forum.opennet.ru

"Выпуск пакетного фильтра iptables 1.8.9"

Форум Разговоры, обсуждение новостей
Версия для распечатки	Пред. тема \| След. тема

Исходное сообщение

[ Отслеживать ]

Подсказка: Ссылки "<<" и ">>" открывают первые и последние 10 сообщений.

. "Выпуск пакетного фильтра iptables 1.8.9"	+1 +/–
Сообщение от Аноним (34), 12-Янв-23, 21:51
Потому, что «мешанина из фигурных скобок» удобно парсится и генерируется компьютером. А руками правила для фаерволла пишут только админы высоконагруженных локалхостов. В современном мире принято оперировать высокоуровневыми концептами, а не хардкодить номера портов, айпишники и прочие переменные.
Ответить \| Правка \| Наверх \| Cообщить модератору

Оглавление

Выпуск пакетного фильтра iptables 1.8.9, opennews, 12-Янв-23, 15:27 [смотреть все]

Динамические правила на уровне приложения с привязкой к иноде экзешника на диск, Аноним, 12-Янв-23, 15:27 (1) //
- ты понимаешь, что это бред есть миллион способов обойти эти правила, например ч, Аноним, 12-Янв-23, 15:30 (2) //
  - Именно Нужна проверка, что файл именно тот, который был в момент установки прав, Аноним, 12-Янв-23, 15:35 (3) //
    - Кстати, с неймспейсами можно без проблем запихнуть всех потомков в те же рамки , Аноним, 12-Янв-23, 15:37 (5)
    - Тебе нужен явно другой инструмент Например, апармор может наследовать права п, Аноним, 12-Янв-23, 15:38 (6)
      - В момент установки правила, а не в момент запуска , Аноним, 12-Янв-23, 15:40 (7)
        
        т е правило должно создаваться после запуска программы , InuYasha, 13-Янв-23, 19:31 (68)
        
        Собственно, да, при запуске проверять что это тот самый файл, потом разрешающее , Аноним, 13-Янв-23, 20:08 (71)
- Запускай нехорошие приложения в network namespaces с зарезанным доступом в сеть , Аноним, 12-Янв-23, 15:57 (8) //
  - Угу, очень многие приложения хотят локалхост для работы и чтобы выполнить ip lin, Аноним, 12-Янв-23, 16:22 (12) //
    - SELinux в помощь , Аноним, 12-Янв-23, 21:48 (33)
    - cap net admin не хватит , Full Master, 12-Янв-23, 23:07 (36)
      - А это не хуже Потому что unshare не получает реальных админских прав, только в , Аноним, 12-Янв-23, 23:45 (39)
        
        Но кстати этого рута в неймспейсе емнип достаточно чтобы выставить cap_sys_admin, Аноним, 12-Янв-23, 23:48 (40)
  - Ты неправ, аноним, нужно запускать в cgroup net_cls Неймспейс тот же, но по cls, Аноним, 13-Янв-23, 12:34 (62)
- opensnitch не так работает , Дуров, 12-Янв-23, 17:36 (16)
- Сейчас из того что развивается есть только opensnitch , An0nim0us, 12-Янв-23, 23:20 (37)
- все эти грабли проходили на винде, когда пытались сделать непробиваемые групповы, ivan_erohin, 13-Янв-23, 14:01 (65) //
  - и что - оно там разве не работает , InuYasha, 13-Янв-23, 19:33 (69) //
    - предполагаю, что достаточно убить или пропатчить сервис AppIdSvc или как его там, ivan_erohin, 13-Янв-23, 22:06 (72)
      - А почему тогда пытались Вроде, на винде полно сервисов работает Даже в зверб, InuYasha, 13-Янв-23, 23:51 (73)
        
        потому что это должно не отключаться так просто т е находиться в ядре по рандо, ivan_erohin, 14-Янв-23, 06:59 (74)
        я забыл сформулировать в чем именно грабли 1 прежде чем что-то запрещать или ра, ivan_erohin, 14-Янв-23, 07:18 (75)
        
        У всех хардлинков на один файл одинаковый inode , Аноним, 16-Янв-23, 01:03 (77)
        
        значит симлинки все время путаю их , ivan_erohin, 20-Янв-23, 22:06 (83)
        
        У каждого процесса есть родитель Эту цепочку можно отследить , Аноним, 20-Янв-23, 21:44 (82)
        
        родитель init или systemd что дальше , ivan_erohin, 20-Янв-23, 22:07 (84)
        
        Это уже не относится к теме Мы говорили о том,, Аноним, 24-Янв-23, 20:06 (85)
Но как, Холмс Кто пояснит, почему от простых и понятных правил, которыми и был, Аноним, 12-Янв-23, 15:36 (4) //
- А чтобы деды не разобрались, Аноним, 12-Янв-23, 15:59 (9)
- Можно каждое правило отдельной строкой команде nft передавать , Аноним, 12-Янв-23, 16:03 (10)
- Так никто не отказался, вон все твои простые правила сохранили и продолжают пи, пууук, 12-Янв-23, 16:26 (13)
- В современном мире надо эмитировать развитие даже если продукт завершён, иначе с, Аноним, 12-Янв-23, 17:53 (18) //
  - Эмитируют облигации и электроны Развитие имитируют , Аноним, 12-Янв-23, 18:47 (25)
  - Скромное напоминание обещанного рыжым аналога ipchains -C как только так сразу, пох., 12-Янв-23, 20:16 (29)
- Потому, что 171 мешанина из фигурных скобок 187 удобно парсится и генерирует , Аноним, 12-Янв-23, 21:51 (34) //
  - Интересно посмотреть на исследование сколько в современном мире хостов администр, Аноним, 16-Янв-23, 01:11 (78)
Лучше бы json в iptables завезли, чтобы парсить выхлоп было удобно , Аноним, 12-Янв-23, 16:07 (11) //
- лучше бы лекарство от жысон головного мозга придумали , Аноним, 12-Янв-23, 16:51 (14) //
  - Жсон очень удобен для шелл-скриптов Лучше и безопасней xml опять же , Аноним, 12-Янв-23, 16:58 (15) //
    - а sed придумали трусы ага вот так и живем , анонна, 12-Янв-23, 18:58 (26)
      - Нет, sed придумали умные люди, которые в отличие от тебя понимают, что такое обл, Аноним, 13-Янв-23, 00:02 (41)
        
        черт а оператор 124 тебе просто так дали , анонна, 13-Янв-23, 00:55 (53)
        я поражаюсь новым поколениям программистов, которые не видели линукса во времена, анонна, 13-Янв-23, 01:01 (54)
        sed не для парсинга если что, это потоковый редактор всего навсего , Анончик, 13-Янв-23, 04:27 (58)
        
        кстати да браузер тоже ток читалка html разметки, а погляди че натворили , анонна, 27-Янв-23, 05:11 (86)
- вас услышали и написали nftablesnft --json list ruleset, An0nim0us, 12-Янв-23, 23:27 (38)
- Для json ификации вывода команд есть https kellyjonbrazil github io jc , Аноним, 13-Янв-23, 00:16 (44)
Это надо быть сверхчеловеком чтобы помнить все эти правила Как-то надо было нас, Аноним, 12-Янв-23, 18:26 (20) //
- Я тебе секрет професии открою, только не рассказывай никому Вместо того, чтобы , Аноним, 13-Янв-23, 00:08 (42) //
  - К счастью я выпилился из ойти и вкатился в сварщики на севера вахтовым методом , Аноним, 13-Янв-23, 00:31 (46) //
    - Теперь ты настоящий сварщик , Аноним, 13-Янв-23, 04:07 (57)
- Работаю админом Тоже ничерта не помню эти таблицы, правила, ipсеты, каждый раз , Аноним, 13-Янв-23, 03:03 (55) //
  - Учи firewalld - он как раз для тебя, попроще Синтаксис немного уе нский, но ра, пох., 13-Янв-23, 14:34 (66)
- В nftables можно писать комментарии к правилам, считать по счётчикам, и вообще к, Аноним, 13-Янв-23, 12:36 (63) //
  - В iptables тоже можно писать комментарии и считать по счётчикам, если уж на то п, я, 13-Янв-23, 13:55 (64)
Я наверно тоже ИДИОТ, ufw мне всегда хватало А iptables кроме как платной подде, Аноним, 12-Янв-23, 19:20 (28) //
- ты не наверное, ты точно Впрочем, определение из викивракии - человек, страдающи, пох., 12-Янв-23, 20:20 (30) //
  - Сожгут вас на костре, за ваши знания пс убил, Sw00p aka Jerom, 12-Янв-23, 21:19 (32)
  - А код будет Что бы предметно , Anonim, 12-Янв-23, 22:20 (35)
- Так то ufw сам iptables юзает и надо заметить довольно мусорно после него станов, Аноним, 13-Янв-23, 03:09 (56)
- как там сделать NAT - хотя бы простой с маскарадом, без вписывания параметров дл, Роман, 14-Янв-23, 21:00 (76)
А э за 4 года уже даже я переписал все свои хотелки на nft И синтаксис та, InuYasha, 13-Янв-23, 19:39 (70) //
- И не жалко вам было 4 года потратить на переписывание одного и того же , Аноним, 16-Янв-23, 01:22 (79) //
  - 4 года делали ОНИ, а не я А я ща эти годы потратил 3-4 дня, наверное , InuYasha, 16-Янв-23, 14:22 (80)
- OpenWRT на nftables, начиная с последнего мажорного релиза , Аноним, 16-Янв-23, 18:59 (81)

Форумы | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру