forum.opennet.ru

"Первый пригодный для пользователей релиз пакетного фильтра N..."

Форум Разговоры, обсуждение новостей
Версия для распечатки	Пред. тема \| След. тема

Исходное сообщение

[ Отслеживать ]

Отдельный RSS теперь доступен для каждого обсуждения в форуме и каждого минипортала.

. "Первый пригодный для пользователей релиз пакетного фильтра N..."	+/–
Сообщение от AlexAT (ok), 23-Янв-14, 07:43
> с match модулями как-раз всё понятно, и эта виртуальная машина тут очень > при чём. НО, что делать с target модулями, как сохранять состояния, > работа с памятью? С target-модулями ничего особо хорошего. С другой стороны - скорее всего поддержка xtables в итоге так и будет запилена в основные функции. Сейчас поддержка модулей xtables есть, но в userspace поддерживается только из xtables-iptables. Причем в ядре есть поддержка как match, так и target.
Ответить \| Правка \| Наверх \| Cообщить модератору

Оглавление

Первый пригодный для пользователей релиз пакетного фильтра N..., opennews, 22-Янв-14, 15:01 [смотреть все]

Ура ---Кто уже юзал, - там порядок следования правил в цепочке важен Или впая, pavlinux, 22-Янв-14, 15:08 (4) //
- Ура будет, когда в ядре появится MPLS VPLS, а nftables будет и по метке фил, Потерпевший, 22-Янв-14, 15:22 (7) //
  - Ладно MPLS, пусть хотя бы multicast поддержку сделают для NAT, невозможно через , Аноним, 22-Янв-14, 15:46 (16) //
    - А зачем мультикастовое прокси в ядре , Аноним, 22-Янв-14, 15:49 (18)
    - А что-то типа iptables -t filter -A INPUT -d 224 0 0 0 4 -i eth0 -j ACCEPTipta, pavlinux, 22-Янв-14, 16:07 (29)
      - А IGMP Linux IGMP не NAT ит , Аноним, 22-Янв-14, 16:27 (34)
        
        И это очень хорошо Если вы посмотрите в стандарт IGMP v3, то он surprisingly , Andrew Kolchoogin, 22-Янв-14, 16:34 (36)
        igmpproxy, pavlinux, 22-Янв-14, 17:11 (47)
      - а для выпресчата по вланам групповой мультикаст сейчас только фряха с мроутедом, Аноним, 22-Янв-14, 17:43 (56)
    - задумался А что вы, собственно, имеете в виду Как и зачем NAT у взаим, Andrew Kolchoogin, 22-Янв-14, 16:29 (35)
      - Вот он у меня там на Linux-роутере и помирает, запрос этот Ага, я читал это, и э, Аноним, 22-Янв-14, 16:36 (37)
        
        Ну да, all is working as designed Я не очень понимаю, что тут имеется в виду Есл, Andrew Kolchoogin, 22-Янв-14, 16:41 (38)
        
        Сейчас когда вспоминал, кстати, вычитал Luckily, starting from 2 6 34, the ker, Аноним, 22-Янв-14, 16:46 (39)
        
        Это совершенно другая песня Если ваш провайдер готов выдать вам дополнительный I, Andrew Kolchoogin, 22-Янв-14, 16:50 (40)
        
        То есть через NAT не будет работать Блин , Аноним, 22-Янв-14, 16:52 (41)
        
        Можно поставить бридж меж tap и выходным фейсом если их два иль больше , а ebta, pavlinux, 22-Янв-14, 17:23 (52)
        на фрибсд можно сделать так - http www opennet ru tips info 2649 shtmlи имеюще, unscrubber3, 23-Янв-14, 12:06 (108)
        
        1 слава богу не все настолько укуренные чтобы ставить домой рутер на фряхе чтоб, pavel_simple, 24-Янв-14, 08:23 (128)
  - Реквестуй в проект http sourceforge net projects mpls-linux включение, наконе, Аноним, 22-Янв-14, 16:17 (33) //
    - MPLS 8482 Patenetd by IBM 174 Corporation , pavlinux, 22-Янв-14, 17:47 (59)
      - Опенбздуны реализацию протокола, запатентованного, Cisco Systems R включили, н, Аноним, 23-Янв-14, 17:00 (111)
  - А зачем он там Вы собрались делать из пЫонернетовских писюков на BSD core route, Аноним, 22-Янв-14, 19:04 (69) //
    - Да нормально, если гигабит до семи-десяти в сторону аплинков netflow пишется, BG, Аноним, 25-Янв-14, 09:27 (136)
      - Кстате да, две 4-6-ядерные машинки на ксеонах за 120-150 тыров каждая две тольк, AlexAT, 25-Янв-14, 10:40 (137)
  - Прикольно http www isoc org inet2000 cdproceedings 1h 1h_2 htm, metallica, 22-Янв-14, 23:37 (84)
- Естественно Каждому правило ставится в соответствие номер-идентификатор handle, Аноним, 22-Янв-14, 15:33 (8) //
  - Ну вот к примеру у правила table filter hook output priority 0 по-моему вообще , pavlinux, 22-Янв-14, 15:56 (23) //
    - Это не правило, а метаданные цепочки У них и handle нет А еще -I умеет совать п, Аноним, 22-Янв-14, 16:03 (27)
      - Вот ещё, это же считать надо , pavlinux, 22-Янв-14, 16:08 (30)
        
        Зачем считать --line-numbers же показывает номера , Аноним, 22-Янв-14, 16:13 (31)
        
        судя по отсутствию активности вы открыли ему новый мир , rico, 27-Янв-14, 18:28 (138)
    - Это не баг, это фича, и ей нужно пользоваться -A удобен для запрещающих равил-I , Адекват, 22-Янв-14, 18:09 (65)
- Да, но там есть функция insert, вставляет нужное в нужное , Anonymous528, 22-Янв-14, 15:52 (22)
Это замена iptables , Аноним, 22-Янв-14, 15:20 (5) //
- когда допилят, да пока ещё сыроват для продакшна, но поиграться уже можно , asavah, 22-Янв-14, 15:22 (6) //
  - А чем старый аналог плох был , Аноним, 22-Янв-14, 15:38 (11) //
    - Кривой архитектурой Четыре велосипеда, полученные путем копипасты одного и того, Аноним, 22-Янв-14, 15:42 (13)
    - Там ты программил правила на почти асме, а тут синтаксис до си заапгрейдили , Аноним, 22-Янв-14, 19:06 (70)
      - Разница в синтаксисе далеко не такая существенная , Аноним, 24-Янв-14, 02:22 (117)
- Это замена iptables, ip6tables, arptables и ebtables, Нанобот, 22-Янв-14, 17:10 (45) //
  - то есть, типа, iptables не умел отлавливать пакеты по мак-адресам, да , Адекват, 22-Янв-14, 17:40 (54) //
    - о чём ты, мальчик , Нанобот, 22-Янв-14, 17:45 (57)
      - Перепутал, с кем не бывает , Адекват, 22-Янв-14, 18:18 (66)
вот чем это лучше скажите нубу плиз , Анонимус_б6, 22-Янв-14, 15:34 (9) //
- Для пользователя - мало чем А вот для разработчиков - очень даже лучше Не надо, Аноним, 22-Янв-14, 15:45 (15) //
  - А как будет работать 171 система отслеживания состояния соединений 187 Логи, Аноним, 22-Янв-14, 15:50 (19) //
    - А ее не трогали Как работала, так и работает , Аноним, 22-Янв-14, 15:51 (21)
  - Для пользователя будет заметно, когда его роутер перестанет перегреваться на тор, Aceler, 22-Янв-14, 17:21 (50) //
    - Мда, такого бреда , Адекват, 22-Янв-14, 17:41 (55)
    - Радиатор термопаста В особо запущенных случаях - кулер Ну и руки из правильног, Аноним, 24-Янв-14, 02:24 (118)
Похоже, что оно не поддерживает ipset, вместо этого вводя свой аналогичный велос, Аноним, 22-Янв-14, 15:37 (10)
table filter chain input table filter hook input п, Аноним, 22-Янв-14, 15:42 (12) //
- А можно и не повторятьtable filter chain inbound tabl, Аноним, 22-Янв-14, 15:43 (14) //
  - table filter же всё равно два раза , Аноним, 22-Янв-14, 15:58 (24) //
    - На самом деле, во второй раз - type filter А в первый раз - опять-таки можно пе, Аноним, 22-Янв-14, 16:01 (26)
      - ну назвали бы type тогда понятно, спасибо , Аноним, 22-Янв-14, 16:03 (28)
        
        Так и назвали См примеры http people netfilter org wiki-nftables index php S, Аноним, 22-Янв-14, 17:12 (48)
        
        логичней было бы сократить table ip filter chain input , pavlinux, 22-Янв-14, 17:55 (60)
        
        gt оверквотинг удален type разный бывает, например, mangle или nat, так что ни, evilman, 22-Янв-14, 19:06 (71)
        
        NATить и манглить в таблице фильтр низя , pavlinux, 23-Янв-14, 14:10 (109)
        
        На самом деле, если очень хочется - то можно Я вот в таблице nat DROP аю, нап, AlexAT, 23-Янв-14, 21:04 (116)
  - В нынешнем iptables со товарищи, при создании соответствующей таблицы автоматиче, Аноним, 22-Янв-14, 15:59 (25) //
    - Не понял, и в iptables создаём какие угодно цепочки с любыми именами , metallica, 22-Янв-14, 18:49 (68)
      - Как насчет цепочек, создаваемых автоматически , Аноним, 24-Янв-14, 02:45 (125)
Теперь наверное фильтры настраивать легко станет , Аноним, 22-Янв-14, 15:49 (17) //
- Да примерно так же Исторически сложилось, что легкость настройки фильтров завис, Аноним, 22-Янв-14, 15:51 (20)
- Я бы сказал более наглядно если считать для конечного пользователя , llolik, 22-Янв-14, 16:15 (32) //
  - Вообще если первый критерий 8212 простота и наглядность, то можно взять ufw , Доктор Звездулькин, 22-Янв-14, 16:52 (42) //
    - nftables примерно настолько же просто и наглядно, но при этом несравненно мощнее, Аноним, 22-Янв-14, 17:14 (49)
    - Cisco ASA за 300 и не ипать моск , pavlinux, 22-Янв-14, 17:58 (61)
      - Не професиАналы негодуют только DIR-100, только хардкор , asavah, 22-Янв-14, 18:05 (64)
      - Ща придет sfdtudio и покажет тебеи как офис на 100 компов роутит 20-баксовая мыл, Аноним, 22-Янв-14, 19:08 (72)
        
        Если внешка на 10 мбит, это неудивительно , anonymous, 22-Янв-14, 22:31 (79)
        Я тоже люблю хардкор , pavlinux, 23-Янв-14, 14:12 (110)
Можно будет с помощью этой штуки фильтровать трафик пользователя, цгруппы и прил, gaga, 22-Янв-14, 16:59 (43) //
- По UID и GID - можно По cgroups и приложению - нет AFAIK, Поттеринг пытался эт, Аноним, 22-Янв-14, 17:10 (46) //
  - Потому что он опять пытался решать задачу, которая никому нафиг не сдалась Филь, Аноним, 22-Янв-14, 17:23 (51) //
    - Было бы не плохо, Аноним, 22-Янв-14, 22:28 (78)
    - Очень даже сдалась Просто вы себе использование cgroups мыслите не вполне совре, Аноним, 23-Янв-14, 04:10 (88)
  - Вот же ж Единственный полезный телодвижений от Лёни, и на тебе А все остальные,, Аноним, 23-Янв-14, 04:07 (87)
ipfwadm, ipchains, iptables, nftables прям как в басне крылова квартет , Нанобот, 22-Янв-14, 17:07 (44)
gt оверквотинг удален Что-то как-то слишком просто, нет, я понимаю что они сде, Адекват, 22-Янв-14, 17:46 (58) //
- Дурачок nft list никто не отменял, вообще-то , Аноним, 24-Янв-14, 02:30 (120)
кстати вдруг кто споткнётся при сборке nftables вылетает ошибка и не генерятся д, asavah, 22-Янв-14, 18:40 (67)
Юзерспейс там пока конечно ужасный просто адовый Эта зараза не хочет автомат, AlexAT, 22-Янв-14, 19:14 (73) //
- del, AlexAT, 22-Янв-14, 20:51 (76)
Для желающих nftables в CentOS е - экспериментальный бэкпорт nftables в ядро Cen, AlexAT, 22-Янв-14, 20:51 (75) //
- круто-круто, только вот на сайте по любым другим ссылкам ошибка This is b2evolut, crypt, 22-Янв-14, 21:58 (77) //
  - Уже нет , AlexAT, 22-Янв-14, 22:48 (82)
Мне вот вообще интересно, iptables умеет разные модули, в которых можно было н, PavelR, 22-Янв-14, 22:43 (80) //
- Чтобы далеко не ходить за примером, спрошу у уважаемой публики Как будет реализо, PavelR, 22-Янв-14, 22:46 (81) //
  - Есть подозрение, что это правильнее всего будет делать на базе set ов , AlexAT, 22-Янв-14, 23:07 (83) //
    - как же, на базе set-ов сделать функционал, когда прилетевший пакет добавит IP , PavelR, 23-Янв-14, 08:42 (98)
      - если написать разлаписто а не одним правилом то вроде-как взлетает -- т е xt_re, pavel_simple, 23-Янв-14, 08:50 (100)
      - Позволю себе пофантазировать синтаксис пока не соблюдаю, но концепт должен быть, AlexAT, 23-Янв-14, 11:01 (106)
        
        Насколько я понял, таймауты там не поддерживаются как класс Можно оперировать т, Аноним, 24-Янв-14, 02:32 (121)
        
        понял не правильно, pavel_simple, 24-Янв-14, 08:28 (130)
  - 1 тоже интересует вопрос о работе старых модулей на новом iptables Надеюсь, чт, Inome, 23-Янв-14, 00:08 (86) //
    - Хитрость в том, что не менее половины старых модулей там просто не нужно, ибо , AlexAT, 23-Янв-14, 07:14 (90)
      - с match модулями как-раз всё понятно, и эта виртуальная машина тут очень при чём, pavel_simple, 23-Янв-14, 07:38 (91)
        
        С target-модулями ничего особо хорошего С другой стороны - скорее всего поддерж , AlexAT, 23-Янв-14, 07:43 (92)
        да вот не всё понятно кроме данных непосредственно пакета есть куча разнообразн, PavelR, 23-Янв-14, 08:37 (97)
        
        Эти данные так же доступны для BPF, как и сам пакет , Аноним, 24-Янв-14, 02:49 (127)
        
        proof , pavel_simple, 24-Янв-14, 08:27 (129)
      - Хорошо, не менее половины старых модулей А что со второй половиной Допустим, , PavelR, 23-Янв-14, 08:36 (95)
        
        И все-таки именно за этим не придётся лезть в ядро - уже реализовано А при доба, AlexAT, 23-Янв-14, 20:42 (113)
        Метаданные пакета входящий интерфейс, исходящий интерфейс, realm, mark, connmar, Аноним, 24-Янв-14, 02:37 (122)
        
        vlan тэг QinQ тожа нет , pavel_simple, 24-Янв-14, 08:30 (131)
- Ну почитай же ты документацию Они там библиотеку для этого сделали , Кот_Говноглот, 24-Янв-14, 12:03 (134) //
  - где документация, я вот не нашел мой гугол меня подводит где написано как расши, pavel_simple, 24-Янв-14, 12:47 (135)
Честно говоря, прибываю в ужасе от нового синтаксиса правил Сделали более гром, Inome, 23-Янв-14, 00:07 (85) //
- А всё потому, что там сидят кодеры, а не разработчики, и их цель - писать код, к, PavelR, 23-Янв-14, 08:46 (99) //
  - Окей, идите на винду, там исключительно разработчики С 2009 по 2013 разработко, Аноним, 24-Янв-14, 02:40 (124)
- Годами проверены только громоздкость, неудобство и запутанность стандартного с, Аноним, 24-Янв-14, 02:39 (123) //
  - ставь подпись неасилятор, pavel_simple, 24-Янв-14, 08:31 (132)
Это поделие нахер не надо, пока не будет нормальной документации add rule , sabitov, 23-Янв-14, 06:02 (89) //
- Это поделие надо по другой причине - оно практически унифицирует интерфейс, лази, AlexAT, 23-Янв-14, 07:45 (93)
Почему производительность у псевдокода виртуальной машины должна быть выше чем п, PavelR, 23-Янв-14, 08:25 (94) //
- если говорить про match модули -- то можно предположить чтовиртуальная машина пр, pavel_simple, 23-Янв-14, 08:36 (96) //
  - - Зачем всю функциональность запихивать в виртуальную машину - Зачем убирать во, PavelR, 23-Янв-14, 09:18 (101) //
    - gt оверквотинг удален кратко ИМХО о userspace -- мне я думаю многим другим кт, pavel_simple, 23-Янв-14, 09:39 (103)
      - gt оверквотинг удален да это понятно ну если они _всю_ функциональность запихн, PavelR, 23-Янв-14, 10:19 (105)
    - Ну, виртуальная машина там - одно название Суть та же таблица команд и вызово, AlexAT, 23-Янв-14, 20:51 (114)
      - вот именно что по сути это state machine компилируемая для ядра в юзерспейсе , pavel_simple, 24-Янв-14, 08:34 (133)
  - gt оверквотинг удален ИМХО McHardy на этот раз сильно перемудрил, как таковой , pavel_simple, 23-Янв-14, 09:19 (102) //
    - Вот-вот Золотые слова , PavelR, 23-Янв-14, 10:16 (104)
А с таким подходом теперь запилят нормальный юзерспейсный фаервол С показом кто, rshadow, 23-Янв-14, 11:10 (107) //
- Оно совершенно для другого Хотите считать трафик по приложениям - настраивайте , AlexAT, 23-Янв-14, 20:58 (115)
- Нет Это никому не нужно Никому из разработчиков, разумеется , Аноним, 24-Янв-14, 02:47 (126)
Ответы на некоторые вопросы https home regit org wp-content uploads 2013 09 20, gapsf2, 23-Янв-14, 17:21 (112)

Форумы | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру