Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Изначальное сообщение		[ Отслеживать ]

"Выпуск пакетного фильтра nftables 1.0.0"	+/–
Сообщение от opennews (?), 20-Авг-21, 10:10
Опубликован выпуск пакетного фильтра nftables 1.0.0, унифицирующего интерфейсы фильтрации пакетов для IPv4, IPv6, ARP и сетевых мостов (нацелен на замену iptables, ip6table, arptables и ebtables). Необходимые для работы выпуска nftables 1.0.0 изменения включены в состав ядра Linux 5.13. Значительное изменение номера версии не связано с какими-то кардинальными изменениями, а лишь является следствием последовательного продолжения нумерации в десятичном исчислении (прошлый выпуск был 0.9.9)... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=55663
Ответить | Правка | Cообщить модератору

Сообщения

[Сортировка по ответам | RSS]

2. Сообщение от InuYasha (??), 20-Авг-21, 10:11	+5 +/–
Охрененно, просто молодцы! firewall здорового сервера.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #8, #38, #63

4. Сообщение от Аноним (4), 20-Авг-21, 10:23	–3 +/–
GUI так и нет в 2021?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #6, #9, #10, #19, #44, #83

5. Сообщение от Аноним (6), 20-Авг-21, 10:24	–3 +/–
Релиз? Уже можно заменять iptables потихоньку? Или ещё лет 100 подождать?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #7

6. Сообщение от Аноним (6), 20-Авг-21, 10:28	+1 +/–
Зачем там GUI? Для гуйни есть gufw с vuurmuur, но там правда iptables.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #13

7. Сообщение от hefenud (ok), 20-Авг-21, 10:37	+3 +/–
Не время переходить с ipchains! Еще лет 10 подожди, хотя бы
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #14

8. Сообщение от Аноним (8), 20-Авг-21, 10:59	+20 +/–
Ага отличный firewall а синтаксис какой хороший. А просмотр правил вообще закачаешься.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #11, #15

9. Сообщение от Аноним (9), 20-Авг-21, 11:00	+2 +/–
firewalld
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

10. Сообщение от leap42 (ok), 20-Авг-21, 11:09	+2 +/–
> GUI так и нет в 2021? Именно потому и нет, это 2021, а не 2001. Даже циски и мсфт топят за консоль и конфиги, с чего бы линуху топить за кнопки?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

11. Сообщение от Аноним (11), 20-Авг-21, 11:28	–15 +/–
Осталось только переписать это на Rust, и станет еще лучше! Что видимо скоро неизбежно сделают...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #16, #20, #45

12. Сообщение от Аноним (-), 20-Авг-21, 11:31	+1 +/–
Удаление правил не по handle так и не добавили(
Ответить | Правка | Наверх | Cообщить модератору

13. Сообщение от Аноним (11), 20-Авг-21, 11:34	–2 +/–
А если сказать, что в Виндах файрволл лучше, вы вообще все дела бросите и кинетесь доказывать. Это же просто тупо вброс.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6 Ответы: #22

14. Сообщение от Аноним (11), 20-Авг-21, 11:37	+/–
Да вообще, hosts.allow наше всё!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #21

15. Сообщение от InuYasha (??), 20-Авг-21, 11:54	–3 +/–
мне (сишнику) норм :) Писать удобно. Разве что, вики не совсем полноценно отражает фичи (а может, уже и допилили).
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #8 Ответы: #18

16. Сообщение от DildoZilla (?), 20-Авг-21, 12:17	+3 +/–
С таким синтаксисом лучше сразу на APL.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #52

17. Сообщение от Аноним (17), 20-Авг-21, 12:28	+/–
замену NETMAP уже сделали?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #23

18. Сообщение от Аноним (20), 20-Авг-21, 12:53	+/–
Поддерживаю. Структурненькое оформление правил, нравится.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15 Ответы: #25

19. Сообщение от Аноним (20), 20-Авг-21, 12:55	+1 +/–
GUI мозга? За GUI-обёрками обращайтесь к вашим дистроклепателям.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

20. Сообщение от Аноним (20), 20-Авг-21, 12:58	+6 +/–
Найдутся и такие, кто на Electron перепишет.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #97, #128

21. Сообщение от Alladin (?), 20-Авг-21, 13:39	–6 +/–
Анонимы неадекваты нейкие)) Файл hosts?:) Тот самый?:) Firewall?:) Кажись firewall работает в двух направлениях, а не только в одном)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #24, #126

22. Сообщение от ОноНим (?), 20-Авг-21, 13:45	+1 +/–
А что, разве есть такие люди, которые знают как там в виндах работает файрвол на уровне ядра ОС ? И для тех, кто скажет "лучше" и для тех кто будет доказывать обратное - всего лишь, курятничье кудахтание.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #30, #41

23. Сообщение от Аноним (55), 20-Авг-21, 13:45	+1 +/–
Обещали в ядре 5.8. Скорее всего сделали, но не задокументировали. nft — это магия: позволяет делать всё, но нужно знать сложные заклинания. Которыми создатели не спешат делиться (у них много других, более важных, дел).
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #17 Ответы: #51, #57

24. Сообщение от Аноним (55), 20-Авг-21, 13:46	+6 +/–
Нет, мой юный друг, host.allow и host.deny, которые использовались libtcpwrap. Вы, наверное, даже слов-то таких никогда не слышали.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21 Ответы: #26

25. Сообщение от Аноним (55), 20-Авг-21, 13:48	+5 +/–
Структурное оформление есть, теперь бы семантическое наполнение. А то синтаксис как-то вообще не страдает внутренней логичностью и интуитивной понятностью, а документация остаётся на уровне "вот вам пара примеров, не обляпайтесь".
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18 Ответы: #35, #50

26. Сообщение от Аноним (26), 20-Авг-21, 13:49	+/–
в федоре выплилили tcpwrappers
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #24 Ответы: #28

27. Сообщение от Аноним (55), 20-Авг-21, 13:51	+2 +/–
Интересно, чья была гениальная идея использовать для map-ов фигурные скобки, чтобы команду с map-ами обязательно нужно было экранировать в оболочке?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #46, #85

28. Сообщение от Аноним (55), 20-Авг-21, 13:52	+1 +/–
Не хочу вас расстраивать, но ipchains выпилили ещё раньше. Лет на десять как минимум.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26 Ответы: #29

29. Сообщение от Аноним (26), 20-Авг-21, 13:56	+1 +/–
вы меня расстроили
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28 Ответы: #31

30. Сообщение от Аноним (55), 20-Авг-21, 13:56	–1 +/–
Есть люди, которые знают, что диалоговое окно "разрешить/заблокировать?" на каждое новое соединение - это круто (я не специалист но, по-моему, для этого на винду нужно ставить дополнительные программы), и есть те, которые с ними не согласны. > всего лишь, курятничье кудахтание. Ну комменты к новостям обычно состоят из него на 99%, почему бы и нет?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22

31. Сообщение от Аноним (55), 20-Авг-21, 13:56	+1 +/–
Простите :(
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29

32. Сообщение от Аноним (-), 20-Авг-21, 14:05	+1 +/–
Wow, мы уж думали этого никогда не случится. Осталось дождаться PipeWire 1.0 и LXQt 1.0 и можно праздновать победу Linux  на десктопе.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #34, #47

33. Сообщение от mumu (ok), 20-Авг-21, 15:10	+/–
сахарок с "*" приятный, главное чтоб всё вело к упрощению понимания, а не парсингу надмозгом каких-то регекспов из закорючек. п.с. пару лет как перешел на nft в проде (роутинг телефония+впн). Полет нормальный, хотя по старинке всё делаю через перечитывание конфигов, а не отправку команд. Но возможности для шмякшмякеров там видимо шикарные.
Ответить | Правка | Наверх | Cообщить модератору

34. Сообщение от Аноним (20), 20-Авг-21, 15:32	–1 +/–
А переписывания Systemd и Wayland на Rust?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #32 Ответы: #40, #61

35. Сообщение от Аноньимъ (ok), 20-Авг-21, 15:55	+/–
Сишникам самое оно.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25

36. Сообщение от crypt (ok), 20-Авг-21, 16:01	+5 +/–
> map { 192.168.1.2 . 80 : 10.141.10.2-10.141.10.5 . 8888-8999 } по-моему это дебильная нотация. порт по стандарту uri указывают через ":" всю историю интернета, а тут решили поменять. порт через точку больше на айпишник похож. хотя чего стоило использовать 11.22.33.44:8000; ...:8000; ... и не пришлось бы придавать пробелам такое значение.
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #39, #42, #56

38. Сообщение от Аноньимъ (ok), 20-Авг-21, 16:06	+2 +/–
Хоть ты лопни хоть ты тресни IPFW на первом месте!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #68, #103, #105

39. Сообщение от mumu (ok), 20-Авг-21, 16:16	–2 +/–
Такие же мысли. Почему не двоеточие понятно, оно уже используется. Но даже ключевое слово "port" смотрелось бы лучше этой азбуки Морзе.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36 Ответы: #43

40. Сообщение от анон (?), 20-Авг-21, 16:40	+/–
это уже версии 2.0
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34

41. Сообщение от Аноним (41), 20-Авг-21, 17:09	+15 +/–
> А что, разве есть такие люди, которые знают как там в виндах работает файрвол на уровне ядра ОС ? Они есть, но не факт что они есть на этом форуме, ну и когда вы говорите "файрвол", вы, наверное, имеете в виду Windows Filtering Platform. Это API, которое задокументировано, и на базе которого строятся все реализации файрволов для ядра и сетевого стека венды. https://docs.microsoft.com/en-us/windows/win32/fwp/windows-f... Самих же файрволов несколько, они реализуют разный функционал, как минимум Windows Firewall и RRAS. > И для тех, кто скажет "лучше" и для тех кто будет доказывать обратное - всего лишь, курятничье кудахтание. Сравнивать по принципу "лучше", как-то странно, потому что nftables и WFP имеют разную архитектуру, в основном, потому что ядра имеют разный сетевой стек... Тёплое vs мягкое. Если же говорить про функционал для конченого пользователя (скорее системного администратора), то всё зависит от того, что там на в хозяйстве... Windows Firewall - это Identity Based Firewall, он генерирует правила относительно пользователей и компьютеров. В основе аутентификации и авторизации лежит протокол Kerberos, но поддерживаются и другие методы, например сертификаты X.509, или даже ретроградные методы вроде PSK+NTLM. Задача инкапсулировать траффик на незащищенные порты в IPsec, аутентифицировать и авторизовать по ESP-заголовку, проверить хэш-сумму. Шифрование по вкусу. Nftables и тулзы построенные поверх него не могут в такой функционал, хотя бы потому что Linux - это Unix-like операционная система. В Unix-like операционных системах нет понятие типов аутентификации и нет поддержки сетевой аутентификации на уровне ядра. Linux/Unix PAM расценивает любую аутентификацию как локальную (Unix - это ОС из 70-х) и не позволяет передать дескрипторы безопасности пользовательской сессии запущенным процессам, для автоматического запроса TGS. Из-за этого поддержка Kerberos, который изначально создавался для Unix-like (иронично не так ли?), всегда где-то сбоку и требует реализации костылей в каждом приложении. Идентификация устройства-компьютера начала появляться только вместе в systemd... Дело не в файрволе, а во всем остальном. Технически подобного функционала можно добиться на Linux, но там придётся столько ручками педалить, что проще жить в списках ACL с IP, настраивая IPsec только там где-это обязательно. Опять же, весь этот функционал - это решения задач Workstation в крупных компаниях, в то время как nftables таргетится на задачи удобства управления в рамках кластеров, управляющих контейнерами. Windows Firewall в этой ситуации вообще мимо. Разные применения же. Если для понимания нужна цепочка проверки пакета для Windows Firewall (не для RRAS!), то вот она: 1. Сервисные правила 2. Интерфейсные ограничения и политики IPsec 3. Проброс соединений прошедших проверку по состоянию (сущность Stateful Firewall) 4. Блокировочные правила 5. Разрешающие правила (в том числе ESP-правила) 6. Параметры по-умолчанию Здесь нету Forward/NAT и прочего, потому что они доступны в RRAS, это файрвол рабочей станции или сервера без RRAS. По сути - цепочка INPUT из iptables c рядом специфики: 1. Сервисные правила - это особые скрытые из интерфейса наборы правил (они все ограничительные), которые применяются к сервисам, фоновым процессам магазина и пакетам приложений. Их видно только в реестре. 2. Это параметры для интерфейсов, для NDIS там много всего может быть. 3. Windows Firewall - это Statefull Firewall, если это не было выключено в настройках. Например, все эти ESTABLISHED, RELATED разрешены, если не запрещены явно. Windows Firewall разделяет локальные и доменные правила и управляет тем, какие превалируют только в случае входа в домен, здесь решения применяются вне файрвола. По поводу конфиликтующих правил используется логика "лучше блокировать, чем разрешать". Некоторые сервисы имеют свои цепочки правил, поэтому отключение служб файрвола приведет к их неработоспособности. Причем это самое туманное и то что может вогнать в ступор. Сервисная модель вменяет ограничителоьные правила для системных сервисов, магазин вменяет ограничительные правила для пакетов приложений, а пользователь/администратор не контролирует это ни через GUI ни через powershell ни через netsh, только вручную в реестре... потому что эти правила WFP не имеют отношения к правилам Windows Firewall. А есть еще NDIS-фильтры, и конечно же Winsock-фильтры, которые тоже вне Windows Firewall. Они нужны, когда нужно написать драйвер для кастомнной фильтрации (по аналогии с классическим BPF)... Даже не знаю что рассказать, документацию почитайте... Я пишу это не потому что он чем-то лучше, а чтобы показать, что это не rocket science и что информация доступна. Если вы лично чего-то не знаете, это не значит, что этого не знает никто. P.S. Инструменты управления у всех вендовых файрволов - оторвать и выбросить и производительность у них до 1809, мягко скажем, посредственная. Они почему так хотят eBPF себе в венду, потому что у них лет 15 точно есть в наличии продвинутый функционал по мониторингу, отладке и аналитике сетевого стека и производительности процессов, но им пользуется 3.5 руссиновича, потому что документация по нему сложна к прочтению, а тулзы настолько неудобны, что их использование напоминает оккультизм и сатанизм (я про netsh trace). То что там было до Windows 7/2008 R2... если вы не знаете, то лучше пусть так и остаётся, про это разве что фильмы ужасов снимать.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22 Ответы: #59, #79, #80, #101, #123

42. Сообщение от Онаним (?), 20-Авг-21, 18:19	+/–
Ну вод да, с раздейлителями у этого счастья полный пейсец. С другой стороны можно налепить себе конвертор из откуда угодно.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36 Ответы: #49

43. Сообщение от Онаним (?), 20-Авг-21, 18:20	+/–
Самый простой вариант был двоеточием, и точку с запятой как разделитель. Нет, "пошли другим путём"(tm)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39 Ответы: #60

44. Сообщение от Онаним (?), 20-Авг-21, 18:23	+2 +/–
Вы просто плохо себе представляете, как будет под это дело гуй выглядеть. Это вам не сохофайрвол, у которого полторы опции, которые он в этот nft или iptables и превращает. Если все вариации вынести в гуй - вы чокнетесь по этому гую мышкой тыкать.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #48, #91

45. Сообщение от пох. (?), 20-Авг-21, 18:34	+2 +/–
Не, не сделают. _начнут_переписывать_ по дороге, разумеется, еще пару раз сломают. В принципе, чума на оба их дома...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #11 Ответы: #53

46. Сообщение от пох. (?), 20-Авг-21, 18:35	–1 +/–
я думаю этот гений пользуется уже почти совсем готовым десктопом, и ни про какие оболочки вообще не в курсе.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27

47. Сообщение от Аноним (47), 20-Авг-21, 19:13	+/–
"Значительное изменение номера версии не связано с какими-то кардинальными изменениями, а лишь является следствием последовательного продолжения нумерации в десятичном исчислении (прошлый выпуск был 0.9.9)"
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #32

48. Сообщение от Michael Shigorin (ok), 20-Авг-21, 19:35	+3 +/–
Из того GUI просто надо RPG сделать -- пусть лазят, осваивают... :]
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44 Ответы: #62

49. Сообщение от Michael Shigorin (ok), 20-Авг-21, 19:39	+2 +/–
> С другой стороны можно налепить себе конвертор из откуда угодно. Это просто обычно показатель уровня тех, кто продумывал (или что там) синтаксис. PS: в смысле когда вместо самодокументированного по аналогии приходится делать конвертор в марсианский...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42

50. Сообщение от Аноним (-), 20-Авг-21, 22:45	+/–
> теперь бы семантическое наполнение И семантическое версионирование в придачу
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25

51. Сообщение от Аноним (51), 21-Авг-21, 01:08	–1 +/–
Конечно, не спешат. Если все всё знать будут, за поддержку никто платить не будет, вся GPL бизнес модель развалится.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23 Ответы: #54

52. Сообщение от Аноним (52), 21-Авг-21, 08:27	+/–
В Rust отличный синтаксис! Кстати, и синтаксис пакетного фильтра можно завернуть как DSL в Rust.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16 Ответы: #55

53. Сообщение от Аноним (52), 21-Авг-21, 08:40	+/–
Что это такого на Rust где ломают (чтобы систематически, а не какие то отдельные случаи). В Rust действительно очень эффективно переписывает старый системный код. Другое дело, что как раз таки не надо торопиться быстро переписывать, как обычно на Rust и делают, зато то что написано очень хорошо работает, еще на нулевых версиях. Так что очень реальная перспектива. >  В принципе, чума на оба их дома... Бессильные проклятия сразу выдают зависть и страх неизбежного.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #45

54. Сообщение от Аноним (55), 21-Авг-21, 10:27	+/–
Да не смогут они поддерживать. Это тот случай, когда сами разработчики получали рабочие примеры синтаксиса методом брутфорса (идея позаимствована из языка Malbolge).
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #51

55. Сообщение от Аноним (55), 21-Авг-21, 10:29	+1 +/–
Не уверен, что синтаксис nft можно формализовать (и при этом не поехать кукухой).
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #52 Ответы: #58

56. Сообщение от Аноним (56), 21-Авг-21, 10:35	+/–
> хотя чего стоило использовать 11.22.33.44:8000; ...:8000; в случае точки с запятой больше похоже на перечисление, а тут все же словарь, для которого используется двоеточие в json/yaml и некоторых языках. Даже немного интересно, как ipv6 адреса надо записывать
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36 Ответы: #65

57. Сообщение от Аноним (52), 21-Авг-21, 11:37	–3 +/–
То есть для вас код - это сложные заклинания? А ничё, что здесь достаточно людей, которые вообще-то умеют "программировать" (упрощенно выражаясь). Или все, всё время должны подстраиваться? под тех, кто не умеет и не знает.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23 Ответы: #64, #74

58. Сообщение от Аноним (52), 21-Авг-21, 11:48	–7 +/–
Неуверены вы, это и ваши проблемы. Главное что уверены в Rust, те кто в нем умеют и понимают, и им ваша неуверенность никак не мешает. А кто сказал, что в синтаксис nft что-то уперлось (кроме ваших стереотипов мышления)? (Ну это в случае, что там действительно есть проблемы, и они не ваши личные, как обычно сразу выясняется.) Это все что вы можете - придраться к синтаксису nft, когда вы отвечали на пост про DSL в Rust? Вы вообще поняли о чем речь-то шла? Или вы где-то слышали слово "формализовать", и решили, что если вы его скажете вместе со словом "синтаксис", то все сразу поверят в вашу якобы компетентность. Раст давно давно "любимый" язык. Против Раста только бездари и невежды, что каждый раз они сами про себя и доказывают.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55 Ответы: #89

59. Сообщение от Аноним (52), 21-Авг-21, 12:21	–4 +/–
>> А если сказать, что в Виндах файрволл лучше, вы вообще все дела бросите и кинетесь доказывать. ... и сразу на выходе доклад с претензией на диссертацию. Что и требовалось доказать.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41

60. Сообщение от Аноним 80_уровня (ok), 21-Авг-21, 12:47	+1 +/–
Не, не самый. Для записи порта с адресом типа 2a01:0e20:1680::18:1 требуются дополнительные разделители.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #43 Ответы: #70

61. Сообщение от Аноним (52), 21-Авг-21, 12:48	+/–
Про Wayland вопрос особо не изучал. А про Systemd, поскольку там уже все запущено настолько, что он сам претендует на... на... уже не известно на что, на какой-то абстрактно-сферичный захват Мира... в-общем уже хуже не будет, если и его переписать на Rust. Расту будет только дополнительный зачет... и очередное горе для бездарей, как обычно.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34

62. Сообщение от Аноним (52), 21-Авг-21, 12:51	+1 +/–
Уже на Ruby же сделали, только сразу через Web, зато сразу jRPG!
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48 Ответы: #72

63. Сообщение от Azudim (??), 21-Авг-21, 13:17	+2 +/–
А чем оно лучше PF (BSD) ?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #67, #88

64. Сообщение от Аноним (55), 21-Авг-21, 13:53	+/–
Пусть попробуют попрограммировать на языке Malbolge. Или nft.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #57 Ответы: #66

65. Сообщение от Аноним (55), 21-Авг-21, 14:42	+/–
Хотя нигде в документации это не формализовано (или я не нашёл), но выглядит так, что окружённое пробелом двоеточие является разделителем пары ключ-значение в map, окружённая пробелами точка — разделителем между адресом и портом, а их аналоги без пробелов — разделителями групп байт в IPv6 и IPv4 адресах соответственно.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #56 Ответы: #71, #78

66. Сообщение от Аноним (52), 21-Авг-21, 14:52	+/–
Про Malbolge не знаю, а nft - это предметно ориентированный язык, и что? Просто на там много писать не надо, а только по предметной области. А остальное пишется на языках общего назначения. Вам трудно его понять? А в чем тут проблема самого языка?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #64

67. Сообщение от Аноним (52), 21-Авг-21, 14:55	–1 +/–
Это был очередной вброс.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #63 Ответы: #82

68. Сообщение от Аноним (52), 21-Авг-21, 14:56	–1 +/–
Тоже вброс.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38 Ответы: #98

69. Сообщение от Вуиииииии (?), 21-Авг-21, 15:55	+1 +/–
Хде можно почитать наиболее полную инфу о нфтэйблс на русском?
Ответить | Правка | Наверх | Cообщить модератору
Ответы: #81

70. Сообщение от Онаним (?), 21-Авг-21, 16:20	+/–
В общем случае - не требуется, догадайся, почему :) 2a01:0e20:1680::18:1:5060 например. Или 2a01:0e20:1680:0:0:0:18:1:5060 Или 2a01:0e20:1680:::5060 Перепутать невозможно, запись IPv6 не допускает двусмысленности с портом. Просто читать неудобно, но для тех, кому не удобно, можно например такую запись сделать дополнительной: [2a01:0e20:1680::18:1]:5060 [2a01:0e20:1680:0:0:0:18:1]:5060 [2a01:0e20:1680::]:5060
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #60 Ответы: #73

71. Сообщение от Онаним (?), 21-Авг-21, 16:22	+4 +/–
Значащие пробелы - это ад, там явно был кто-то с питоном межушного ганглия.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #65 Ответы: #87

72. Сообщение от Онаним (?), 21-Авг-21, 16:24	+/–
hRPG же
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #62

73. Сообщение от Аноним 80_уровня (ok), 21-Авг-21, 17:35	+1 +/–
> В общем случае - не требуется, догадайся, почему :) > 2a01:0e20:1680::18:1:5060 например. > Или 2a01:0e20:1680:0:0:0:18:1:5060 > Или 2a01:0e20:1680:::5060 > Перепутать невозможно, запись IPv6 не допускает двусмысленности с портом. В общем случае как раз требуется, а ты привел некоторые частности. 2a01:e20::1:5060 Я тоже здесь привел некоторый частный случай, а "общий случай" охватывает обе частности, то есть в нем таки требуется. > Просто читать неудобно, но для тех, кому не удобно, можно например такую > запись сделать дополнительной: > [2a01:0e20:1680::18:1]:5060 > [2a01:0e20:1680:0:0:0:18:1]:5060 > [2a01:0e20:1680::]:5060 Я и говорю - требуется дополнительный разделитель.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #70 Ответы: #75, #76

74. Сообщение от Аноньимъ (ok), 21-Авг-21, 17:44	+/–
>А ничё, что здесь достаточно людей, которые вообще-то умеют "программировать" (упрощенно выражаясь В предедущих сериях мы выяснили, что это большинство умеет программировать на жумле и HTML.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #57

75. Сообщение от Онаним (?), 21-Авг-21, 20:34	+/–
Нет, не требуется. Возможен для удобоваримости, но не нужен. Попробуй выйти из "частностей" в своём мозгу, и сообразить таки, как IPv6 записываются.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #73 Ответы: #77

76. Сообщение от Онаним (?), 21-Авг-21, 20:35	+/–
А, сорян, ты прав. Публично признаю себя идиотом.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #73

77. Сообщение от Онаним (?), 21-Авг-21, 20:40	+/–
Короче вышел из частностей в своём мозгу я, я забыл, что после :: в v6 может следовать несколько групп, разделённых : ...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #75

78. Сообщение от Аноним (78), 21-Авг-21, 21:41	+/–
Адреса IPv6 заключаются в квадратные скобки: [address]:port
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #65

79. Сообщение от Аноньимъ (ok), 21-Авг-21, 22:16	–1 +/–
Суммировав вышесказанное - фаервол на виндовсе это ад угар и содомия.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41 Ответы: #84

80. Сообщение от Аноним (80), 22-Авг-21, 05:01	+7 +/–
Уважаемый, пиши почаще пожалуйста. Такие вещи приятно и полезно читать.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41

81. Сообщение от Random (??), 22-Авг-21, 09:54	+/–
Вменяемой и полной документации и на английском нет.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #69 Ответы: #86

82. Сообщение от Azudim (??), 22-Авг-21, 12:37	+1 +/–
Нет, я серьезно! Мне нет разницы на чем запустить виртуалку - линуха или BSD, если мне нужно собрать роутер.. 5-6 локальных сеток, интерфейсы для 3 инстантсов VPN-сервера на 50 клиентов, NAS для биллинга с MPD (PPPoE) и т.п.  С pf есть возможность хотя бы читаемый конфиг сделать, через pflog делать трассировку, etc.. А что с точки зрения удобства оперативного управления есть в nftables?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #67 Ответы: #90, #95

83. Сообщение от And (??), 22-Авг-21, 12:39	+/–
> GUI так и нет в 2021? Вместо GUI нужна вот такая дока-учебник - https://github.com/imq/linuximq/wiki/Kernel-Packet-Traveling... GUI неудобен, т.к. по числу щёлков мышью "нереально" в GUI накликать что-то кроме доступа к локал-хосту по SSH у мамы. А вот переменные, текстовые конфиги позволяют в один щелчок применять одинаковые правила на разных машинах с динамическими различиями. Это когда ещё защита от DoS и прочие выкрутасы. Зачем GUI с нуждой в сложной работе из-за GUI, когда без GUI работа заметно проще.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4 Ответы: #94

84. Сообщение от And (??), 22-Авг-21, 12:56	+/–
MS бывает критикуют за косолапые и кривые реализации. Паралельно с классными идеями и инструментами от них идёт поток трэша. Поток столь велик, что работая с MS не удаётся быть не перепачканным этой помойкой. Всегда с какого-то боку постоянно приходится иметь дело с мелкомягкими поделиями, которыми... "пользуется 3.5 руссиновича, потому что документация по нему сложна к прочтению, а тулзы настолько неудобны, что их использование напоминает оккультизм и сатанизм (я про netsh trace)" (с) см. выше. И без шансов на улучшение - глухарь. В опенсорсе хоть надежда есть, а у этих - мрак.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #79

85. Сообщение от And (??), 22-Авг-21, 12:59	+/–
Не надо такие конструкции вставлять в скрипты облочки. Как хэдеры и модули т.п. - в подключаемые файлы. А то станут называть баш-простынями, не поняв, что это норм. средства, но просто использованны неопытно до нечитаемости.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #27

86. Сообщение от And (??), 22-Авг-21, 13:02	+/–
Тады, набрав попкорна, ждём чем закончится бунтарство с синтаксисом и житейским опытом. Только тогда уже и только после в прод.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #81 Ответы: #92

87. Сообщение от And (??), 22-Авг-21, 13:04	+/–
Нет. Это родилось раньше - make/cmake - разница между табом и пробелом в начале строки определяет текст это или шелл команда... Полвека, а то и вся история человека, дурацким идеям бестолкового остроумия.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #71

88. Сообщение от OpenEcho (?), 22-Авг-21, 19:03	+/–
> А чем оно лучше PF (BSD) ? Так под него и косят, Вы разве не видите похожие шаблоны?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #63 Ответы: #122

89. Сообщение от Sem (??), 22-Авг-21, 21:44	+3 +/–
Вы таблетки забыли принять.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #58 Ответы: #124

90. Сообщение от Sem (??), 22-Авг-21, 21:49	+/–
Слушай, это первый в линукс файрвол здорового человека. Это его основной плюс. Читается он точно хуже pf. Но наделают (заточат существующие) фронтэнды и будет легче.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #82 Ответы: #121

91. Сообщение от Sem (??), 22-Авг-21, 22:09	+/–
Checkpoint firewall имеет не плохой гуй. Было бы приятно иметь подобное. Увы, firewalld GUI далеко не дотягивает. fwbuilder пытается быть похожим, но пока убог и ущербен.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44 Ответы: #96

92. Сообщение от Sem (??), 22-Авг-21, 22:23	+/–
Это не бунтарство, это эволюция. Те, кому уже поперек горла зоопарк с iptables, ip6table, arptables, ebtables и iptables-extensions - уже в восторге. Документацию скоро напишут. А для суровых-бородатых-админов и не нужна документация - RTFS )
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #86

93. Сообщение от Хан (?), 23-Авг-21, 04:48	+/–
Растоманы в комментах совсем кукухой тронулись со своим растом... еще и правила в файрволле предлагают на расте писать
Ответить | Правка | Наверх | Cообщить модератору

94. Сообщение от Аноним (94), 23-Авг-21, 07:41	+2 +/–
>GUI неудобен, т.к. по числу щёлков мышью "нереально" в GUI накликать что-то кроме доступа к локал-хосту по SSH у мамы. Ты это кровавому энтерпрайзу в лице чекпоинта с палоальтой расскажи.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #83 Ответы: #100

95. Сообщение от 1 (??), 23-Авг-21, 09:30	+/–
pf - на уровне ядра nftables - на уровне узверя
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #82 Ответы: #120

96. Сообщение от 1 (??), 23-Авг-21, 09:37	+/–
У checkpoint-а одна проблема ... Сначала ты елозишь мышкой, потом конфигурация "компиляется", потом загружается на устройства. Когда устройств больше 3 - всё это выглядит как затыкание дыр "завтра".
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #91

97. Сообщение от Ян Злобин (ok), 23-Авг-21, 09:38	+/–
> Найдутся и такие, кто на Electron перепишет. Вот, пожалуйста, не надо хипстерам идеи подавать! А то много сейчас таких стильных, модных, молодёжных...
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20

98. Сообщение от Ян Злобин (ok), 23-Авг-21, 09:39	+/–
> Тоже вброс. Что он не так сказал? Ещё и стихами..
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #68

99. Сообщение от Разбойник (?), 23-Авг-21, 10:09	+2 +/–
>1.0.0 Следуя философии Linux Way, пора бы уже объявить deprecated.
Ответить | Правка | Наверх | Cообщить модератору

100. Сообщение от Анто Нимно (?), 23-Авг-21, 15:30	+/–
Когда пакеты пакуют с костылями и не поддерживают в GUI LTS релизы топовых брендов, то, видимо, нет "штатной" разработки темы. Сказать-то нужно, но сначала  разуть уши. А то что-то гуи-то у этих теперь не всюду поддерживается, вышло-то как. Почему-то.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #94 Ответы: #104

101. Сообщение от PnD (??), 23-Авг-21, 21:21	+/–
Вы хорошо расписали про винду (не готов проверять), но несколько не в курсе текущей ситуации в линухах. Внедрение selinux в т.ч. позволило снабжать запускаемые приложения меткой для файервола (и не только). Этим успешно пользуется android. На ПК — да, такое поискать (потому что почти все деньги с десктопов M$ высасывает, а яблоки выскребают остатки). > Linux/Unix PAM расценивает любую аутентификацию как локальную ??? Pluggable authentication просто дёргает указанные модули как настроено. Там может быть хоть многофакторка расписана, были бы нужные модули. Для запросов в TGS красно^w сине-шляпые пилят монструозный (чтобы минимально влезть в код надо сначала выучить их асинхронную библиотеку) sssd. Оно таки работает и в RBAC может по полной программе (или вам для чего?). Короче, в обоих (win|lin) случаях технологии наличествуют. И в обоих случаях управление доступно "не только лишь всем".
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41

102. Сообщение от Псевдонимус (?), 24-Авг-21, 00:52	+/–
Что за ужас я увидел в примерах? Они там совсем того?
Ответить | Правка | Наверх | Cообщить модератору

103. Сообщение от Псевдонимус (?), 24-Авг-21, 00:54	–1 +/–
Он страшен, как смерть от кровавого поноса.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38

104. Сообщение от Аноним (94), 24-Авг-21, 06:53	+/–
У тебя русский - не родной? Ты что сказать-то хотел? Я ничего не понял из твоего предложения.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #100

105. Сообщение от antonimus (?), 24-Авг-21, 23:02	+/–
ipfw уже научилось в таблицы с таймаутом?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38 Ответы: #106

106. Сообщение от Аноньимъ (ok), 24-Авг-21, 23:06	+/–
> ipfw уже научилось в таблицы с таймаутом? О чём вы конкретно?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #105 Ответы: #107

107. Сообщение от antonimus (?), 24-Авг-21, 23:20	+/–
ipset create test hash:ip timeout 300 ipset add test 192.168.0.1 timeout 60 ipset -exist add test 192.168.0.1 timeout 600 ipset -L test ... Members: 192.168.0.1 timeout 598 Зачем - сам догадаешься?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #106 Ответы: #108, #109

108. Сообщение от Аноньимъ (ok), 24-Авг-21, 23:46	+/–
Вы говорите загадками. И этот синтаксис для меня чужой. Что конкретно этот тайм-аут даёт? Как выглядит правило использующее эту таблицу?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #107 Ответы: #110, #111

109. Сообщение от antonimus (?), 24-Авг-21, 23:50	–1 +/–
Ну или хотя-бы hash:ip,port ? Про динамические правила работы говорить вообще не стоит. Чистая статика и закат солнца вручную, да :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #107 Ответы: #114

110. Сообщение от antonimus (?), 24-Авг-21, 23:54	+/–
Конкретно таймаут позволяет применять правило (accept/drop) для элементов таблицы на некоторое время. Добавление в таблицу - делает правило iptables по некоторому критерию. Примеры - защита от dos, например. Динамическая, без участия оператора или доп. сервиса.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #108 Ответы: #112

111. Сообщение от antonimus (?), 24-Авг-21, 23:58	–1 +/–
>И этот синтаксис для меня чужой. Проследуйте в man или продолжайте себя успокаивать, что ipfw - чем пион :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #108 Ответы: #113

112. Сообщение от Аноньимъ (ok), 25-Авг-21, 00:52	+/–
Думаю для этого понадобится внешний скрипт или программа.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #110 Ответы: #116

113. Сообщение от Аноньимъ (ok), 25-Авг-21, 00:55	+/–
Это хороший фаерволл. Защита от ддоса отдельная тема, не думаю что вам в этом эти тайм-ауты сильно помогут. Кстати, у вас в живую случается ддос именно на сетевой стек?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #111 Ответы: #115

114. Сообщение от Аноньимъ (ok), 25-Авг-21, 00:56	+/–
Почитайте ман.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #109 Ответы: #117, #119

115. Сообщение от antonimus (?), 28-Авг-21, 12:48	+/–
1. Файрволл в ядре, но ipfw чем пион, да. 2. Не надо думать за других, это чревато боком :). Таймауты есть, просто есть. Уже. И да, работают. Без дополнительных сервисов. 3. Глупый вопрос. А зачем тогда вообще нужен файрволл на сетевом стеке?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #113

116. Сообщение от antonimus (?), 28-Авг-21, 12:50	+/–
Понадобится, конечно, если пользоваться ipfw. А так чем пион, да.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #112

117. Сообщение от antonimus (?), 28-Авг-21, 12:51	+/–
Нифига в мане ipfw не нашел про динамические правила.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #114 Ответы: #118

118. Сообщение от antonimus (?), 28-Авг-21, 12:56	+/–
Ничего не нашел в ipfw аналогично: ipset create test hash:ip,port ipset add test 192.168.0.1,udp:123 ipset add test 192.168.0.2,udp:53 ipset add test 192.168.0.3,udp:161 ipset add test 192.168.0.4,tcp:80 ipset add test 192.168.0.4,tcp:443
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #117

119. Сообщение от antonimus (?), 28-Авг-21, 13:06	+/–
И, чтобы закончить измерение прочности бубенчиков, ipfw, как и iptables/ipset/nft etc - это инструмент, который управляет правилами в ядре. Просто ядра РАЗНЫЕ, и функционал тоже, да. :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #114

120. Сообщение от antonimus (?), 28-Авг-21, 13:10	+/–
>nftables - на уровне узверя ЧО? https://netfilter.org/projects/nftables/
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #95

121. Сообщение от antonimus (?), 28-Авг-21, 13:20	+/–
>Слушай, это первый в линукс файрвол здорового человека. Не первый, есть FERM (фронтенд, да, но работает :) ). cat /usr/share/doc/ferm/examples/antiddos.ferm # -*- shell-script -*- # # Ferm example script # # Firewall configuration to prevent basic tcp DoS/DDoS attacks # # Authors: Vlad Glagolev <enqlave@gmail.com>, Stepan Rogov <rogov_sa@mail.ru> # @def &ANTIDDOS($ports, $seconds, $hits, $time, $exceptions) = {         proto tcp dport $ports @subchain "ddos_check" {                 # allow every exception as-is                 saddr $exceptions ACCEPT;                 # connection tracking                 mod conntrack ctstate (ESTABLISHED RELATED) ACCEPT;                 # check for IPs overloading $hits/$seconds rate and block them                 mod recent name "ddos_check" rcheck seconds $seconds hitcount $hits @subchain "ddos" {                         mod recent set name "ddos" NOP;                         DROP;                 }                 # register a packet in "ddos_check" list                 mod recent set name "ddos_check" NOP;                 # check IP in "ddos" list                 # if it exists and had been registered in the last $time seconds -- drop it                 mod recent name "ddos" rcheck seconds $time DROP;                 # remove packet from "ddos" list                 mod recent name "ddos" remove NOP;                 # allow ONLY new connections                 mod conntrack ctstate NEW ACCEPT;                 DROP;         } } table filter {         chain INPUT {                 policy DROP;                 # connection tracking                 mod state state INVALID REJECT;                 mod state state (ESTABLISHED RELATED) ACCEPT;                 # allow local connections                 interface lo ACCEPT;                 # ban ip addresses for 1 day which connect more than 50 times in 3 seconds,                 # exception is IP: 94.29.90.101                 &ANTIDDOS((80, 443), 50, 3, 86400, 94.29.90.101);                 # the rest is dropped by the above policy         }         # outgoing connections are not limited         chain OUTPUT policy ACCEPT;         # this is not a router         chain FORWARD policy DROP; }
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #90

122. Сообщение от antonimus (?), 28-Авг-21, 13:26	+/–
Все производители внедорожников косят под Jeep, вы разве не видите похожие шаблоны?
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #88 Ответы: #127

123. Сообщение от antonimus (?), 28-Авг-21, 13:29	+/–
>Самих же файрволов несколько, они реализуют разный функционал, как минимум Windows Firewall и RRAS. ААААААА!!!!!!!!! про это разве что фильмы ужасов снимать.
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #41

124. Сообщение от antonimus (?), 28-Авг-21, 13:32	+/–
+100500
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #89

125. Сообщение от antonimus (?), 28-Авг-21, 13:35	+/–
Исправьте новость, nft - это фронтенд сетевого фильтра для ядра Linux, а не пакетный фильтр.
Ответить | Правка | Наверх | Cообщить модератору

126. Сообщение от antonimus (?), 28-Авг-21, 14:04	+/–
Ну вообще в Linux файрволл работает в трёх направлениях: input, forward, output не? :)
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21

127. Сообщение от OpenEcho (?), 30-Авг-21, 00:22	+/–
> Все производители внедорожников косят под Jeep, вы разве не видите похожие шаблоны? Вижу, и не говорю что это плохо... пока у всех у них стандартизироное расположение руля, "газа" и тормоза... в отличе от софтверной индустрии, где сперва начинают обезяничать с наилучщих, но так увлекаются что в итоге быстро обрастают несовместимостью, где нет стандартизированных правил не в синтаксе и не в сeмантике
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #122

128. Сообщение от Анон123амм (?), 02-Сен-21, 22:47	+/–
сразу на джаваскрипт
Ответить | Правка | Наверх | Cообщить модератору
Родитель: #20

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема