-Дек-07, (75) насчёт беты вы где прочитали зачем домашнему роутеру принимать fullview ospf с , Аноним (-), 21:06 , 27-Дек-07, (81) В рассылках, до сих пор существует проблемы которые не позволяют использовать ca, BB (??), 22:01 , 27-Дек-07, (84) а мы с вами об одном и том же говорим я про http tservice net ru s0mbre old , Дохтур (?), 23:52 , 27-Дек-07, (88) Да именно, не так пока еще хорошо вылизано как в исходной ОС, второе не понятна , BB (??), 10:33 , 28-Дек-07, (101) а зачем логика работы разная, функционал - тоже area чаще всего контексте ospf , Аноним (-), 11:41 , 28-Дек-07, (104) Ну вот об этом и речь, так как сам по себе голый carp не очень-то и нужен, как я, BB (??), 13:28 , 28-Дек-07, (106) gt оверквотинг удален дык стейты iptables синхронизируются, иначе смысла нет А, Аноним (-), 15:13 , 28-Дек-07, (107) Я не про IPoATM Я про Ваш предыдущий пост Я писал, что Linux чем-то схо, Andrew Kolchoogin (?), 01:48 , 28-Дек-07, (91) да, есть такое дело, что что-то ломают никто от этого не застрахован , Аноним (-), 11:46 , 28-Дек-07, (105) вопрос а соляра 10 в этом смысле лучше быстрее или хуже медленнее Linux или B, V.O. (?), 05:04 , 27-Дек-07, (40) Сложный вопрос Как маршрутизатор, или как платформа для какого-то сервиса , Andrew Kolchoogin (?), 09:22 , 27-Дек-07, (44) как генератор помех на канале для тестирования в ims те умный бридж ЗЫ байт на , V.O. (?), 15:08 , 27-Дек-07, (56) Я бы взял FreeBSD На нём есть dummynet, который, собственно, для такого тестиро, Andrew Kolchoogin (?), 18:14 , 27-Дек-07, (69) выдержки из man iptables mac --mac-source address Match, Алексей (??), 14:37 , 27-Дек-07, (55) Вы невнимательно читаете мои комментарии Именно это я и написал Что PF , Andrew Kolchoogin (?), 18:08 , 27-Дек-07, (67) сеть 22, каждому хосту в ней зарезать полосу в 1Мбит На ipfw есть хоть динамиче, Аноним (-), 21:09 , 27-Дек-07, (82) А PF вообще полос не режет Но altq спасёт отца русской демократии , Andrew Kolchoogin (?), 01:40 , 28-Дек-07, (90) altq - часть pf , Аноним (-), 15:14 , 28-Дек-07, (108) altq не часть pf Просто pf умеет с работать с очередями Но должную функциона, Кирилл (??), 10:59 , 29-Дек-07, (111) Вы явно подробно с PF не знакомились PF может управлять шейпингом , Кирилл (??), 11:29 , 29-Дек-07, (113) В PF есть возможно динамически изменять правила через механизм якорей PF вообще, Кирилл (??), 11:32 , 29-Дек-07, (114) gt оверквотинг удален Знает PF об ethernet Есть там возможность фильтровать п, Кирилл (??), 10:53 , 29-Дек-07, (110) пакетный фильтр в случае ДоС как раз и спасает,особенно pf с лимитами , Аноним (38), 17:53 , 26-Дек-07, (20) // Особенно, когда DoS ят Апач, вызывая динамический контент Загрузка проца взлета, Andrew Kolchoogin (?), 21:51 , 26-Дек-07, (23) // у нормальных людей опач работает бэкэндом А такую паразитную активность весьма , Дохтур (?), 22:17 , 26-Дек-07, (26) // И что Он от этого как-то сильно меньше CPU Time кушать начинает Exponen, Andrew Kolchoogin (?), 01:37 , 27-Дек-07, (34) Да с cpu time не проблема Опач обычно в prefork гоняют, так что чаще упираешься, Аноним (-), 10:56 , 27-Дек-07, (51) Согласен Далеко не всегда В большинстве случаев, с которыми мне прих, Andrew Kolchoogin (?), 18:13 , 27-Дек-07, (68) Пакетный фильтр вас не спасет при DOS-е службы Уж слишком низкий может оказатьс, Nikolay (??), 05:29 , 27-Дек-07, (41) index php ещё, как правило, переживаемо А вот index pl может уже на 50 запр, Andrew Kolchoogin (?), 09:23 , 27-Дек-07, (45) ОФФ Andrew Kolchoogin, респект за грамотную дискуссию Кое-что открыл для себ, Аноним (38), 10:17 , 27-Дек-07, (47) Андрюша, хватит уже отвешивать себе комплименты с помощью виртуалов - смотреть п, гость (?), 12:16 , 27-Дек-07, (54) Так и до дурки не далеко гоЗть - хорош трепаться - санитары идут , Ну а по те, Аноним (38), 18:05 , 27-Дек-07, (66) Не надо наезжать на Perl, ибо связка mod_perl Apache дает очень хорошую произв, Antrew (??), 11:21 , 27-Дек-07, (52) Упаси меня Ларри наезжать на Perl Просто PHP-интерпретатор легче перлового , Andrew Kolchoogin (?), 18:29 , 27-Дек-07, (71) впику Вашей нелюбви к Netfilterпроблема DoS на вебсервис и границы синов далеки, Nick (??), 09:36 , 28-Дек-07, (99) могу ошибаться -- но как мне думается тут и писать ничего не придётсяпроблему мо, pavel_simple (ok), 10:37 , 28-Дек-07, (102) дописать модуль к тому же apache, чтоб он рулил этой политикой, тогда можно хоть, Аноним (-), 21:42 , 28-Дек-07, (109) кроме апача источников нагрузки бывает немало, Nick (??), 23:40 , 30-Дек-07, (119) Ой, и вы ЭТО называете красивым и элегантным решением Это же жуткий костыль Н, nuclight (?), 22:42 , 30-Дек-07, (118) Угукому следует орагнизовывать схему - тот организовывает схему А кому следует н, Nick (??), 23:57 , 30-Дек-07, (120) Наш новый гуру нам все объяснил Как же он смог подняться на такие высоты После , KdF (??), 15:17 , 27-Дек-07, (57) // Извините за оффтоп, но в 1110 такими выпадами похожи на журналиста желтой прес, Аноним (-), 17:36 , 27-Дек-07, (59) // Да хоть всё сразу Мне приятно ощущать свою уникальность в антиобщественности, Andrew Kolchoogin (?), 18:01 , 27-Дек-07, (64) Может быть я и есть журналист желтой прессы, откуда вам знать А завтра напишу ст, KdF (??), 21:02 , 27-Дек-07, (78) Кроме IT, в мире есть ещё много увлекательных наук Химия, например Или математ, Andrew Kolchoogin (?), 18:00 , 27-Дек-07, (63) KdF, спасибо посмеялся Гугл очень силен Хочется вериться, что Andrew Kolchoog, Mikhail (??), 17:01 , 27-Дек-07, (58) // Да, Гугль про меня много разного рассказывает Абсолютно Химия и физи, Andrew Kolchoogin (?), 18:03 , 27-Дек-07, (65)   // Замечательная дискуссия Андрей - вопрос, если можно Где учат кошерной работе с, sash (??), 21:03 , 27-Дек-07, (79)   // Да вот, здесь, на OpenNet е Если, конечно, отфильтровывать гон от дискуссий, Andrew Kolchoogin (?), 01:51 , 28-Дек-07, (93)   И еще вопрос Вы действительно где-то используете RSVP , sash (??), 21:05 , 27-Дек-07, (80)   // Нет, конечно , Andrew Kolchoogin (?), 01:51 , 28-Дек-07, (94)   мда, виртуальные интерфейсы по прежнему не поддерживаются , yurii (??), 01:48 , 28-Дек-07, (92) // пардонпоясните что именно не поддерживается , Nick (??), 09:39 , 28-Дек-07, (100) // видимо он имел ввиду отсутствие возможности написать iptables -i eth1 1 , я (?), 13:09 , 09-Янв-08, (121) // а ну так это ж не отдельный интерфейс, и даже не виртуальный это просто labe, Nick (??), 15:54 , 09-Янв-08, (122) 4,6,20,57,58,92

Сообщения

[Сортировка по времени | RSS]

	65. "Новая версия пакетного фильтра для Linux - iptables 1.4.0"	+/–
	Сообщение от Andrew Kolchoogin (?), 27-Дек-07, 18:03
	> KdF, спасибо посмеялся. Гугл очень силен =)     Да, Гугль про меня много разного рассказывает. :) > Хочется вериться, что Andrew Kolchoogin все таки находиться в трезвом уме по > понедельникам.     Абсолютно. Химия и физиология психотомиметиков перестала меня интересовать примерно лет восемь назад.
	Ответить | Правка | Наверх | Cообщить модератору

	79. "Новая версия пакетного фильтра для Linux - iptables 1.4.0"	+/–
	Сообщение от sash (??), 27-Дек-07, 21:03
	Замечательная дискуссия. Андрей - вопрос, если можно: "Где учат" кошерной работе с пакетными фильтрами? На самом деле интересует "идеология". Ответ может выглядеть так: средства отладки такие-то, best-practice вот такая-то и т.д. Почитав Ваши посты про ускорение работы ПФ узнал несколько новых подходов в написанию правил, очень забавно. :) Система может получиться очень красивой.
	Ответить | Правка | Наверх | Cообщить модератору

	93. "Новая версия пакетного фильтра для Linux - iptables 1.4.0"	+/–
	Сообщение от Andrew Kolchoogin (?), 28-Дек-07, 01:51
	> Андрей - вопрос, если можно: > > "Где учат" кошерной работе с пакетными фильтрами? На самом деле интересует "идеология".     Да вот, здесь, на OpenNet'е. Если, конечно, отфильтровывать гон от дискуссий. > Ответ может выглядеть так: средства отладки такие-то, best-practice вот такая-то и т.д.     Если бы всё было так просто... ;)
	Ответить | Правка | Наверх | Cообщить модератору

	80. "Новая версия пакетного фильтра для Linux - iptables 1.4.0"	+/–
	Сообщение от sash (??), 27-Дек-07, 21:05
	И еще вопрос: Вы действительно где-то используете RSVP?
	Ответить | Правка | К родителю #65 | Наверх | Cообщить модератору

	94. "Новая версия пакетного фильтра для Linux - iptables 1.4.0"	+/–
	Сообщение от Andrew Kolchoogin (?), 28-Дек-07, 01:51
	> Вы действительно где-то используете RSVP?     Нет, конечно.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема