forum.opennet.ru - "Выпуск пакетного фильтра nftables 1.0.6" (30)

"Выпуск пакетного фильтра nftables 1.0.6"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Выпуск пакетного фильтра nftables 1.0.6"	+1 +/–
Сообщение от opennews (??), 23-Дек-22, 11:49
Опубликован выпуск пакетного фильтра nftables 1.0.6, унифицирующего интерфейсы фильтрации пакетов для IPv4, IPv6, ARP и сетевых мостов (нацелен на замену iptables, ip6table, arptables и ebtables). В пакет nftables входят компоненты пакетного фильтра, работающие в пространстве пользователя, в то время как на уровне ядра работу обеспечивает подсистема nf_tables, входящая в состав ядра Linux начиная с выпуска 3.13. На уровне ядра предоставляется лишь общий интерфейс, не зависящий от конкретного протокола и предоставляющий базовые функции извлечения данных из пакетов, выполнения операций с данными и управления потоком... Подробнее: https://www.opennet.dev/opennews/art.shtml?num=58378
Ответить \| Правка \| Cообщить модератору

Оглавление

долгих лет, Аноним (1), 11:49 , 23-Дек-22, (1) +1

Благодарствую , Владимир (??), 21:09 , 23-Дек-22, (25)

Судя по примеру это опция -o --obfuscate, превращающая правила в нечитаемое для , mumu (ok), 12:08 , 23-Дек-22, (5) +2

Оптимизация всегда превращает код в нечитаемое для человека месиво И чем больше, Аноним (-), 16:45 , 23-Дек-22, (18) +3

А разве это нельзя делать при запуске, а хранить сами правила в обфусцированном , fuggy (ok), 21:54 , 23-Дек-22, (26)

Что делать При запуске чего Правила nftables компилируются при загрузке в ядро, trickybestia (ok), 23:20 , 23-Дек-22, (29)

Какой профит от этого нфтаблес Насколько он быстрее чем фильтр от iptables , аНОНИМ (?), 12:20 , 23-Дек-22, (7)

Использую,но так как правила просто переводил из iptables в то,что понимает nfta, Попандопала (?), 14:14 , 23-Дек-22, (10) +2

Какой там гемор с настройкой ядра , Аноним (12), 14:21 , 23-Дек-22, (12) +1

Надо включать дополнительные примочки в core netfilter configuration, ip netfilt, Попандопала (?), 14:51 , 23-Дек-22, (13) –2

Для вас не будет открытием, что для iptables надо тоже включать дополнительные п, Аноним (33), 12:40 , 24-Дек-22, (33)

ХЗ Iptables я только устанавливаю и в автозагрузку добавляю по сути, а Nftables, Попандопала (?), 13:49 , 24-Дек-22, (35)

Правила Nfables у меня в var lib nftables, а где они лежат у Iptables я не зна, Попандопала (?), 13:52 , 24-Дек-22, (36)
iptables в автозагрузке у вас срабатывает только потому, что добрый дядя, собрав, Аноним (33), 14:58 , 24-Дек-22, (37)

Nftables не выключен,ему там просто надо донастроить Gentoo-sources и дополните, Попандопала (?), 15:11 , 24-Дек-22, (39)

А я вот жду что щас еще вылазит какая-то бабушка и давай спрашивать чем это поде, Ophely (?), 20:56 , 23-Дек-22, (23)

Зачем спрашивать про такое новье Надо про ipfw, Аноним (33), 22:05 , 23-Дек-22, (28)

Чем он лучше zbfw Это - firewall здорового человека А все ваши tables - firew, pofigist (?), 23:35 , 23-Дек-22, (30)

Фильтр из пакета скоростью хоть и не блещет, зато дешев Да и пакеты всегда под , Владимир (??), 21:09 , 23-Дек-22, (24)
Профит в декларативном конфиге и атомарных апдейтах Быстрее намного, но до 10k, Аноним (31), 05:43 , 24-Дек-22, (31)

не, разница на линейных портянках проявится уже на первой сотне правил Танцы с , Аноним (33), 15:09 , 24-Дек-22, (38)

А документации к нему так и не завезли нет, дюжина вики-страниц с кучей дохлы, Осколок счастья (?), 15:39 , 23-Дек-22, (15) +1

Вообще-то вот https netfilter org documentation index html, Alexey V. Pautov (?), 16:02 , 23-Дек-22, (16)

Ну, это не совсем оно Это документация по нетфильтру К ней претензий нет А в то, Riff (?), 12:52 , 24-Дек-22, (34)

Все же firewalld появился чуть ли не за десять лет до начала работ над nftables , Аноним (33), 18:56 , 24-Дек-22, (40)

Знания по крохам собираются А кто то в коде даже может разобрсться В общем, бу, Аноним (-), 16:08 , 23-Дек-22, (17)

В openwrt сие чудо есть , Советский инженер на пенсии (?), 16:56 , 23-Дек-22, (19) +2

С 22 03 0 версии на него перешли , Аноним (20), 17:52 , 23-Дек-22, (20)

Фильтрацию по строкам нормальную так и не завезли аналог модуля string от xtable, lucentcode (ok), 20:33 , 23-Дек-22, (22)

Вас не поймёшь то unix-философию выдумываете себе, то строки фаерволлом фильтру, Аноним (31), 05:50 , 24-Дек-22, (32)

Сообщения [Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 23-Дек-22, 11:49 +1 +/–

долгих лет

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #25

5. Сообщение от mumu (ok), 23-Дек-22, 12:08 +2 +/–

> В оптимизаторе правил, вызываемом при указании опции "-o/--optimize"
Судя по примеру это опция -o/--obfuscate, превращающая правила в нечитаемое для человека месиво.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #18

7. Сообщение от аНОНИМ (?), 23-Дек-22, 12:20 +/–

Какой профит от этого нфтаблес? Насколько он быстрее чем фильтр от iptables?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #10, #23, #24, #31

10. Сообщение от Попандопала (?), 23-Дек-22, 14:14 +2 +/–

Использую,но так как правила просто переводил из iptables в то,что понимает nftables,то ни хрена ни чем не лучше. Для меня все едино. Лишний геморрой только с настройкой ядра,а старенькому iptables надо правила скормить и все.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #12

12. Сообщение от Аноним (12), 23-Дек-22, 14:21 +1 +/–

Какой там гемор с настройкой ядра?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #10 Ответы: #13

13. Сообщение от Попандопала (?), 23-Дек-22, 14:51 –2 +/–

Надо включать дополнительные примочки в core netfilter configuration, ip netfilter configuration иначе правила вообще не загрузятся как и сам nftables по сути.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #33

15. Сообщение от Осколок счастья (?), 23-Дек-22, 15:39 +1 +/–

А документации к нему так и не завезли? (нет, дюжина вики-страниц с  кучей дохлых ссылок - это не она).

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #16, #17

16. Сообщение от Alexey V. Pautov (?), 23-Дек-22, 16:02 +/–

Вообще-то вот: https://netfilter.org/documentation/index.html

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15 Ответы: #34

17. Сообщение от Аноним (-), 23-Дек-22, 16:08 +/–

Знания по крохам собираются. А кто то в коде даже может разобрсться. В общем, будем эксперементировать!

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #15

18. Сообщение от Аноним (-), 23-Дек-22, 16:45 +3 +/–

Оптимизация всегда превращает код в нечитаемое для человека месиво. И чем больше оптимизаций, тем сложнее разобраться. Исключением может быть -Os у gcc, и то не всегда. Но хуже всего, когда оптимизация проводится вручную -- тогда не только результат компиляции, но и сорец становится нечитаемым месивом, и вот тогда разобраться в этом вообще никаких шансов.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #5 Ответы: #26

19. Сообщение от Советский инженер на пенсии (?), 23-Дек-22, 16:56 +2 +/–

В openwrt сие чудо есть?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #20

20. Сообщение от Аноним (20), 23-Дек-22, 17:52 +/–

С 22.03.0 версии на него перешли.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19

22. Сообщение от lucentcode (ok), 23-Дек-22, 20:33 +/–

Фильтрацию по строкам нормальную так и не завезли(аналог модуля string от xtables). Грустно это, столько лет развивается, а паритета по функционалу с xtables до сих пор нет.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #32

23. Сообщение от Ophely (?), 23-Дек-22, 20:56 +/–

А я вот жду что щас еще вылазит какая-то бабушка и давай спрашивать чем это поделие лучше ipchains.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #28

24. Сообщение от Владимир (??), 23-Дек-22, 21:09 +/–

Фильтр из пакета скоростью хоть и не блещет, зато дешев. Да и пакеты всегда под рукой, можно много фильтров понаделать ...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7

25. Сообщение от Владимир (??), 23-Дек-22, 21:09 +/–

Благодарствую ...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1

26. Сообщение от fuggy (ok), 23-Дек-22, 21:54 +/–

А разве это нельзя делать при запуске, а хранить сами правила в обфусцированном виде.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #18 Ответы: #29

28. Сообщение от Аноним (33), 23-Дек-22, 22:05 +/–

Зачем спрашивать про такое новье? Надо про ipfw

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #23 Ответы: #30

29. Сообщение от trickybestia (ok), 23-Дек-22, 23:20 +/–

Что делать? При запуске чего? Правила nftables компилируются при загрузке в ядро. Если хотите получить результат оптимизаций обратно в виде текста, вызовите `nft list ruleset`.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26

30. Сообщение от pofigist (?), 23-Дек-22, 23:35 +/–

Чем он лучше zbfw? Это - firewall здорового человека. А все ваши *tables - firewall курильщика... И при этом курильщика чего-то крайне нездорового и незаконного...

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28

31. Сообщение от Аноним (31), 24-Дек-22, 05:43 +/–

Профит в декларативном конфиге и атомарных апдейтах. Быстрее намного, но до ~10k правил ты это вряд ли заметишь.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7 Ответы: #38

32. Сообщение от Аноним (31), 24-Дек-22, 05:50 +/–

Вас не поймёшь: то unix-философию выдумываете себе, то строки фаерволлом фильтруете. Фаерволл — это l3, строки четырьмя этажами выше.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22

33. Сообщение от Аноним (33), 24-Дек-22, 12:40 +/–

Для вас не будет открытием, что для iptables надо тоже включать дополнительные примочки, без которых iptables'у из userspace просто некуда будет загружать правила?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #35

34. Сообщение от Riff (?), 24-Дек-22, 12:52 +/–

Ну, это не совсем оно.
Это документация по нетфильтру. К ней претензий нет.
А в том месте где упоминается nftables мы имеет те же самые 5 вики-страниц, состоящих из примеров без пояснений.
PS: не даром шляпники для него фронтенд (firewalld) накалякали. Понимают, что в проде, когда нужно быстренько включить доступ сетевому сервису на куче узлов, этот обфусцированный набор правил полезен, как лысому расческа.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16 Ответы: #40

35. Сообщение от Попандопала (?), 24-Дек-22, 13:49 +/–

ХЗ. Iptables я только устанавливаю и в автозагрузку добавляю по сути, а Nftables  надо в паре мест ткнуть при настройке ядра. Иначе при тех же в принципе правилах что и в Iptables только приведенные к пониманию Nftables, он не распознает что-то там. Имею ввиду ванильное ядро и его настройки по умолчанию. Вот этого мне недостаточно.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #33 Ответы: #36, #37

36. Сообщение от Попандопала (?), 24-Дек-22, 13:52 +/–

Правила Nfables  у меня в /var/lib/nftables, а где они лежат у Iptables я не знаю. Просто эти 20 строчек копирую в xterm.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #35

37. Сообщение от Аноним (33), 24-Дек-22, 14:58 +/–

iptables в автозагрузке у вас срабатывает только потому, что добрый дядя, собравший вам ядро, уже эти настройки ткнул. Сегодня он их ткнул для iptables, завтра будет тыкать для nftables, а вам для оживления iptables тыкать эти настройки самостоятельно. Кстати, что за такой NIH-дистрибутив, у которого nftables в ядре выключен?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #35 Ответы: #39

38. Сообщение от Аноним (33), 24-Дек-22, 15:09 +/–

не, разница на линейных портянках проявится уже на первой сотне правил. Танцы с ipset'тами как-то ситуацию выправляют, но тоже как раз в районе ~1k элементов в сете тоже начнет проигрывать nftables'ам.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31

39. Сообщение от Попандопала (?), 24-Дек-22, 15:11 +/–

Nftables не выключен,ему там просто надо донастроить. Gentoo-sources и дополнительно с патчами RT

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37

40. Сообщение от Аноним (33), 24-Дек-22, 18:56 +/–

Все же firewalld появился чуть ли не за десять лет до начала работ над nftables. И придумали его чтобы на уровне объектных абстракций рулить плоскими правилами iptables. Как итог на выходе получалась укурочная дичь, которая более-менее работала как примерно ожидалось. Про производительность получившихся макарон никто особо не задумывался, для производительности правила вручную обтачивались надфилем с тотальным упрощением всего и вся.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #34

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. Сообщение от Аноним (1), 23-Дек-22, 11:49	+1 +/–
долгих лет
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #25

5. Сообщение от mumu (ok), 23-Дек-22, 12:08	+2 +/–
> В оптимизаторе правил, вызываемом при указании опции "-o/--optimize" Судя по примеру это опция -o/--obfuscate, превращающая правила в нечитаемое для человека месиво.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #18

7. Сообщение от аНОНИМ (?), 23-Дек-22, 12:20	+/–
Какой профит от этого нфтаблес? Насколько он быстрее чем фильтр от iptables?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #10, #23, #24, #31

10. Сообщение от Попандопала (?), 23-Дек-22, 14:14	+2 +/–
Использую,но так как правила просто переводил из iptables в то,что понимает nftables,то ни хрена ни чем не лучше. Для меня все едино. Лишний геморрой только с настройкой ядра,а старенькому iptables надо правила скормить и все.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #7 Ответы: #12

12. Сообщение от Аноним (12), 23-Дек-22, 14:21	+1 +/–
Какой там гемор с настройкой ядра?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #10 Ответы: #13

13. Сообщение от Попандопала (?), 23-Дек-22, 14:51	–2 +/–
Надо включать дополнительные примочки в core netfilter configuration, ip netfilter configuration иначе правила вообще не загрузятся как и сам nftables по сути.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #12 Ответы: #33

15. Сообщение от Осколок счастья (?), 23-Дек-22, 15:39	+1 +/–
А документации к нему так и не завезли? (нет, дюжина вики-страниц с кучей дохлых ссылок - это не она).
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #16, #17

16. Сообщение от Alexey V. Pautov (?), 23-Дек-22, 16:02	+/–
Вообще-то вот: https://netfilter.org/documentation/index.html
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #15 Ответы: #34

17. Сообщение от Аноним (-), 23-Дек-22, 16:08	+/–
Знания по крохам собираются. А кто то в коде даже может разобрсться. В общем, будем эксперементировать!
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #15

18. Сообщение от Аноним (-), 23-Дек-22, 16:45	+3 +/–
Оптимизация всегда превращает код в нечитаемое для человека месиво. И чем больше оптимизаций, тем сложнее разобраться. Исключением может быть -Os у gcc, и то не всегда. Но хуже всего, когда оптимизация проводится вручную -- тогда не только результат компиляции, но и сорец становится нечитаемым месивом, и вот тогда разобраться в этом вообще никаких шансов.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #5 Ответы: #26

19. Сообщение от Советский инженер на пенсии (?), 23-Дек-22, 16:56	+2 +/–
В openwrt сие чудо есть?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #20

20. Сообщение от Аноним (20), 23-Дек-22, 17:52	+/–
С 22.03.0 версии на него перешли.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #19

22. Сообщение от lucentcode (ok), 23-Дек-22, 20:33	+/–
Фильтрацию по строкам нормальную так и не завезли(аналог модуля string от xtables). Грустно это, столько лет развивается, а паритета по функционалу с xtables до сих пор нет.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #32

23. Сообщение от Ophely (?), 23-Дек-22, 20:56	+/–
А я вот жду что щас еще вылазит какая-то бабушка и давай спрашивать чем это поделие лучше ipchains.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #7 Ответы: #28

24. Сообщение от Владимир (??), 23-Дек-22, 21:09	+/–
Фильтр из пакета скоростью хоть и не блещет, зато дешев. Да и пакеты всегда под рукой, можно много фильтров понаделать ...
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #7

25. Сообщение от Владимир (??), 23-Дек-22, 21:09	+/–
Благодарствую ...
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1

26. Сообщение от fuggy (ok), 23-Дек-22, 21:54	+/–
А разве это нельзя делать при запуске, а хранить сами правила в обфусцированном виде.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #18 Ответы: #29

28. Сообщение от Аноним (33), 23-Дек-22, 22:05	+/–
Зачем спрашивать про такое новье? Надо про ipfw
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #23 Ответы: #30

29. Сообщение от trickybestia (ok), 23-Дек-22, 23:20	+/–
Что делать? При запуске чего? Правила nftables компилируются при загрузке в ядро. Если хотите получить результат оптимизаций обратно в виде текста, вызовите `nft list ruleset`.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #26

30. Сообщение от pofigist (?), 23-Дек-22, 23:35	+/–
Чем он лучше zbfw? Это - firewall здорового человека. А все ваши *tables - firewall курильщика... И при этом курильщика чего-то крайне нездорового и незаконного...
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #28

31. Сообщение от Аноним (31), 24-Дек-22, 05:43	+/–
Профит в декларативном конфиге и атомарных апдейтах. Быстрее намного, но до ~10k правил ты это вряд ли заметишь.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #7 Ответы: #38

32. Сообщение от Аноним (31), 24-Дек-22, 05:50	+/–
Вас не поймёшь: то unix-философию выдумываете себе, то строки фаерволлом фильтруете. Фаерволл — это l3, строки четырьмя этажами выше.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #22

33. Сообщение от Аноним (33), 24-Дек-22, 12:40	+/–
Для вас не будет открытием, что для iptables надо тоже включать дополнительные примочки, без которых iptables'у из userspace просто некуда будет загружать правила?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #13 Ответы: #35

34. Сообщение от Riff (?), 24-Дек-22, 12:52	+/–
Ну, это не совсем оно. Это документация по нетфильтру. К ней претензий нет. А в том месте где упоминается nftables мы имеет те же самые 5 вики-страниц, состоящих из примеров без пояснений. PS: не даром шляпники для него фронтенд (firewalld) накалякали. Понимают, что в проде, когда нужно быстренько включить доступ сетевому сервису на куче узлов, этот обфусцированный набор правил полезен, как лысому расческа.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #16 Ответы: #40

35. Сообщение от Попандопала (?), 24-Дек-22, 13:49	+/–
ХЗ. Iptables я только устанавливаю и в автозагрузку добавляю по сути, а Nftables надо в паре мест ткнуть при настройке ядра. Иначе при тех же в принципе правилах что и в Iptables только приведенные к пониманию Nftables, он не распознает что-то там. Имею ввиду ванильное ядро и его настройки по умолчанию. Вот этого мне недостаточно.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #33 Ответы: #36, #37

36. Сообщение от Попандопала (?), 24-Дек-22, 13:52	+/–
Правила Nfables у меня в /var/lib/nftables, а где они лежат у Iptables я не знаю. Просто эти 20 строчек копирую в xterm.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #35

37. Сообщение от Аноним (33), 24-Дек-22, 14:58	+/–
iptables в автозагрузке у вас срабатывает только потому, что добрый дядя, собравший вам ядро, уже эти настройки ткнул. Сегодня он их ткнул для iptables, завтра будет тыкать для nftables, а вам для оживления iptables тыкать эти настройки самостоятельно. Кстати, что за такой NIH-дистрибутив, у которого nftables в ядре выключен?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #35 Ответы: #39

38. Сообщение от Аноним (33), 24-Дек-22, 15:09	+/–
не, разница на линейных портянках проявится уже на первой сотне правил. Танцы с ipset'тами как-то ситуацию выправляют, но тоже как раз в районе ~1k элементов в сете тоже начнет проигрывать nftables'ам.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #31

39. Сообщение от Попандопала (?), 24-Дек-22, 15:11	+/–
Nftables не выключен,ему там просто надо донастроить. Gentoo-sources и дополнительно с патчами RT
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #37

40. Сообщение от Аноним (33), 24-Дек-22, 18:56	+/–
Все же firewalld появился чуть ли не за десять лет до начала работ над nftables. И придумали его чтобы на уровне объектных абстракций рулить плоскими правилами iptables. Как итог на выходе получалась укурочная дичь, которая более-менее работала как примерно ожидалось. Про производительность получившихся макарон никто особо не задумывался, для производительности правила вручную обтачивались надфилем с тотальным упрощением всего и вся.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #34