форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка

Вариант для распечатки		Пред. тема | След. тема
Форумы Разговоры, обсуждение новостей (Public)
Изначальное сообщение		[ Отслеживать ]

"Раздел полезных советов: Корректировка вывода arptables-save..."		+/–
Сообщение от auto_tips on 05-Июн-09, 09:57
Суть проблемы: в Debian Lenny arptables-save генерирует данные, синтаксически и семантически некорректные с точки зрения arptables-restore. Например, если в чистую таблицу filter добавить правило    # arptables -A INPUT -s 10.128.0.100 -j DROP а затем вызвать arptables-save, получим    # arptables-save    *filter    :INPUT ACCEPT    :OUTPUT ACCEPT    :FORWARD ACCEPT    -A INPUT -j DROP -i any -o any -s 10.128.0.100 Попытавшись скормить это arptables-restore, увидим    arptables v0.0.3.3: Can't use -o with INPUT    Try 'arptables -h' or 'arptables --help' for more information. ERROR(line 5): Но даже удаление -o any не сильно исправит дело. Потому что останется -i any. С точки зрения arptables-restore, да и arptables, any ни разу не ключевое слово, а просто имя интерфейса. Почему arptables-save считает иначе - непонятно. Подводя итог: вывод arptables-save нужно фильтровать примерно таким образом:    # arptables-save | sed -e 's/\(-[io]\) any *//g'    *filter    :INPUT ACCEPT    :OUTPUT ACCEPT    :FORWARD ACCEPT    -A INPUT -j DROP -s 10.128.0.100 URL: Обсуждается: http://www.opennet.dev/tips/info/2089.shtml
Высказать мнение | Ответить | Правка | Cообщить модератору

Сообщения по теме

[Сортировка по ответам | RSS]

	1. "Корректировка вывода arptables-save в Debian Lenny"		+/–
	Сообщение от myhand on 05-Июн-09, 09:57
	правильное место этому - http://bugs.debian.org/
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	2. "Корректировка вывода arptables-save в Debian Lenny"		+/–
	Сообщение от аноним on 05-Июн-09, 10:28
	Если я им все подобные баги начну постить, у них сервер ляжет :) Кроме того, не жду ничего хорошего от людей, которые грохнули init-скрипт для iptables и гордо считают это фичей.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	3. "Корректировка вывода arptables-save в Debian Lenny"		+/–
	Сообщение от Аноним (??) on 05-Июн-09, 10:39
	Почему arp-то?
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	4. "Корректировка вывода arptables-save в Debian Lenny"		+/–
	Сообщение от ононим on 05-Июн-09, 10:52
	что значит грохнули? у меня он очень даже работает. лижит в /etc/init.d/iptables
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	5. "Корректировка вывода arptables-save в Debian Lenny"		+/–
	Сообщение от аноним on 05-Июн-09, 10:58
	>Почему arp-то? Помимо IP-фаервола iptables, в линухе есть ARP-фаервол arptables. И с ним тоже иногда надо работать :)
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	6. "Корректировка вывода arptables-save в Debian Lenny"		+/–
	Сообщение от аноним on 05-Июн-09, 11:02
	>что значит грохнули? >у меня он очень даже работает. лижит в /etc/init.d/iptables Поделитесь травой плз! А то я тут понимаешь мучаюсь, с редхата его портирую... Вроде в Этче или Сарже он еще лежал в виде /usr/share/doc/iptables/examples/oldinitscript.gz, а потом его выпилили. В Ленни я не нашел.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	7. "Корректировка вывода arptables-save в Debian Lenny"		+/–
	Сообщение от daevy on 05-Июн-09, 13:09
	кто не вкурсе, еще есть ebtables :-)
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	8. "Корректировка вывода arptables-save в Debian Lenny"		+/–
	Сообщение от webbeans on 05-Июн-09, 14:46
	Кто мешает поместить скрипт в /etc/network/if-pre-up.d/ следующего содержания: iptables-restore < ${YOUR_RULES_FILE} или вообще юзать что-то наподобие shorewall?
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	9. "Корректировка вывода arptables-save в Debian Lenny"		+/–
	Сообщение от аноним on 05-Июн-09, 15:00
	>Кто мешает поместить скрипт в /etc/network/if-pre-up.d/ следующего содержания: >iptables-restore < ${YOUR_RULES_FILE} Мне удобнее хороший init-скрипт. Гораздо удобнее. Так как он может выгружать/загружать модули, менять параметры sysctl, сохранять конфигурацию в любой момент (invoke-rc.d iptables save), закрывать (iptables panic) и открывать фаервол (iptables stop) по желанию. И все это через один простой интерфейс. В /etc/network/if-pre-up.d/ разумно поместить разве что invoke-rc.d iptables start >или вообще юзать что-то наподобие shorewall? Не люблю когда машина умничает :)
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	10. "Корректировка^Wофф про инит скрипт"		+/–
	Сообщение от Andrey Mitrofanov on 05-Июн-09, 16:36
	>Кто мешает поместить скрипт в Некоторым пользователям оно же ж надо http:/openforum/vsluhforumID3/42161.html#9 так, как надо _им_, и ни ментейнеры пакета в дисрибутиве, ни апстрим не могут этому помешать. Даже несмотря на то, что всё вокруг меняется, сменилось три-четыре релиза Debian -- но _надо_ именно http:/openforum/vsluhforumID1/79587.html#8 так, как оно надо и как оно было. И кто мы такие в конце концов, чтобы мешать счастью http:/openforum/vsluhforumID3/42161.html#6 людей? :-] Некоторые, правда уже "не ждут ничего хорошего от людей"... :-/ А "счастье"-то где рядом. Ссылка выше. 2PavelR: Выложил? Где? В дистрибутиве - когда? [Поддерживать там - будет кто?..]  Пользователи по несчастью -- страдают.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	11. "Корректировка^Wофф про инит скрипт"		+/–
	Сообщение от аноним on 05-Июн-09, 16:55
	Меж прочим человек правильно мыслит... Насчет проблем с тем что было в дебиане раньше - не знаю, не видел. Однако ж портировал аналогичный скрипт с RHEL, потестировал и остался доволен. Если еще кому-то, кроме меня, это нужно - могу выложить в виде пакетов. Аналогичным образом поступил с arptables. Только зря наверное. В отличие от RHEL'а в дебиане arptables кривой и страшный как моя смерть (что наглядно иллюстрируется сией заметкой). Насчет "не ждать от людей хорошего" - я уже неоднократно видел последствия употребления сильнодействующих веществ мейнтейнерами ключевых пакетов дебиана. Думаю, если запостить этот баг на их багтрекер, в лучшем случае они его проигнорируют, в худшем - грохнут весь пакет. И пофигу, что он кому-то нужен.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	12. "Корректировка^Wофф про инит скрипт"		+1 +/–
	Сообщение от PavelR (??) on 05-Июн-09, 17:12
	Чож ждать, вот оно, забирайте, портированный редхат "service iptables": http://debian.nikolas.ru/debian/
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	13. "офф про письма в ООН"		+/–
	Сообщение от Andrey Mitrofanov on 05-Июн-09, 17:13
	>Насчет "не ждать от людей хорошего" - я уже неоднократно видел последствия >употребления сильнодействующих веществ мейнтейнерами ключевых пакетов дебиана. И продолжаете пользоваться. "Мыши плакали, кололись, но продолжали есть кактус" или плюём в колодец? >запостить этот баг на их багтрекер, в лучшем случае они его Вы полагаете, что OpenNET место получше для "выкладывания" пакетов-патчиков для?
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	14. "офф про письма в ООН"		+/–
	Сообщение от аноним on 05-Июн-09, 17:17
	>И продолжаете пользоваться. "Мыши плакали, кололись, но продолжали есть кактус" или плюём в колодец? Ну, в дебиане ведь и много хорошего есть :) >Вы полагаете, что OpenNET место получше для "выкладывания" пакетов-патчиков для? Это не патч. Это debian way. Да, местами он проходит через задницу. Ну то тут поделать, если мейнтейнер - ...?
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	15. "Корректировка^Wофф про инит скрипт"		+/–
	Сообщение от аноним on 05-Июн-09, 17:18
	>Чож ждать, вот оно, забирайте, портированный редхат "service iptables": > >http://debian.nikolas.ru/debian/ Спс. На досуге посмотрю.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	16. "офф: уже начинайте извиняться"		+/–
	Сообщение от Andrey Mitrofanov on 05-Июн-09, 17:32
	>или плюём в колодец? >Ну, в дебиане ведь и много хорошего есть :) Значит, в колодец... :( >Это debian way. Да, местами он проходит через задницу. Гм, извините, я "пешком постою": это _Ваш_ way. >Ну то тут поделать, если мейнтейнер - ...? Может, не плевать в колодец -- глядишь, и он [когда-нибудь] перестанет плевать в ответ.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	17. "офф: уже начинайте извиняться"		–1 +/–
	Сообщение от аноним on 05-Июн-09, 17:45
	>Гм, извините, я "пешком постою": это _Ваш_ way. Единственно верный путь не подскажете? >>Ну то тут поделать, если мейнтейнер - ...? > >Может, не плевать в колодец -- глядишь, и он [когда-нибудь] перестанет плевать >в ответ. Не суди по словам, суди по делам. Учтя результаты деятельности мейнтейнера iptables, я к нему даже соваться не стал. Не буди зверя... А то еще чего-нибудь нужное грохнет.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	18. "офф: уже начинайте извиняться"		+/–
	Сообщение от pavlinux (ok) on 06-Июн-09, 01:59
	Вот пока вы тут  с 09:57 до 17:45 флудили, какой Дебиан ху...ый,   можно было столько скриптов написать, на полноценный брандмауэр хватило бы!!! :)
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	19. "офф: уже начинайте извиняться"		+/–
	Сообщение от аноним on 06-Июн-09, 15:00
	Ога. Тонкое наблюдение. Вот представь: каждому десятому (или даже двадцатому) пользователю дебиана нужен инит-скрипт для iptables. И он его пишет. Итого: несколько тысяч инит-скриптов. Может лучше сразу идти пустыню подметать? Или хотя бы фонтаны стричь?
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	20. "Корректировка^Wофф про инит скрипт"		+/–
	Сообщение от аноним on 06-Июн-09, 17:23
	>Чож ждать, вот оно, забирайте, портированный редхат "service iptables": >http://debian.nikolas.ru/debian/ Посмотрел. Есть маленькое замечание, можно сказать стилистическое. В postinst скрипте вы суете ссылку на инит-скрипт с rcS.d с приоритетом 38. Однако в том же rcS.d инит-скрипт networking, поднимающий сеть, числится с приоритетом 14. Что в принципе может создать очень неприятный момент при загрузке, когда интерфейсы подняты, а фаервол еще не сконфигурирован. Мелочь, конечно... Но большая проблема обычно как раз и складывается из мелких. Совет: забить на update-rc.d, и сунуть в /etc/network/if-pre-up.d/ скриптик вида #!/bin/sh /etc/init.d/iptables start и не нужно будет никаких update-rc.d в postinst/postrm :)
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	21. "Корректировка вывода arptables-save в Debian Lenny"		+/–
	Сообщение от Одмин on 06-Июн-09, 19:35
	> Если я им все подобные баги начну постить, у них сервер ляжет :) ну так сделай это. Вот потому что все забивают на написание багов мы имеем то что имеем. Я никогда не стеснялся багрепорты писать. Даже если не уверен что это баг всё равно пишу, разрабы разберуться что к чему.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	22. "Корректировка вывода arptables-save в Debian Lenny"		+/–
	Сообщение от аноним on 06-Июн-09, 21:44
	Делай-не делай - толку никакого. Мейнтейнер arptables впал в нирвану в две тыщи лохматом году. С тех пор он ни на что не реагирует и ничем не занимается. Это конечно лучше, чем в случае с iptables - там мейнтейнер просто-таки профессиональный вредитель, принципиально уничтожающий все хорошее. Один libipt_psd.so чего стоит :(
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	23. "Корректировка вывода arptables-save в Debian Lenny"		+/–
	Сообщение от User294 (ok) on 07-Июн-09, 02:07
	> Если я им все подобные баги начну постить, у них сервер ляжет :) Ничего страшного, поднимут и сделают выводы :).Подходов есть два - да, можно мыкаться с тем что есть, молча в тряпочку, а о том что у вас проблемы никто кроме вас возможно и не узнает.А можно багов понаписать.Что явно увеличивает шансы на то что проблема бузет изучена причастными и даже возможно, починена. Если вам нравится самопальное костылестроение - вам первый подход.А если нужна нормальная система которая работает без подстановки левых костылей и подпорочек, тогда второй.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	24. "Корректировка вывода arptables-save в Debian Lenny"		+/–
	Сообщение от Аноним (??) on 07-Июн-09, 02:40
	> Если я им все подобные баги начну постить, у них сервер ляжет :) не ляжет, я проверял. > Кроме того, не жду ничего хорошего от людей, которые грохнули init-скрипт для iptables и гордо считают это фичей. видите ли в чём дело... в хорошем дистрибутиве все части системы должны быть совместимы между собой. если есть скрипт загружающий конфигурацию файрвола, то он должен быть совместим с hotplug, hal и udev. добится этой совместимости простым init скриптом который выполняется один раз при старте системы и никак не реагирует на подключение/отключение в процессе работы сетевых интерфейсов - невозможно. поэтому то что этот несовместимый с другими частями ОС скрипт грохнули - это правильно.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	25. "офф: уже начинайте извиняться"		+/–
	Сообщение от pavlinux (ok) on 07-Июн-09, 04:36
	>Ога. Тонкое наблюдение. > >Вот представь: каждому десятому (или даже двадцатому) пользователю дебиана нужен инит-скрипт для >iptables. И он его пишет. Итого: несколько тысяч инит-скриптов. Может лучше >сразу идти пустыню подметать? Или хотя бы фонтаны стричь? А зачем Вам Linux?
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	26. "офф: уже начинайте извиняться"		+/–
	Сообщение от аноним on 07-Июн-09, 15:09
	>А зачем Вам Linux? Работать в нем. Нет, работать в моем понимании - это не стричь фонтаны.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	27. "Корректировка вывода arptables-save в Debian Lenny"		+/–
	Сообщение от аноним on 07-Июн-09, 15:11
	>Ничего страшного, поднимут и сделают выводы :).Подходов есть два - да, можно >мыкаться с тем что есть, молча в тряпочку, а о том >что у вас проблемы никто кроме вас возможно и не узнает.А >можно багов понаписать.Что явно увеличивает шансы на то что проблема бузет >изучена причастными и даже возможно, починена. > >Если вам нравится самопальное костылестроение - вам первый подход.А если нужна нормальная >система которая работает без подстановки левых костылей и подпорочек, тогда второй. Я уже четко и внятно объяснил, что мейнтейнер arptables в нирване. И вообще официальное сообщество положило на этот пакет большой-большой прибор.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	28. "Корректировка вывода arptables-save в Debian Lenny"		+/–
	Сообщение от аноним on 07-Июн-09, 15:20
	>не ляжет, я проверял. Знаете ли вы столько багов дебиана, сколько знаю я? Вряд ли. Так что проверить не могли :) >видите ли в чём дело... в хорошем дистрибутиве все части системы должны >быть совместимы между собой. если есть скрипт загружающий конфигурацию файрвола, то >он должен быть совместим с hotplug, hal и udev. добится этой >совместимости простым init скриптом который выполняется один раз при старте системы >и никак не реагирует на подключение/отключение в процессе работы сетевых интерфейсов >- невозможно. поэтому то что этот несовместимый с другими частями ОС >скрипт грохнули - это правильно. Простите, но ваши аргументы - детский лепет. Во-первых, сейчас в линуксе нет метода конфигурирования фаервола, учитывающего "hotplug, hal и udev". Сломать все и ничего не построить - пять баллов. Во-вторых, iptables глубоко наплевать, существует или нет интерфейс, описанный в его правилах. Нет интерфейса - значит правило для него просто не будет срабатывать. В-третьих, динамическое переконфигурирование при подъеме/опускании отдельных интерфейсов можно делать через pre-up и post-down в /etc/network/interfaces, но необходимости загружать базовую конфигурацию это ни разу не отменяет.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	29. "офф: уже начинайте извиняться"		+/–
	Сообщение от pavlinux (ok) on 07-Июн-09, 16:09
	>>А зачем Вам Linux? > >Работать в нем. В нём нельзя работать, он работает за Вас, только надо один раз настроить.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	30. "пирожки"		+/–
	Сообщение от Аноним (??) on 07-Июн-09, 16:13
	>В нём нельзя работать, он работает за Вас, только надо один раз >настроить. Ага, и сам пирожки ест.
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	31. "офф: уже начинайте извиняться"		+/–
	Сообщение от аноним on 07-Июн-09, 20:25
	>В нём нельзя работать Неужели? >он работает за Вас, только надо один раз настроить. А как бы его так настроить, чтобы он сам писал инит-скрипты, грохнутые неадекватными мейнтейнерами?
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	32. "офф: уже начинайте извиняться"		+/–
	Сообщение от pavlinux (ok) on 09-Июн-09, 16:09
	>>В нём нельзя работать > >Неужели? > >>он работает за Вас, только надо один раз настроить. > >А как бы его так настроить, чтобы он сам писал инит-скрипты, грохнутые >неадекватными мейнтейнерами? Нейронная сеть и искусственный интеллект вам в помощь... :)
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

	33. "Корректировка вывода arptables-save в Debian Lenny"		+/–
	Сообщение от debianuser on 10-Июн-09, 23:56
	Так станьте сами мейнтрейнером
	Высказать мнение | Ответить | Правка | ^ | Наверх | Cообщить модератору

Архив | Удалить	Индекс форумов | Темы | Пред. тема | След. тема
Оцените тред (1=ужас, 5=супер)? [ 1 | 2 | 3 | 4 | 5 ] [Рекомендовать для помещения в FAQ]