The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

форумы
правила/FAQ
поиск
регистрация
вход
слежка
RSS


Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы [ Отслеживать ]

Оглавление

Выпуск пакетного фильтра nftables 0.4, opennews (ok), 17-Дек-14, (0) [смотреть все]

Сообщения [Сортировка по времени | RSS]


14. "Выпуск пакетного фильтра nftables 0.4"  +2 +/–
Сообщение от pavlinux (ok), 17-Дек-14, 12:39 
> Зато правила стали лаконичней и уютно структурируются, а не как при "старом режиме"
> порянка текста экранов на несколько без отступов, структуры и часто бывает что и комментариев

У народа какой-то патологический сидром футуризма - всё, что новое по определению лучше.
Маяковский тоже это любил, застрелился (или помогли), так что вы аккуратнее. 


table ip filter {
     chain input {
          type filter hook input priority 0;
 
          # accept traffic originated from us
          ct state established,related accept
 
          # accept any localhost traffic
          iif lo accept
 
          # count and drop any other traffic
          counter drop
     }
}


iptables -t filter -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -t filter -I INPUT -i lo -j ACCEPT
iptables -t filter -Z

Это просто нириально тяжело!
Ответить | Правка | Наверх | Cообщить модератору

20. "Выпуск пакетного фильтра nftables 0.4"  +/–
Сообщение от Аноним (-), 17-Дек-14, 14:26 
Выстрой-ка пооптимальнее, чтобы нагрузка на процессор была поменьше. Напиши комментарии, как в первом случае. Тогда и поговорим.
Ответить | Правка | Наверх | Cообщить модератору

34. "Выпуск пакетного фильтра nftables 0.4"  +/–
Сообщение от pavlinux (ok), 17-Дек-14, 22:59 
> Напиши комментарии, как в первом случае. Тогда и поговорим.

Зачем комментарии, там в командах все написано.

Вот тут ещё можно, пару строчек.  

proto gre and ((ip[((ip[0]&0xf)<<2):4] & 0xff7fffff) = 0x3001880b) and
                   (
                    (
                     (ip[(((ip[0]&0xf)<<2) + ((ip[((ip[0]&0xf)<<2)+1] & 0x80) >> 5) +
                   12)]=0x21) and ((ip[((((ip[0]&0xf)<<2) + ((ip[((ip[0]&0xf)<<2)+1] &
                   0x80) >> 5) + 12)+1 +12):4] & 0xffffff00 = 0x52754000) or
                   ((ip[(((ip[0]&0xf)<<2) + ((ip[((ip[0]&0xf)<<2)+1] & 0x80) >> 5) + 12)+1
                   +9]=17) and ((ip[(((((ip[0]&0xf)<<2) + ((ip[((ip[0]&0xf)<<2)+1] & 0x80)
                   >> 5) + 12)+1 +((ip[(((ip[0]&0xf)<<2) + ((ip[((ip[0]&0xf)<<2)+1] &
                   0x80) >> 5) + 12)+1]&0xf)<<2))+12):4]=0x64323a69) )))
                    ) or (
                     (ip[(((ip[0]&0xf)<<2) + ((ip[((ip[0]&0xf)<<2)+1] & 0x80) >> 5) +
                   12):2]=0xff03) and (ip[(((ip[0]&0xf)<<2) + ((ip[((ip[0]&0xf)<<2)+1] &
                   0x80) >> 5) + 12)+2]=0x21) and ((ip[((((ip[0]&0xf)<<2) +
                   ((ip[((ip[0]&0xf)<<2)+1] & 0x80) >> 5) + 12)+3 +12):4] & 0xffffff00 =
                   0x52754000) or ((ip[(((ip[0]&0xf)<<2) + ((ip[((ip[0]&0xf)<<2)+1] &
                   0x80) >> 5) + 12)+3 +9]=17) and ((ip[(((((ip[0]&0xf)<<2) +
                   ((ip[((ip[0]&0xf)<<2)+1] & 0x80) >> 5) + 12)+3 +((ip[(((ip[0]&0xf)<<2)
                   + ((ip[((ip[0]&0xf)<<2)+1] & 0x80) >> 5) +
                   12)+3]&0xf)<<2))+12):4]=0x64323a69) )))
                    ) or (
                     (ip[(((ip[0]&0xf)<<2) + ((ip[((ip[0]&0xf)<<2)+1] & 0x80) >> 5) +
                   12):4]=0xff030021) and ((ip[((((ip[0]&0xf)<<2) +
                   ((ip[((ip[0]&0xf)<<2)+1] & 0x80) >> 5) + 12)+4 +12):4] & 0xffffff00 =
                   0x52754000) or ((ip[(((ip[0]&0xf)<<2) + ((ip[((ip[0]&0xf)<<2)+1] &
                   0x80) >> 5) + 12)+4 +9]=17) and ((ip[(((((ip[0]&0xf)<<2) +
                   ((ip[((ip[0]&0xf)<<2)+1] & 0x80) >> 5) + 12)+4 +((ip[(((ip[0]&0xf)<<2)
                   + ((ip[((ip[0]&0xf)<<2)+1] & 0x80) >> 5) +
                   12)+4]&0xf)<<2))+12):4]=0x64323a69) )))
                    ) or (
                     (ip[(((ip[0]&0xf)<<2) + ((ip[((ip[0]&0xf)<<2)+1] & 0x80) >> 5) +
                   12):2]=0x0021) and ((ip[((((ip[0]&0xf)<<2) + ((ip[((ip[0]&0xf)<<2)+1] &
                   0x80) >> 5) + 12)+2 +12):4] & 0xffffff00 = 0x52754000) or
                   ((ip[(((ip[0]&0xf)<<2) + ((ip[((ip[0]&0xf)<<2)+1] & 0x80) >> 5) + 12)+2
                   +9]=17) and ((ip[(((((ip[0]&0xf)<<2) + ((ip[((ip[0]&0xf)<<2)+1] & 0x80)
                   >> 5) + 12)+2 +((ip[(((ip[0]&0xf)<<2) + ((ip[((ip[0]&0xf)<<2)+1] &
                   0x80) >> 5) + 12)+2]&0xf)<<2))+12):4]=0x64323a69) )))
                    )
                   )

Ответить | Правка | Наверх | Cообщить модератору

39. "Выпуск пакетного фильтра nftables 0.4"  +/–
Сообщение от Аноним (-), 18-Дек-14, 06:03 
Вот это удобно, да?
Ответить | Правка | Наверх | Cообщить модератору

43. "Выпуск пакетного фильтра nftables 0.4"  +/–
Сообщение от pavlinux (ok), 18-Дек-14, 15:21 
> Вот это удобно, да?

Там просили "чтобы нагрузка на процессор была поменьше."

Ответить | Правка | Наверх | Cообщить модератору

51. "Выпуск пакетного фильтра nftables 0.4"  +/–
Сообщение от Аноним (-), 18-Дек-14, 15:38 
>> Вот это удобно, да?
> Там просили "чтобы нагрузка на процессор была поменьше."

Открою страшную тайну - можно было просто правило с -i lo перенести повыше, чтобы оно не дергало conntrack на локальных пакетах.

Ответить | Правка | Наверх | Cообщить модератору

53. "Выпуск пакетного фильтра nftables 0.4"  +/–
Сообщение от Аноним (-), 18-Дек-14, 17:10 
Наглядно на тему: работая над кодом програмы её можно ускорить на 10-15%, а рабоная над алгоритмом - на пару порядков! :)
Ответить | Правка | Наверх | Cообщить модератору

56. "Выпуск пакетного фильтра nftables 0.4"  +/–
Сообщение от pavel_simple (ok), 18-Дек-14, 17:24 
>>> Вот это удобно, да?
>> Там просили "чтобы нагрузка на процессор была поменьше."
> Открою страшную тайну - можно было просто правило с -i lo перенести
> повыше, чтобы оно не дергало conntrack на локальных пакетах.

cat /proc/net/ip_conntrack |wc
     30     420    4478
cat /proc/net/ip_conntrack |grep -c 127.0.0.1
0

на друой машине
cat /proc/net/ip_conntrack | wc
  10208  142628 1505300
cat /proc/net/ip_conntrack | grep -c 127.0.0.1
30

оптимизатор унылый

Ответить | Правка | К родителю #51 | Наверх | Cообщить модератору

60. "Выпуск пакетного фильтра nftables 0.4"  +/–
Сообщение от Аноним (-), 18-Дек-14, 18:03 
Вы таки полагаете, что доказали одним конкретным случаем некую всеобъемлющую закономерность?
Ответить | Правка | Наверх | Cообщить модератору

63. "Выпуск пакетного фильтра nftables 0.4"  +/–
Сообщение от pavel_simple (ok), 18-Дек-14, 18:27 
> Вы таки полагаете, что доказали одним конкретным случаем некую всеобъемлющую закономерность?

я таки пологаю что Павлин троль, накинул так, что никто и не заметил потому-что


iptables -t filter -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -t filter -I INPUT -i lo -j ACCEPT
iptables -t filter -Z

сии правила делают инсерт -- но не читавшим соответствующий ман этого не понять.
, кроме того ответственно заявляю что на МСЭ общение на интерфейсе lo минимально, и даже если МСЭ имеет такие нестандартные функции как transparent http/ftp proxy поиск в контраке делали не дибилы, о чём сведующие люди могли поинтересоваться в find ./ -iname '*conntrac*'

Ответить | Правка | Наверх | Cообщить модератору

64. "Выпуск пакетного фильтра nftables 0.4"  +/–
Сообщение от Аноним (-), 18-Дек-14, 19:26 
> сии правила делают инсерт

Хм, и правда. Значит, фиговый из павлина переводчик.

> кроме того ответственно заявляю что на МСЭ общение на интерфейсе lo минимально

На чем основано такое заявление?

> поиск в контраке делали не дeбилы

Тем не менее, это наиболее тяжелая операция во всем процессе обработки пакетов фаерволом.

Ответить | Правка | Наверх | Cообщить модератору

66. "Выпуск пакетного фильтра nftables 0.4"  +/–
Сообщение от pavel_simple (ok), 18-Дек-14, 19:41 
>> сии правила делают инсерт
> Хм, и правда. Значит, фиговый из павлина переводчик.
>> кроме того ответственно заявляю что на МСЭ общение на интерфейсе lo минимально
> На чем основано такое заявление?

на опыте -- ибо это МСЭ

>> поиск в контраке делали не дeбилы
> Тем не менее, это наиболее тяжелая операция во всем процессе обработки пакетов
> фаерволом.

кто сказал?

Ответить | Правка | Наверх | Cообщить модератору

69. "Выпуск пакетного фильтра nftables 0.4"  +/–
Сообщение от pavlinux (ok), 20-Дек-14, 18:49 
>> Вы таки полагаете, что доказали одним конкретным случаем некую всеобъемлющую закономерность?
> я таки пологаю что Павлин троль, накинул так, что никто и не заметил потому-что
> iptables -t filter -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
> iptables -t filter -I INPUT -i lo -j ACCEPT
> iptables -t filter -Z
> сии правила делают инсерт -- но не читавшим соответствующий ман этого не
> понять.

Доколе вы будете читать мои примеры как Святое писание? :D
Начинали по CodingStyle... Закончим, как всегда ассемблерными вставками в фирмварь сетевухи?!  

Ответить | Правка | К родителю #63 | Наверх | Cообщить модератору

70. "Выпуск пакетного фильтра nftables 0.4"  +/–
Сообщение от pavel_simple (ok), 20-Дек-14, 20:42 
>>> Вы таки полагаете, что доказали одним конкретным случаем некую всеобъемлющую закономерность?
>> я таки пологаю что Павлин троль, накинул так, что никто и не заметил потому-что
>> iptables -t filter -I INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
>> iptables -t filter -I INPUT -i lo -j ACCEPT
>> iptables -t filter -Z
>> сии правила делают инсерт -- но не читавшим соответствующий ман этого не
>> понять.
> Доколе вы будете читать мои примеры как Святое писание? :D
> Начинали по CodingStyle... Закончим, как всегда ассемблерными вставками в фирмварь сетевухи?!

Павлин? -- а это ты точно мне пейсал? -- а то я чито-то не понимаю.
всмысле ничего не понимаю.. вот, совсем запутался Ж:(

Ответить | Правка | Наверх | Cообщить модератору

67. "Выпуск пакетного фильтра nftables 0.4"  +1 +/–
Сообщение от AlexAT (ok), 18-Дек-14, 21:29 
Открою вторую страшную тайну, можно ещё lo в raw в NOTRACK запихнуть... Чтобы вообще conntrack не дёргало.
Ответить | Правка | К родителю #51 | Наверх | Cообщить модератору

24. "Выпуск пакетного фильтра nftables 0.4"  +/–
Сообщение от User (??), 17-Дек-14, 15:24 
> Это просто нириально тяжело!

Эталонное "насрано" с мешаниной из больших и маленьких букв в качестве optional-argument'ов, сочетание '-' и '--' в одной команде, UPPERCASE в качестве option-argument'ов, практически полное отсутствие сколько-нибудь вменяемой мнемоники для всего этого - в общем, дети, почитайте GNU/POSIX Utility Syntax Guidelines И НЕ ДЕЛАЙТЕ ТАК БОЛЬШЕ!!!1111АДЫНАДЫНАДЫН

А еще лучше - посмотрите, как это сделано хотя бы в IPFW (Про PF молчу) и сделайте так же. Впрочем, за неимением гербовой - сойдет и первый вариант

Ответить | Правка | К родителю #14 | Наверх | Cообщить модератору

29. "Выпуск пакетного фильтра nftables 0.4"  +/–
Сообщение от Crazy Alex (ok), 17-Дек-14, 19:32 
Видишь ли, в этом "насрано" глав мгновенно выхватывает "ESTABLISED,RELATED" - и контекст для понимания готов, я уже знаю, о чем речь. Так же и таргет большими буквами четко виден, даже если за ним идут параметры. То есть можно быстро понять, о чем правило, а потом, если надо, смотреть детали. А мнемоника... Полтора десятка общеупотребимых параметров запоминается элементарно, а за остлаьным раз в пол-года в справочник заглянуть не проблема. Ну так это всегда так - распространённое помнишь, об остальном - читаешь при надобности.

А в ipfw-подобном синтаксисе вот этих подсказок нет, там надо именно читать всё простыню. В принципе, так как здесь, в отличие от ipfw, имеем не параметры командной строки в простыне sh-скрипта, а отдельные файлы, редакторы, скорее всего, будут поддерживать раскраску, что может и снять проблему.

Ответить | Правка | Наверх | Cообщить модератору

31. "Выпуск пакетного фильтра nftables 0.4"  –1 +/–
Сообщение от User (??), 17-Дек-14, 21:30 
>Видишь ли, в этом "насрано" глав мгновенно выхватывает "ESTABLISED,RELATED" - и контекст для понимания готов, я уже знаю, о чем речь.

Вот только все остальные, хвала Аллаху, милостивому и милосердному, привычку выделять каждое второе ВАЖНОЕ слово КАПСОМ почему-то не подхватили. Хотя... О, точно - MS PowerShell напоминает. Точно такое же "насрано" с CamelCase-Где-Надо--и-Где-Не-НАДО, раскраска всего и вся "под радугу" и вечная необходимость квотить пробелы... спасибо, обойдусь.
> А мнемоника... Полтора десятка общеупотребимых параметров запоминается элементарно, а за остлаьным раз в пол-года в справочник заглянуть не проблема. Ну так это всегда так - распространённое помнишь, об остальном - читаешь при надобности.

Заменить "запоминается" на "задрачивается" и ага. Вот только для большинства *nix'оводов firewall не является "предметом наипервейшей необходимости" - 99,95% *nix-инсталляций имеют firewall с десятком правил (Или не имеют его вовсе, ага), для которых многослойная архитектура iptables явно избыточна, достаточно плоского firewall'а, а там, где сложность реально нужна давным-давно стоят cisco-juniper-brocade. Как-то так.
В отличие от - набор правил ipfw\pf\ipf именно что ЧИТАЕТСЯ любым носителем английского языка, минимально знакомым с предметной областью. Не надо ничего "задрачивать", в простых случаях (Которых абсолютное большинство) берешь, читаешь и пишешь по образцу. Profit!

Ответить | Правка | Наверх | Cообщить модератору

35. "Выпуск пакетного фильтра nftables 0.4"  +/–
Сообщение от pavlinux (ok), 17-Дек-14, 23:08 
> Вот только все остальные, хвала Аллаху, милостивому и милосердному,
> привычку выделять каждое второе ВАЖНОЕ слово КАПСОМ почему-то не подхватили.

Чё ты гонишь? Видимо них...я не читаешь доки, книги, маны. Ну так забей в гугле Linux Firewall Howto

Первые три ссцылки:
http://www.howtogeek.com/177621/the-beginners-guide-to-iptab.../
http://doc.norang.ca/iptables.html
http://www.comentum.com/unix-linux-ip-firewall.html

Ответить | Правка | Наверх | Cообщить модератору

52. "Выпуск пакетного фильтра nftables 0.4"  +/–
Сообщение от Аноним (-), 18-Дек-14, 15:41 
> Чё ты гонишь? Видимо них...я не читаешь доки, книги, маны. Ну так
> забей в гугле Linux Firewall Howto

То-то, я смотрю, большинство "админов" "настраивает" iptables методом бездумной копипасты из гугла, и допиливает напильником под свои нужды при помощи а) ненаучного тыка б) создания тем "памагите пажалуйста" на каком-нибудь LOR-е.

Ответить | Правка | Наверх | Cообщить модератору

41. "Выпуск пакетного фильтра nftables 0.4"  +/–
Сообщение от Аноним (-), 18-Дек-14, 06:32 
getopt. Что в ответ может предложить носитель языга?
Ответить | Правка | К родителю #31 | Наверх | Cообщить модератору

45. "Выпуск пакетного фильтра nftables 0.4"  +/–
Сообщение от Аноним (-), 18-Дек-14, 15:26 
> getopt. Что в ответ может предложить носитель языга?

Bison.

Ответить | Правка | Наверх | Cообщить модератору

71. "Выпуск пакетного фильтра nftables 0.4"  +/–
Сообщение от Аноним (-), 20-Дек-14, 21:32 
Ну-ну.
Ответить | Правка | Наверх | Cообщить модератору

75. "Выпуск пакетного фильтра nftables 0.4"  +/–
Сообщение от Аноним (-), 19-Дек-15, 12:36 
>где сложность реально нужна давным-давно стоят cisco-juniper-brocade

С "непонятно кем" встроенными бекдорами. Читай недавнюю новость на opennet. Поэтому доверие к такой "защите" стремится к нулю.

Ответить | Правка | К родителю #31 | Наверх | Cообщить модератору

42. "Выпуск пакетного фильтра nftables 0.4"  –6 +/–
Сообщение от Адекват (ok), 18-Дек-14, 07:31 
Спорим, что конфиг будет очень критичен к количеству отступов от края, и если кто-то не дай бог сделает лишний отступ или на один меньше - правило не будет работать, просто молча на будет работать без объяснения причин ?
Ответить | Правка | К родителю #14 | Наверх | Cообщить модератору

48. "Выпуск пакетного фильтра nftables 0.4"  +1 +/–
Сообщение от Аноним (-), 18-Дек-14, 15:32 
> Спорим, что конфиг будет очень критичен к количеству отступов от края, и
> если кто-то не дай бог сделает лишний отступ или на один
> меньше - правило не будет работать, просто молча на будет работать
> без объяснения причин ?

Вы проиграли.

И так будет с каждым, кто не читал, но осуждает.

Ответить | Правка | Наверх | Cообщить модератору

76. "Выпуск пакетного фильтра nftables 0.4"  +/–
Сообщение от Аноним (-), 19-Дек-15, 12:42 
Там блоки формируются с помощью {...}. Так что не надо сравнивать с Питоном.
Ответить | Правка | К родителю #42 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей 		Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру