Исходное сообщение
"Второй выпуск пакетного фильтра nftables" Отправлено pavel_simple, 20-Апр-14 14:46
>> точно watch? где такие? > Watcher. В ebtables. log, nflog, ulog. посмотрел man -- и действительно в мане подобное понятие вводиться -- хотя лично для меня это искуственное деление. >> что как-бы логично т.к. это фильтр для одного протокола и мачить там нечего > Была бы расширяемая архитектура - глядишь, поддерживал бы и больше протоколов. мы точно говорим о arptables? потому-что напрмую отталкиваясь от названия это таблицы протокола ARP -- появились же они т.к. это и не l2 и не l3 -- а именно то, что объеденяет эти два слоя в рамках ethernet. никакая расширяемая архитекрура тут ни при чём. >> recent не изменяет сам пакет и в этом смысле ничем не отличим от того-же MARK > MARK - это target. >> бред о том что в ip6tables есть только match и отсутствуют target откуда взялси? > Там есть только target, но нет target extensions (нельзя применить больше одной > операции к пакету в одном правиле). В ebtables за одно правило > можно, например, поставить метку, подменить адрес и пропустить пакет. ой.... да -- ebtables во много отход от традиции, и шаг назад. статическая линковка расширений чего только стоит. соответственно ввод нескольких действий выглядит каким-то странным костылём, хотя нет никакой (окромя политики партии) написать match extension для ip(6)tables которое будет производить действия по модификации пакета/meta, я считаю что чёткое определение ролей match/target в iptables существует совершенно оправданно.