Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Для ядра Linux предложен новый пакетный фильтр bpfilter, opennews (?), 21-Фев-18, (0) [смотреть все] Какая у них интеллектуальная дискуссия, а был бы Линус обозвал бы всех макаками, mimocrocodile (?), 22:16 , 21-Фев-18, (1) +31 // Если б они сказали Мы запилили новый bpfilter, с новой версией все старые iptab, Аноним (-), 14:36 , 22-Фев-18, (92) +3 // Да их и сейчас не лишне назвать Потому что если вгружать мутные блобы из юзермо, Аноним (-), 19:56 , 24-Фев-18, (154) +1 какая свежая идея, бинго, vitalif (ok), 22:25 , 21-Фев-18, (2) +13 // И почему-то не слышно воплей что бсд не нужен Все аналитики в школе , anonymoused (?), 16:27 , 22-Фев-18, (96) // В Беркли всё ещё химичат с алгоритмами TCP IP, так-как у них актуальны проблемы , Джон Ленин (?), 11:37 , 23-Фев-18, (127) –1 А что, нужен Кому и нахрена Они могут делать хоть что-то лучше других Грантое, Аноним (-), 20:19 , 24-Фев-18, (157) А как жо Firewalld , Аноним (-), 22:32 , 21-Фев-18, (3) –7 // надстройка над Iptables же, Аноним (-), 22:45 , 21-Фев-18, (5) +7 // вот-вот Сразу видна квалификация -d разработчиков только очередную обертку и , Аноним (-), 07:16 , 22-Фев-18, (33) // Кроме оберток и не нужно ничего да и обертка не нужна, впилили бы механизмы заг, Аноним (-), 10:08 , 22-Фев-18, (45) Может пиплам некогда заниматься тестированием, да и рисковано , Аноним (-), 13:06 , 22-Фев-18, (80) Механизмы есть, см как реализовано в redhat Пипл оценил, что в новом фаерволе, anonymoused (?), 16:32 , 22-Фев-18, (98) Блин, httpd - обертка над протоколом http оказывается А что до квалификации, fi, Аноним (-), 02:26 , 23-Фев-18, (118) который в свою очередь надстройка над netfilter, Alex_hha (?), 13:00 , 22-Фев-18, (76) тык чтоже nftables учить или нет , Аноним (-), 22:40 , 21-Фев-18, (4) +12 // systemd-tables учи заранее , EuPhobos (ok), 09:24 , 22-Фев-18, (39) +15 // Который будет всего-лишь парсером конфигов с их ивент-активацией Pulse vs, Джон Ленин (?), 11:55 , 23-Фев-18, (129) Эврика, пойду фичреквест на гитхабе закатаю , Аноним (-), 04:19 , 24-Фев-18, (144) Например, API iptables не предоставляет способа добавления или замены единичног, cat666 (ok), 22:58 , 21-Фев-18, (7) –3   // Не путайте API iptables и утилиту iptables Из FAQ 4 5 Is there an C C API fo, Аноним (-), 23:18 , 21-Фев-18, (9) +2   // Спасибо за грамотный ответ Не думал, что всё так запущено , cat666 (ok), 23:20 , 21-Фев-18, (10) +1   // Года 4 назад обсуждали тут Обсуждали код, не слова из мануала, а код Логика рабо, ананим.orig (?), 13:00 , 22-Фев-18, (74)   Как соблюсти последовательность и логику при добавлении правилаи не запороть , Аноним (-), 13:09 , 22-Фев-18, (81)   Добавляй user define chains на каждый случай , anonymoused (?), 16:36 , 22-Фев-18, (99)   ну, все операции атомарны и thtrad safeа логику 8212 а вам то за что з п плат, ананим.orig (?), 23:42 , 22-Фев-18, (115) –1   Использовать -I CHAIN номер-правила вместо -A CHAIN , XoRe (ok), 16:25 , 24-Фев-18, (147)   Что, всего половину логики программы iptables надо написать, а не всю Офигитель, Аноним (-), 02:29 , 23-Фев-18, (119) –2   а в чем и зачем там вообще весь api , если правила добавлять он не умеет И кому, пох (?), 00:28 , 22-Фев-18, (14) +4   // простите, что именно используется и где мысль о том, что где-то можно хранить ор, DPDKguy (?), 11:28 , 22-Фев-18, (56)   нет, я не идиот Это не оригинальный набор правил , в этом все и дело Если я из, пох (?), 12:28 , 22-Фев-18, (60) +2   сложно вам, наверное начать можно с того, что просто хранить текущий рулесет в я, DPDKguy (?), 12:45 , 22-Фев-18, (66)   Просто только простейшим Вон амёбы, как выяснили британские учонные Tm - всегд, _ (??), 19:10 , 22-Фев-18, (108)   При добавлении еденичного правила, iptables выгружает через api весь набор прави, Riv1329 (?), 07:10 , 22-Фев-18, (32)   // Ну дык это блобик загружаемый в ядро И только особо приближенные понимают как, Аноним (-), 09:17 , 22-Фев-18, (38)   там есть commit то есть оно почти-атоммарное И внутри оно немножко менее , пох (?), 12:31 , 22-Фев-18, (61) +1   // Ну то-есть ты сам описал предпосылки почему systemd должен стать центральным дис, Аноним (-), 19:59 , 24-Фев-18, (155) –2   Когда пробую новую конфигурацию добавляю правила по-одному Неужели при этом все , Аноним (-), 23:25 , 21-Фев-18, (11) // Да, именно так все и происходит, Аноним (-), 00:50 , 22-Фев-18, (17) +2 Да, но пофиг, - реальных проблем с производительностью это не создает, Аноним (-), 05:23 , 22-Фев-18, (27) // Только накопленная статистика слетает, а так ничего , DeadLoco (ok), 09:51 , 22-Фев-18, (43) –2 // раньше, вплоть до 2 6 27 не слетала, Аноним (-), 09:58 , 22-Фев-18, (44) Тут проблема в чем В том, что многие забывают, что система слегка не однозадач, КО (?), 10:17 , 26-Фев-18, (159) Опять этот троян Усложненный синтаксис и встроенный троян, сомнительные такие до, EHLO (?), 23:55 , 21-Фев-18, (12) +1 // почему троян , АНОНИМ (?), 13:12 , 22-Фев-18, (83) // Самосгенерированный код будет выполняться в режиме ядра и парсить заголовки кажд, EHLO (?), 17:04 , 22-Фев-18, (106) // спасибо за пояснение, АНОНИМ (?), 18:43 , 22-Фев-18, (107) А то, что статические правила существуют сначала в виде текста, и после парсинга, Джон Ленин (?), 11:52 , 23-Фев-18, (128) Бинарник 8800 исполняемый код Текстовые правила в обоих случаях статические , EHLO (?), 12:45 , 23-Фев-18, (132) Ну согласен же, не говоря о том, что выполняющийся в машине код должен иметь п, Аноним (-), 16:21 , 23-Фев-18, (135) Генерящийся код может быть следствием псевдо-ооп, когда ветвящийся процесс обща, Джон Ленин (?), 22:17 , 23-Фев-18, (142) Потому-что iptables знакомый во всех местах, существует тонна документации, прим, asdasdasd (?), 00:23 , 22-Фев-18, (13) +3 // если вы используете генераторы , то вам должно быть глубоко похрен apt-get upgr, пох (?), 00:40 , 22-Фев-18, (15) +1 // Чукча не мыслитель, чукча писатель ГОТОВЫЕ утилки которые генерируют iptables , sadasd (?), 02:46 , 22-Фев-18, (19) // пока ещё - убунопроблемы У меня в демьянах кое где вообще по крону , . (?), 03:11 , 22-Фев-18, (23) я и говорю - своими мозгами вы _даже_ это сгенерировать не можете, вам подавай , пох (?), 09:04 , 22-Фев-18, (36) Вот вот, плохие новости, НО вот оно это но как всегда в самый неподходящий моме, Аноним (-), 09:31 , 22-Фев-18, (40) конечно А разработчики не любят лишний раз морщить ум свои-то ценные идеи куд, пох (?), 12:36 , 22-Фев-18, (63) Справедливости ради стоит отметить, что разработчики ведут себя так при явной по, anonymoused (?), 16:45 , 22-Фев-18, (100) Что-то надобие sbin iptables -F sbin iptables -A INPUT -p tcp --tcp-flags ALL N, Аноним (-), 16:29 , 22-Фев-18, (97) Что действительно надо, так это перед типичным для линуксойдов изобретением вело, anonymoused (?), 16:51 , 22-Фев-18, (102) Что, ты тоже повзрослел до WinXP, как другой гражданин , Аноним (-), 20:01 , 24-Фев-18, (156) gt оверквотинг удален сблеванул ужасно и крайне неэффективно, DPDKguy (?), 13:53 , 27-Фев-18, (162) А где ты видел в IT, в последнее время, здравый ум Чем хуже - тем лучше , . (?), 03:09 , 22-Фев-18, (22) +3 Леня и его систымДы , Alex_hha (?), 13:05 , 22-Фев-18, (79) +1 Эй Я еще с iptables на nftables не переучился , Аноним (-), 00:50 , 22-Фев-18, (16) Самое приятное в этой ситуации, что на основе этого можно сделать порт pf Чтобы, Anonymous Coward (?), 01:36 , 22-Фев-18, (18) +2 // Покажи как в pf conf будет выглядить правило делать MIRROR на все UDP пакеты из, pavlinux (ok), 02:54 , 22-Фев-18, (21) +1 // А как в iptables Или ты так, для почесать ниже хвоста , . (?), 03:12 , 22-Фев-18, (24) // Ну, если опустить установку и загрузку необходимых для этого модулей, то как то , angra (ok), 03:44 , 22-Фев-18, (25) +9 То есть iptables выполняет ф-цию крона А как же unix-way и все такое , Аноним (-), 05:33 , 22-Фев-18, (28) –2 В каком месте cron это выполнение действия в определенное время, а здесь одно и, angra (ok), 05:53 , 22-Фев-18, (29) +4 Кеонечно не unixway, поскольку вывод списка файлов это частный случай поиска , Агроном (?), 07:36 , 23-Фев-18, (125) Зачем напрямую дёргать ассемблер iptables, если для декларативного описания це, PnDx (ok), 12:36 , 22-Фев-18, (62) действительно, зачем нужна конфигурация из пяти удобочитаемых строк, когда можн, пох (?), 12:45 , 22-Фев-18, (65) +1 Вот как раз diff прекрасно выгладит Потому что 1 Декларация модульная Нужное , PnDx (ok), 12:57 , 22-Фев-18, (70) Конечно всем учить iptables не нужно И уж тем более ferm не нужно Для этих нев, angra (ok), 21:58 , 22-Фев-18, (112) А чего в примере скобки разные Это баг или фича Впрочем у блинлайна, мегавони,, Аноним (-), 04:32 , 24-Фев-18, (146) Это кривая копипаста А вы таки хотели, чтобы я слил для иллюстрации чуть мень, PnDx (ok), 12:23 , 26-Фев-18, (161) Жжуть,опять маны читать надо , pavlinux (ok), 03:15 , 23-Фев-18, (121) gt оверквотинг удален этот велосипед примерно так же ужасен, как и неэффективе, DPDKguy (?), 13:55 , 27-Фев-18, (164) что за модули , ЫЫЫыыЫЫЫ (?), 17:15 , 24-Фев-18, (149) поищи extra iptables modules, наноним (?), 14:51 , 12-Окт-23, (171) слив засчитан , pavlinux (ok), 03:05 , 23-Фев-18, (120) Слив в чём В том что чел не знал что в иптаблах есть работа с таймстампом В БСД, _ (??), 20:27 , 23-Фев-18, (138) +1 С фига ли Пакеты можно по PID фильтровать Разумеется только для локальных проц, Аноним (-), 04:23 , 24-Фев-18, (145) Нет, в Линуксе для этого системы мандатного управления доступом, а не пакетный ф, EHLO (?), 17:59 , 24-Фев-18, (151) –1 Или просто namespaces То же самое но в 20 раз проше , Аноним (-), 19:16 , 24-Фев-18, (153) что-то наподобие pass quick in proto udp from geoip-cn to any port 0 1023 mi, Аноним (-), 11:33 , 22-Фев-18, (58) // а можно ли показать то же самое, но для трафика внутри gre-туннеля который бегае, DPDKguy (?), 13:58 , 27-Фев-18, (165) Гм Как-то так etc pf conf table geoip-china persist file etc geoip chi, A. Stahl Is Gay (?), 16:49 , 22-Фев-18, (101) // А вот аноним выше уверен, что может При таких разногласиях выходит, что не тако, angra (ok), 22:05 , 22-Фев-18, (113) Мб он плохо man прочитал Эта опция там для scrub Почему же , Anonymous Coward (?), 22:30 , 22-Фев-18, (114) Всё может быть Я pf не знаю и мне не особо интересно, кто из них прав Меня в п, angra (ok), 00:00 , 23-Фев-18, (117) Ты злодей , ПавелС (ok), 18:18 , 23-Фев-18, (136) чтобы ради ftp держать user-space демон, а протоколы посложнее вообще не работал, пох (?), 09:16 , 22-Фев-18, (37) // А демон для ftp тут причем o0Ась gt оверквотинг удален У iptables нет конфига, A. Stahl Is Gay (?), 16:59 , 22-Фев-18, (104) +1 // Аха Что Никогда не понимал таких чудаков Именно это и надо использовать Тольк, Аноним (-), 16:38 , 27-Фев-18, (168) gt оверквотинг удален У меня дак все понятно Я используюсь dns имена и службы, ПавелС (ok), 18:22 , 23-Фев-18, (137) вы можете прямо сейчас взять nftables и писать в подобном стиле , DPDKguy (?), 13:54 , 27-Фев-18, (163) Руки прям чешутся всё пихать в ядро , pavlinux (ok), 02:51 , 22-Фев-18, (20) +2 // Ну прям таки всё Компилять правила в байткод предлается вне ядра Или ты прелае, Аноним (-), 10:29 , 22-Фев-18, (50) // У многих железяк есть схемы PCI - DMA - CPU и обратно , pavlinux (ok), 03:31 , 23-Фев-18, (122) +1 Если они все сделают по-человечески, кода в ядре станет меньше, потому что все д, A. Stahl Is Gay (?), 17:01 , 22-Фев-18, (105) Noooo В бытность сетевиком всякие файерволы доводилось настраивать, страшнее ip, leap42 (ok), 04:58 , 22-Фев-18, (26) –8 // я надеюсь, тебя уволили и больше ты к сетевому оборудованию не подходишь Справка, пох (?), 09:44 , 22-Фев-18, (41) +2 // плюсую разделение на таблицы и цепочки, а также модульность сделали iptables ст, Аноним (-), 10:12 , 22-Фев-18, (46) // ipchains, на самом деле iptables скопировал идею, уже годами отлаженную, к сожа, пох (?), 12:56 , 22-Фев-18, (69) gt оверквотинг удален Да, гибкость и возможности всяких тонких настроек в , Аноним (-), 10:16 , 22-Фев-18, (48) То есть с zbfw ты разобраться так и не смог Да и если ты путаешь в одну кучу zb, Pofigist (?), 10:45 , 22-Фев-18, (53) –1 ну-ну давайте изобразите одним правилом разный набор действий на 4 src ip , DPDKguy (?), 12:26 , 22-Фев-18, (59) // угу сэкономим несколько строк в конфиге и получим нечитаемое месиво , Аноним (-), 12:38 , 22-Фев-18, (64) отлично ваш вариант напомню, что у нас 4к адресов ок, префиксов и для каждого, DPDKguy (?), 12:48 , 22-Фев-18, (67) покажите Я хочу эту образцовую глупость увидеть адреса не показывайте, не хочу, пох (?), 12:59 , 22-Фев-18, (73) Ну на самом деле может быть 4к _разных_ инспектов Но таки да - глупость ра, Pofigist (?), 13:03 , 22-Фев-18, (77) https wiki nftables org wiki-nftables index php Dictionaries, DPDKguy (?), 14:00 , 27-Фев-18, (166) можно начать с простого 4k адресов из какой-нибудь 10 8 и такое же количество п, DPDKguy (?), 14:15 , 27-Фев-18, (167) Ну расскажи по 4к разных action Не умете структурировать задачу Ваши проблемы, Pofigist (?), 13:00 , 22-Фев-18, (75) увольняют и не подпускают к сетевому оборудованию клоунов, которые isr к фаервол, juniper рулит (?), 12:50 , 22-Фев-18, (68) –1 // Стандартный компонент isr - zbfw, рассказать как расшифровывается сия аббревиату, Pofigist (?), 12:58 , 22-Фев-18, (71) а банальнейший nbar мы как iptables ами будем имитировать - цепочку u32 на кажды, пох (?), 13:04 , 22-Фев-18, (78) Формально nbar - абсолютно отдельная фича, никак не привязанная к ipfw, что разу, Pofigist (?), 13:18 , 22-Фев-18, (84) Бро, дай я тебя обниму Вынуждено приходится настраивать кучу легаси на ipfw с 1, Аноним (-), 02:05 , 24-Фев-18, (143) Какой нахрен ты сетевик, если даже примитивный iptables ниасилил D От настрой, pavlinux (ok), 03:40 , 23-Фев-18, (123) –1 Какую задачу решает bpfilter, заменяя iptables и используя правила iptables Щоб, Аноним (-), 08:30 , 22-Фев-18, (34) // Там же написано у вас нет гемора с iptables, будет , An (??), 08:35 , 22-Фев-18, (35) +5 // Потому что будет гемор с bpfilter Логично , Аноним (-), 12:59 , 22-Фев-18, (72) +1 нет, щоб пропихнуть в ведро эту поделку, а потом радостно клепать интуитивноприя, пох (?), 09:50 , 22-Фев-18, (42) ух ты, есть же, кто думает пр ообратную совместимость Аргумент весомый, однако Р, Аноним (-), 10:16 , 22-Фев-18, (49) А что мешает сейчас дополнить этот API соответстующими возможностями , Аноним (-), 10:40 , 22-Фев-18, (52) И стоило переводить это 1 Со времён 2 4 iptables модули сетевых фильтров могут , Ne01eX (ok), 11:01 , 22-Фев-18, (54) +2 // стоило - надо ж заранее готовить запасной аэродром э типа, в 2 2 вообще-то бы, пох (?), 13:09 , 22-Фев-18, (82) +1 // емнип, в 2 2 для ipchains были nat-хелперы, но не полноценные модули, как у ipta, Аноним (-), 13:38 , 22-Фев-18, (85) // да и ipchains так себе был - очень мало функционала даже tcp режектить не умел , Аноним (-), 13:39 , 22-Фев-18, (87) Типовая задача - некая IDS обнаруживает аномалиb и дает FW команду блокировать а, Pofigist (?), 13:39 , 22-Фев-18, (86) // ipset, Аноним (-), 13:47 , 22-Фев-18, (88) Разумеется IDS и FW работают на разных машинах И не на одной , Pofigist (?), 14:24 , 22-Фев-18, (91) ну напиши себе мега-api, которое будет через libastral передавать эту информацию, пох (?), 20:58 , 22-Фев-18, (111) +2 Я ждал этого ответа Еще раз - там не 2 сарвера, один с IDS, другой с FW - там и, Pofigist (?), 11:10 , 23-Фев-18, (126) +2 Пока ты выглядишь как диванный аналитик копипастивший тролльные фразочки Вчера б, pavlinux (ok), 12:53 , 23-Фев-18, (133) Нда у всех гордых админов локалоста есть сугубо неправильное мнение что самая, Pofigist (?), 13:59 , 23-Фев-18, (134) Не, ну конечно с Российским филиалом Horns and hooves Inc тут никто не сравнится, _ (??), 20:38 , 23-Фев-18, (139) Можно логировать пакеты не попавшие в правила Юзерспейсная программа вполне сп, ПавелС (ok), 17:31 , 24-Фев-18, (150) ping -c1 -p 0xdeadbeef 192 168 0 FW Надеюсь обработчик ICMP меток осилишь напис, pavlinux (ok), 03:55 , 23-Фев-18, (124) +3 Злой ты Хотя тяпница и праздник, когда галифе пропей, но , _ (??), 20:39 , 23-Фев-18, (140) Му-ха-ха, с-оптимизировал продай в сразу - пропей , _ (??), 20:41 , 23-Фев-18, (141) вероятно, да, один из немногих хороших способов применения этой фигни Хотя я, к, пох (?), 20:50 , 22-Фев-18, (110) Не бывает хороших хостов - кругом враги До-да - любой хост можно скомпрометиров, Pofigist (?), 11:57 , 23-Фев-18, (130) Вот Нужен просто компилятор привычных правил iptables nft в bpf плюс возможност, amonymous (?), 11:32 , 22-Фев-18, (57) 2018, а фаерволлы до сих пор не умеют в правила per file и per process без косты, Аноним (-), 14:11 , 22-Фев-18, (89) –2 // не осилил - так и скажи, Аноним (-), 14:20 , 22-Фев-18, (90) // если Вы осилили - примеры в студию пожалуйста Единственный способ оградить отде, Аноним (-), 14:40 , 22-Фев-18, (93) // Дали им неймспесы сетевые 8212 нет, не хотим Хотим страдать Ну страдайте, ч, Аноним (-), 23:57 , 22-Фев-18, (116) еще раз - как это решает проблему с запуском гуевого софта от пользователя , Аноним (-), 12:21 , 23-Фев-18, (131) Так напиши свою запускалку, чтоб запускала файл в определенном неймспейсе И пус, КО (?), 11:07 , 26-Фев-18, (160) Честно пытался, но нишмог, да Меня даже не удивляет, что воз и ныне там В IT во, Аноним (-), 15:25 , 22-Фев-18, (95) –4 потому что как в 78м не было в ip пакете, нипаверишь, ну никаких указаний какому, пох (?), 20:39 , 22-Фев-18, (109) // gt оверквотинг удален Входящие соединения конечно анонимны, но для этого тогда, ПавелС (ok), 18:14 , 24-Фев-18, (152) Во времена systemd звучит прямо как фантастика, прямо даже удивительно что ещё г, Аноним (-), 14:46 , 22-Фев-18, (94) Не знал, что все так запущено , XoRe (ok), 16:27 , 24-Фев-18, (148) Всё было просто замечательно пока я не дочитал до строчки Харальд Вельте По, mumu (ok), 03:45 , 04-Мрт-18, (170) 1,2,3,4,7,11,12,13,16,18,20,26,34,49,52,54,57,89,94,148,170

Сообщения

[Сортировка по времени | RSS]

7. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	–3 +/–
Сообщение от cat666 (ok), 21-Фев-18, 22:58
"Например, API iptables не предоставляет способа добавления или замены единичного правила или небольшого набора правил...." - Вельте бредит?
Ответить | Правка | Наверх | Cообщить модератору

	9. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+2 +/–
	Сообщение от Аноним (-), 21-Фев-18, 23:18
	Не путайте API iptables  и утилиту  iptables. Из FAQ: 4.5 Is there an C/C++ API for adding/removing rules? The answer unfortunately is: No. We are well aware that there is a fundamental lack for such an API, and we are working on improving that situation. Until then, it is recommended to either use system() or open a pipe into stdin of iptables-restore. The latter will give you a way better performance.
	Ответить | Правка | Наверх | Cообщить модератору

	10. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+1 +/–
	Сообщение от cat666 (ok), 21-Фев-18, 23:20
	Спасибо за грамотный ответ! Не думал, что всё так запущено. > Не путайте API iptables  и утилиту  iptables. > Из FAQ: > 4.5 Is there an C/C++ API for adding/removing rules? > The answer unfortunately is: No. > We are well aware that there is a fundamental lack for such > an API, and we are working on improving that situation. Until > then, it is recommended to either use system() or open a > pipe into stdin of iptables-restore. The latter will give you a > way better performance.
	Ответить | Правка | Наверх | Cообщить модератору

	74. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+/–
	Сообщение от ананим.orig (?), 22-Фев-18, 13:00
	Года 4 назад обсуждали тут. Обсуждали код, не слова из мануала, а код. Логика работы при добавлении правила такая — строится новая таблица, добавляемое правило занимает своё место, после чего в ядре меняется указатель на новую таблицу. Что и где тут запущено — на совести очередного нового открывателя америки.
	Ответить | Правка | Наверх | Cообщить модератору

	81. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+/–
	Сообщение от Аноним (-), 22-Фев-18, 13:09
	Как соблюсти последовательность и логику при добавлении правила и не запороть?
	Ответить | Правка | Наверх | Cообщить модератору

	99. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+/–
	Сообщение от anonymoused (?), 22-Фев-18, 16:36
	> Как соблюсти последовательность и логику при добавлении правила > и не запороть?Д Добавляй user define chains на каждый случай.
	Ответить | Правка | Наверх | Cообщить модератору

	115. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	–1 +/–
	Сообщение от ананим.orig (?), 22-Фев-18, 23:42
	ну, все операции атомарны и thtrad safe а логику — а вам то за что з/п платят? не, может и терминатор наверное конечно. но лично я предпочту как-то сам. Зыж iptables все равно лучший на данный момент. а там,.. хоть jit, да хоть в контейнеры,.. — академический интерес. что 4 года назад писал, что сейчас.
	Ответить | Правка | К родителю #81 | Наверх | Cообщить модератору

	147. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+/–
	Сообщение от XoRe (ok), 24-Фев-18, 16:25
	> Как соблюсти последовательность и логику при добавлении правила > и не запороть? Использовать "-I CHAIN номер-правила" вместо "-A CHAIN".
	Ответить | Правка | К родителю #81 | Наверх | Cообщить модератору

	119. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	–2 +/–
	Сообщение от Аноним (-), 23-Фев-18, 02:29
	> Что и где тут запущено — на совести очередного нового открывателя америки. Что, всего половину логики программы iptables надо написать, а не всю? Офигительное API - перестраивать самому таблицы для изменения 1 правила. Очень удобно и код простой и компактный.
	Ответить | Правка | К родителю #74 | Наверх | Cообщить модератору

	14. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+4 +/–
	Сообщение от пох (?), 22-Фев-18, 00:28
	> Не путайте API iptables  и утилиту  iptables. а в чем и зачем там вообще весь "api", если правила добавлять он не умеет? И кому он вообще нужен, если нет никакой проблемы выковырять нужный код из iptables (afair, он использует кернельный сокет, величайшая трагедия для манки-кодера, столь сложный код придется ему самому вставлять, а не тягать из готовой библиотеки) в общем, одна попытка заставить всех использовать уродливый непригодный для ручного управления (потому что структура правил такая, что ее глазами просмотреть и осознать за пределами локалхостового администрежа почти нереально) апи провалилась, пытаются подъехать с другой стороны. (да, вы сделаете кривой и косой эмулятор iptables -A, и может быть даже -R - а как вы собрались _обратно_ транслировать ваш BPF для _просмотра_ того, что получилось? А, я знаю: никак.) К сожалению, разработчики всего этого ненужного хлама - не админы ни разу, даже не бывшие. Им в голову не приходит, как на самом деле люди используют эти фильтры. И они, похоже, искренне не понимают, почему предыдущая попытка не прокатила. Это очередные "еще не совсем готово для десктопа". И интерфейс они пишут не для людей, а для очередного кривого-косого гуевого чудо-файрвола, клик-клик-клик, вот, все работает. Ну и что, что ты хотел совсем не это - если такой умный, иди пиши bpf-правила руками.
	Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

	56. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+/–
	Сообщение от DPDKguy (?), 22-Фев-18, 11:28
	> (afair, он использует кернельный сокет, величайшая трагедия для манки-кодера, > столь сложный код придется ему самому вставлять, а не тягать из > готовой библиотеки) простите, что именно используется и где? > (да, вы сделаете кривой и косой эмулятор iptables -A, и может быть > даже -R - а как вы собрались _обратно_ транслировать ваш BPF > для _просмотра_ того, что получилось? А, я знаю: никак.) мысль о том, что где-то можно хранить оригинальный набор правил вам не приходила в голову? > К сожалению, разработчики всего этого ненужного хлама - не админы ни разу, > даже не бывшие. Им в голову не приходит, как на самом > деле люди используют эти фильтры. И они, похоже, искренне не понимают, > почему предыдущая попытка не прокатила. вы совершенно не понимаете как устроен и работает netfilter
	Ответить | Правка | Наверх | Cообщить модератору

	60. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+2 +/–
	Сообщение от пох (?), 22-Фев-18, 12:28
	> мысль о том, что где-то можно хранить оригинальный набор правил вам не приходила в голову? нет, я не идиот. Это не "оригинальный набор правил", в этом все и дело. Если я изменю напрямую правила в чудо-фильтре в обход вашего "оригинального набора" (добавив себе отличную дырку в обход вашей системы проверок) - вы этого даже не увидите.  Потому что "оригинальный" - он в ядре. (лет через десять додумаются его "подписывать", а чо, щас так модно. Ну что же, и подпишем, вы ж как-то собираетесь им управлять? Значит и все ключики где-то недалеко лежат.) Все то же самое еще и возможно из-за ошибок в коде чудо-транслятора, как вы это дебажить собрались? ("вы" - это к админам, если что, а не к гени[т]альным разработчикам еще-не-совсем-готового-для-альтернативно-одаренных хлама) И при этом в таком виде, что проверить, какой он на самом деле - вы не можете, он не человекочитаем в принципе. Удобно для кульхацкеров, чо. > вы совершенно не понимаете как устроен и работает netfilter где уж нам, действительно.
	Ответить | Правка | Наверх | Cообщить модератору

	66. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+/–
	Сообщение от DPDKguy (?), 22-Фев-18, 12:45
	>Если я изменю напрямую правила в чудо-фильтре в обход вашего "оригинального набора" (добавив себе отличную дырку в обход вашей системы проверок) - вы этого даже не увидите сложно вам, наверное. начать можно с того, что просто хранить текущий рулесет в ядре в сжатом виде as is.
	Ответить | Правка | Наверх | Cообщить модератору

	108. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+/–
	Сообщение от _ (??), 22-Фев-18, 19:10
	>сложно вам, наверное. Просто только простейшим. Вон амёбы, как выяснили британские учонные(Tm) - всегда улыбаются ;) >начать можно с того, что просто хранить текущий рулесет в ядре в сжатом виде as is. И как это поможет от прямых бинарных изменений (см новость)? :)
	Ответить | Правка | Наверх | Cообщить модератору

	32. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+/–
	Сообщение от Riv1329 (?), 22-Фев-18, 07:10
	При добавлении еденичного правила, iptables выгружает через api весь набор правил, добавляет одно и загружает назад. Наверное, это и имелось в виду, а не возможности утилиты командной строки iptables К сожалению, не помню где именно прочитал об этом. Вероятно, могут возникать проблемы при множественном конкурентном использовании этого api
	Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору

	38. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+/–
	Сообщение от Аноним (-), 22-Фев-18, 09:17
	> При добавлении еденичного правила, iptables выгружает через api весь набор правил, добавляет > одно и загружает назад. Наверное, это и имелось в виду, а > не возможности утилиты командной строки iptables > К сожалению, не помню где именно прочитал об этом. Вероятно, могут возникать > проблемы при множественном конкурентном использовании этого api Ну дык это "блобик" загружаемый в ядро. И только особо приближенные понимают как этот "блобик" получился при компиляции, а с учетом всяких там оптимизаций (если они есть) вообще становится очень сложно понять как вырезать одно (или несколько) правил из этого "блобобика" и добавить в него другие правила. ИМХО.
	Ответить | Правка | Наверх | Cообщить модератору

	61. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	+1 +/–
	Сообщение от пох (?), 22-Фев-18, 12:31
	> К сожалению, не помню где именно прочитал об этом. Вероятно, могут возникать > проблемы при множественном конкурентном использовании этого api там есть "commit" (то есть оно "почти-атоммарное"). И внутри оно немножко менее уныло, чем ты описал. А проблемы при попытках в четыре руки поковырять файрвол - я тебе гарантирую без всяких дополнительных условий и при любой его конструкции, хоть с реплейсом по одному правилу, хоть с его имитацией через полный парсинг и вставку обратно, хоть с атоммарными коммитами и автооткатом.
	Ответить | Правка | К родителю #32 | Наверх | Cообщить модератору

	155. "Для ядра Linux предложен новый пакетный фильтр bpfilter"	–2 +/–
	Сообщение от Аноним (-), 24-Фев-18, 19:59
	Ну то-есть ты сам описал предпосылки почему systemd должен стать центральным диспетчером фаера. Так и запишем! :)
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема