Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Первый пригодный для пользователей релиз пакетного фильтра N..., opennews (??), 22-Янв-14, (0) [смотреть все] –1 Ура ---Кто уже юзал, - там порядок следования правил в цепочке важен Или впая, pavlinux (ok), 15:08 , 22-Янв-14, (4) // Ура будет, когда в ядре появится MPLS VPLS, а nftables будет и по метке фил, Потерпевший (?), 15:22 , 22-Янв-14, (7) +2 // Ладно MPLS, пусть хотя бы multicast поддержку сделают для NAT, невозможно через , Аноним (-), 15:46 , 22-Янв-14, (16) // А зачем мультикастовое прокси в ядре , Аноним (-), 15:49 , 22-Янв-14, (18) +1 А что-то типа iptables -t filter -A INPUT -d 224 0 0 0 4 -i eth0 -j ACCEPTipta, pavlinux (ok), 16:07 , 22-Янв-14, (29) А IGMP Linux IGMP не NAT ит , Аноним (-), 16:27 , 22-Янв-14, (34) И это очень хорошо Если вы посмотрите в стандарт IGMP v3, то он surprisingly , Andrew Kolchoogin (ok), 16:34 , 22-Янв-14, (36) igmpproxy, pavlinux (ok), 17:11 , 22-Янв-14, (47) +1 а для выпресчата по вланам групповой мультикаст сейчас только фряха с мроутедом, Аноним (-), 17:43 , 22-Янв-14, (56) –2 задумался А что вы, собственно, имеете в виду Как и зачем NAT у взаим, Andrew Kolchoogin (ok), 16:29 , 22-Янв-14, (35) Вот он у меня там на Linux-роутере и помирает, запрос этот Ага, я читал это, и э, Аноним (-), 16:36 , 22-Янв-14, (37) Ну да, all is working as designed Я не очень понимаю, что тут имеется в виду Есл, Andrew Kolchoogin (ok), 16:41 , 22-Янв-14, (38) Сейчас когда вспоминал, кстати, вычитал Luckily, starting from 2 6 34, the ker, Аноним (-), 16:46 , 22-Янв-14, (39) Это совершенно другая песня Если ваш провайдер готов выдать вам дополнительный I, Andrew Kolchoogin (ok), 16:50 , 22-Янв-14, (40) То есть через NAT не будет работать Блин , Аноним (-), 16:52 , 22-Янв-14, (41) Можно поставить бридж меж tap и выходным фейсом если их два иль больше , а ebta, pavlinux (ok), 17:23 , 22-Янв-14, (52) на фрибсд можно сделать так - http www opennet ru tips info 2649 shtmlи имеюще, unscrubber3 (?), 12:06 , 23-Янв-14, (108) –1 1 слава богу не все настолько укуренные чтобы ставить домой рутер на фряхе чтоб, pavel_simple (ok), 08:23 , 24-Янв-14, (128) +1 Реквестуй в проект http sourceforge net projects mpls-linux включение, наконе, Аноним (-), 16:17 , 22-Янв-14, (33) +1 // MPLS 8482 Patenetd by IBM 174 Corporation , pavlinux (ok), 17:47 , 22-Янв-14, (59) Опенбздуны реализацию протокола, запатентованного, Cisco Systems R включили, н, Аноним (-), 17:00 , 23-Янв-14, (111) А зачем он там Вы собрались делать из пЫонернетовских писюков на BSD core route, Аноним (-), 19:04 , 22-Янв-14, (69) –1 // Да нормально, если гигабит до семи-десяти в сторону аплинков netflow пишется, BG, Аноним (-), 09:27 , 25-Янв-14, (136) +1 Кстате да, две 4-6-ядерные машинки на ксеонах за 120-150 тыров каждая две тольк, AlexAT (ok), 10:40 , 25-Янв-14, (137) +2 Прикольно http www isoc org inet2000 cdproceedings 1h 1h_2 htm, metallica (ok), 23:37 , 22-Янв-14, (84) Естественно Каждому правило ставится в соответствие номер-идентификатор handle, Аноним (-), 15:33 , 22-Янв-14, (8) // Ну вот к примеру у правила table filter hook output priority 0 по-моему вообще , pavlinux (ok), 15:56 , 22-Янв-14, (23) // Это не правило, а метаданные цепочки У них и handle нет А еще -I умеет совать п, Аноним (-), 16:03 , 22-Янв-14, (27) Вот ещё, это же считать надо , pavlinux (ok), 16:08 , 22-Янв-14, (30) Зачем считать --line-numbers же показывает номера , Аноним (-), 16:13 , 22-Янв-14, (31) судя по отсутствию активности вы открыли ему новый мир , rico (ok), 18:28 , 27-Янв-14, (138) Это не баг, это фича, и ей нужно пользоваться -A удобен для запрещающих равил-I , Адекват (ok), 18:09 , 22-Янв-14, (65) Да, но там есть функция insert, вставляет нужное в нужное , Anonymous528 (?), 15:52 , 22-Янв-14, (22) Это замена iptables , Аноним (-), 15:20 , 22-Янв-14, (5) –1 // когда допилят, да пока ещё сыроват для продакшна, но поиграться уже можно , asavah (ok), 15:22 , 22-Янв-14, (6) // А чем старый аналог плох был , Аноним (-), 15:38 , 22-Янв-14, (11) // Кривой архитектурой Четыре велосипеда, полученные путем копипасты одного и того, Аноним (-), 15:42 , 22-Янв-14, (13) Там ты программил правила на почти асме, а тут синтаксис до си заапгрейдили , Аноним (-), 19:06 , 22-Янв-14, (70) –1 Разница в синтаксисе далеко не такая существенная , Аноним (-), 02:22 , 24-Янв-14, (117) Это замена iptables, ip6tables, arptables и ebtables, Нанобот (ok), 17:10 , 22-Янв-14, (45) –2 // то есть, типа, iptables не умел отлавливать пакеты по мак-адресам, да , Адекват (ok), 17:40 , 22-Янв-14, (54) –2 // о чём ты, мальчик , Нанобот (ok), 17:45 , 22-Янв-14, (57) –2 Перепутал, с кем не бывает , Адекват (ok), 18:18 , 22-Янв-14, (66) –2 вот чем это лучше скажите нубу плиз , Анонимус_б6 (?), 15:34 , 22-Янв-14, (9) –1 // Для пользователя - мало чем А вот для разработчиков - очень даже лучше Не надо, Аноним (-), 15:45 , 22-Янв-14, (15) –2 // А как будет работать 171 система отслеживания состояния соединений 187 Логи, Аноним (-), 15:50 , 22-Янв-14, (19) // А ее не трогали Как работала, так и работает , Аноним (-), 15:51 , 22-Янв-14, (21) Для пользователя будет заметно, когда его роутер перестанет перегреваться на тор, Aceler (ok), 17:21 , 22-Янв-14, (50) // Мда, такого бреда , Адекват (ok), 17:41 , 22-Янв-14, (55) –1 Радиатор термопаста В особо запущенных случаях - кулер Ну и руки из правильног, Аноним (-), 02:24 , 24-Янв-14, (118) Похоже, что оно не поддерживает ipset, вместо этого вводя свой аналогичный велос, Аноним (-), 15:37 , 22-Янв-14, (10) table filter chain input table filter hook input п, Аноним (-), 15:42 , 22-Янв-14, (12) // А можно и не повторятьtable filter chain inbound tabl, Аноним (-), 15:43 , 22-Янв-14, (14) // table filter же всё равно два раза , Аноним (-), 15:58 , 22-Янв-14, (24) // На самом деле, во второй раз - type filter А в первый раз - опять-таки можно пе, Аноним (-), 16:01 , 22-Янв-14, (26) ну назвали бы type тогда понятно, спасибо , Аноним (-), 16:03 , 22-Янв-14, (28) Так и назвали См примеры http people netfilter org wiki-nftables index php S, Аноним (-), 17:12 , 22-Янв-14, (48) логичней было бы сократить table ip filter chain input , pavlinux (ok), 17:55 , 22-Янв-14, (60) gt оверквотинг удален type разный бывает, например, mangle или nat, так что ни, evilman (?), 19:06 , 22-Янв-14, (71) NATить и манглить в таблице фильтр низя , pavlinux (ok), 14:10 , 23-Янв-14, (109) На самом деле, если очень хочется - то можно Я вот в таблице nat DROP аю, нап, AlexAT (ok), 21:04 , 23-Янв-14, (116) +1 В нынешнем iptables со товарищи, при создании соответствующей таблицы автоматиче, Аноним (-), 15:59 , 22-Янв-14, (25) // Не понял, и в iptables создаём какие угодно цепочки с любыми именами , metallica (ok), 18:49 , 22-Янв-14, (68) Как насчет цепочек, создаваемых автоматически , Аноним (-), 02:45 , 24-Янв-14, (125) Теперь наверное фильтры настраивать легко станет , Аноним (-), 15:49 , 22-Янв-14, (17) –1 // Да примерно так же Исторически сложилось, что легкость настройки фильтров завис, Аноним (-), 15:51 , 22-Янв-14, (20) +2 Я бы сказал более наглядно если считать для конечного пользователя , llolik (ok), 16:15 , 22-Янв-14, (32) // Вообще если первый критерий 8212 простота и наглядность, то можно взять ufw , Доктор Звездулькин (?), 16:52 , 22-Янв-14, (42) // nftables примерно настолько же просто и наглядно, но при этом несравненно мощнее, Аноним (-), 17:14 , 22-Янв-14, (49) Cisco ASA за 300 и не ипать моск , pavlinux (ok), 17:58 , 22-Янв-14, (61) –1 Не професиАналы негодуют только DIR-100, только хардкор , asavah (ok), 18:05 , 22-Янв-14, (64) –1 Ща придет sfdtudio и покажет тебеи как офис на 100 компов роутит 20-баксовая мыл, Аноним (-), 19:08 , 22-Янв-14, (72) Если внешка на 10 мбит, это неудивительно , anonymous (??), 22:31 , 22-Янв-14, (79) Я тоже люблю хардкор , pavlinux (ok), 14:12 , 23-Янв-14, (110) Можно будет с помощью этой штуки фильтровать трафик пользователя, цгруппы и прил, gaga (ok), 16:59 , 22-Янв-14, (43) // По UID и GID - можно По cgroups и приложению - нет AFAIK, Поттеринг пытался эт, Аноним (-), 17:10 , 22-Янв-14, (46) +1 // Потому что он опять пытался решать задачу, которая никому нафиг не сдалась Филь, Аноним (-), 17:23 , 22-Янв-14, (51) // Было бы не плохо, Аноним (-), 22:28 , 22-Янв-14, (78) Очень даже сдалась Просто вы себе использование cgroups мыслите не вполне совре, Аноним (-), 04:10 , 23-Янв-14, (88) Вот же ж Единственный полезный телодвижений от Лёни, и на тебе А все остальные,, Аноним (-), 04:07 , 23-Янв-14, (87) ipfwadm, ipchains, iptables, nftables прям как в басне крылова квартет , Нанобот (ok), 17:07 , 22-Янв-14, (44) –1 gt оверквотинг удален Что-то как-то слишком просто, нет, я понимаю что они сде, Адекват (ok), 17:46 , 22-Янв-14, (58) –3 // Дурачок nft list никто не отменял, вообще-то , Аноним (-), 02:30 , 24-Янв-14, (120) кстати вдруг кто споткнётся при сборке nftables вылетает ошибка и не генерятся д, asavah (ok), 18:40 , 22-Янв-14, (67) Юзерспейс там пока конечно ужасный просто адовый Эта зараза не хочет автомат, AlexAT (ok), 19:14 , 22-Янв-14, (73) // del, AlexAT (ok), 20:51 , 22-Янв-14, (76) Для желающих nftables в CentOS е - экспериментальный бэкпорт nftables в ядро Cen, AlexAT (ok), 20:51 , 22-Янв-14, (75) +3 // круто-круто, только вот на сайте по любым другим ссылкам ошибка This is b2evolut, crypt (ok), 21:58 , 22-Янв-14, (77) // Уже нет , AlexAT (ok), 22:48 , 22-Янв-14, (82) Мне вот вообще интересно, iptables умеет разные модули, в которых можно было н, PavelR (??), 22:43 , 22-Янв-14, (80) –1 // Чтобы далеко не ходить за примером, спрошу у уважаемой публики Как будет реализо, PavelR (??), 22:46 , 22-Янв-14, (81) // Есть подозрение, что это правильнее всего будет делать на базе set ов , AlexAT (ok), 23:07 , 22-Янв-14, (83) // как же, на базе set-ов сделать функционал, когда прилетевший пакет добавит IP , PavelR (??), 08:42 , 23-Янв-14, (98) если написать разлаписто а не одним правилом то вроде-как взлетает -- т е xt_re, pavel_simple (ok), 08:50 , 23-Янв-14, (100) Позволю себе пофантазировать синтаксис пока не соблюдаю, но концепт должен быть, AlexAT (ok), 11:01 , 23-Янв-14, (106) Насколько я понял, таймауты там не поддерживаются как класс Можно оперировать т, Аноним (-), 02:32 , 24-Янв-14, (121) понял не правильно, pavel_simple (ok), 08:28 , 24-Янв-14, (130) +1 1 тоже интересует вопрос о работе старых модулей на новом iptables Надеюсь, чт, Inome (ok), 00:08 , 23-Янв-14, (86) +2 // Хитрость в том, что не менее половины старых модулей там просто не нужно, ибо , AlexAT (ok), 07:14 , 23-Янв-14, (90) с match модулями как-раз всё понятно, и эта виртуальная машина тут очень при чём, pavel_simple (ok), 07:38 , 23-Янв-14, (91) С target-модулями ничего особо хорошего С другой стороны - скорее всего поддерж, AlexAT (ok), 07:43 , 23-Янв-14, (92) да вот не всё понятно кроме данных непосредственно пакета есть куча разнообразн, PavelR (??), 08:37 , 23-Янв-14, (97) Эти данные так же доступны для BPF, как и сам пакет , Аноним (-), 02:49 , 24-Янв-14, (127) proof , pavel_simple (ok), 08:27 , 24-Янв-14, (129) +1 Хорошо, не менее половины старых модулей А что со второй половиной Допустим, , PavelR (??), 08:36 , 23-Янв-14, (95) И все-таки именно за этим не придётся лезть в ядро - уже реализовано А при доба, AlexAT (ok), 20:42 , 23-Янв-14, (113) Метаданные пакета входящий интерфейс, исходящий интерфейс, realm, mark, connmar, Аноним (-), 02:37 , 24-Янв-14, (122) vlan тэг QinQ тожа нет , pavel_simple (ok), 08:30 , 24-Янв-14, (131) +1 Ну почитай же ты документацию Они там библиотеку для этого сделали , Кот_Говноглот (?), 12:03 , 24-Янв-14, (134) // где документация, я вот не нашел мой гугол меня подводит где написано как расши, pavel_simple (ok), 12:47 , 24-Янв-14, (135) Честно говоря, прибываю в ужасе от нового синтаксиса правил Сделали более гром, Inome (ok), 00:07 , 23-Янв-14, (85) // А всё потому, что там сидят кодеры, а не разработчики, и их цель - писать код, к, PavelR (ok), 08:46 , 23-Янв-14, (99) –2 // Окей, идите на винду, там исключительно разработчики С 2009 по 2013 разработко, Аноним (-), 02:40 , 24-Янв-14, (124) +1 Годами проверены только громоздкость, неудобство и запутанность стандартного с, Аноним (-), 02:39 , 24-Янв-14, (123) –1 // ставь подпись неасилятор, pavel_simple (ok), 08:31 , 24-Янв-14, (132) +1 Это поделие нахер не надо, пока не будет нормальной документации add rule , sabitov (ok), 06:02 , 23-Янв-14, (89) // Это поделие надо по другой причине - оно практически унифицирует интерфейс, лази, AlexAT (ok), 07:45 , 23-Янв-14, (93) Почему производительность у псевдокода виртуальной машины должна быть выше чем п, PavelR (??), 08:25 , 23-Янв-14, (94) // если говорить про match модули -- то можно предположить чтовиртуальная машина пр, pavel_simple (ok), 08:36 , 23-Янв-14, (96) // - Зачем всю функциональность запихивать в виртуальную машину - Зачем убирать во, PavelR (ok), 09:18 , 23-Янв-14, (101) –3 // gt оверквотинг удален кратко ИМХО о userspace -- мне я думаю многим другим кт, pavel_simple (ok), 09:39 , 23-Янв-14, (103) gt оверквотинг удален да это понятно ну если они _всю_ функциональность запихн, PavelR (ok), 10:19 , 23-Янв-14, (105) Ну, виртуальная машина там - одно название Суть та же таблица команд и вызово, AlexAT (ok), 20:51 , 23-Янв-14, (114) вот именно что по сути это state machine компилируемая для ядра в юзерспейсе , pavel_simple (ok), 08:34 , 24-Янв-14, (133) gt оверквотинг удален ИМХО McHardy на этот раз сильно перемудрил, как таковой , pavel_simple (ok), 09:19 , 23-Янв-14, (102)   // Вот-вот Золотые слова , PavelR (ok), 10:16 , 23-Янв-14, (104) –1   А с таким подходом теперь запилят нормальный юзерспейсный фаервол С показом кто, rshadow (ok), 11:10 , 23-Янв-14, (107) +1 // Оно совершенно для другого Хотите считать трафик по приложениям - настраивайте , AlexAT (ok), 20:58 , 23-Янв-14, (115) Нет Это никому не нужно Никому из разработчиков, разумеется , Аноним (-), 02:47 , 24-Янв-14, (126) Ответы на некоторые вопросы https home regit org wp-content uploads 2013 09 20, gapsf2 (ok), 17:21 , 23-Янв-14, (112) 4,5,9,10,12,17,43,44,58,67,73,75,80,85,89,94,107,112

Сообщения

[Сортировка по времени | RSS]

	102. "Первый пригодный для пользователей релиз пакетного фильтра N..."	+/–
	Сообщение от pavel_simple (ok), 23-Янв-14, 09:19
	>[оверквотинг удален] > description:    Xtables: BPF filter match > author:         Willem de Bruijn > <willemb@google.com> > depends:        x_tables > intree:         Y > vermagic:       3.12-0.bpo.1-amd64 SMP mod_unload modversions > другое дело что подобный подход не применим на target, и возможно какое-то > подобие виртуальной машины было-бы востребовано, но опять=же возникает вопрос почему было > не расширить тот-самый bpf-jit функциями позволяющими работать с памятью и sk_buff > и менять содержимое. ИМХО McHardy на этот раз сильно перемудрил, как таковой виртуальной машины я там не разглядел - код конечно вполне приличный, но как только оно начнёт обростать фичами начнёться беда, как его нормальным способом расширять я пока не понял.
	Ответить | Правка | К родителю #96 | Наверх | Cообщить модератору

	104. "Первый пригодный для пользователей релиз пакетного фильтра N..."	–1 +/–
	Сообщение от PavelR (ok), 23-Янв-14, 10:16
	>как его нормальным способом расширять я пока не понял. Вот-вот. Золотые слова.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема