forum.opennet.ru

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Оглавление

Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7, opennews (?), 16-Янв-21, (0) [смотреть все]

Помню был такой agnitum outpost firewall на окнах Вот такой же на linux надо У, Антонимм (?), 18:37 , 16-Янв-21, (1) –10 //

Вам надо просто поставить окна Где все как вы любите - удобно, наглядно, и no us, пох. (?), 19:25 , 16-Янв-21, (7) –3
а чо вы его минусуете Он прав так-то, анон45 (?), 19:30 , 16-Янв-21, (8) +2 //

У нас УЖЕ есть одна винда И в ней - почти нормальный и почти application firewa, пох. (?), 20:01 , 16-Янв-21, (17) +8 //

он сам разберется лучше тебя Обернуть те же функции в гуй Не, не линукс-вэй , КО (?), 05:51 , 17-Янв-21, (57) +2

Оно либо примитивное донельзя выйдет, либо толком неуправляемое без справочника , псевдонимус (?), 15:37 , 17-Янв-21, (99) +1

А чего вы так ополчились на мышь , Аноним (-), 08:46 , 17-Янв-21, (63) –2
да это точно на линуксе переписали конфиг в стиле json и будут переписывать , crypt (ok), 15:14 , 17-Янв-21, (91) +1

Про pf слышали , Azudim (??), 11:41 , 18-Янв-21, (156) +2

Так сделай интерфейс, пришли патч, кто мешает Это опенсорс, детка , Аноним (10), 19:42 , 16-Янв-21, (10) +5 //

А эту невероятную херню кто делал Аааа, ну да, ну да - sponsored by facebook Э, пох. (?), 19:59 , 16-Янв-21, (16) –3

Не поверишь, у меня он сейчас стоит , Аноним (18), 20:48 , 16-Янв-21, (18)
а куда он, кстати, делся , Космозавр (?), 23:01 , 16-Янв-21, (28) //

Яндекс купил Агнитум, потом закрыл его , mikhailnov (ok), 22:52 , 17-Янв-21, (136)

Или как в Comodo, а то достало, одно выучишь, как его дропнули и заменили другим, Пох (?), 01:48 , 17-Янв-21, (47) –3
Есть fwbuilder , Old man (?), 02:38 , 17-Янв-21, (48) //

Да есть есть еще gufw ИМХО не дотягивают они даже близко до agnitum по удобству , Антонимм (?), 06:26 , 17-Янв-21, (59)

Хотелось бы что-нибудь типа tinywall, чтобы исходящий траф разрешать только опре, Аноним (81), 12:55 , 17-Янв-21, (81) +2
как вы думаете, по какой цене могли бы продавать авторы такого продукта, чтобы е, Роман (??), 22:15 , 17-Янв-21, (134)
Посмотрите Open Snitch , Cololo (?), 02:11 , 25-Янв-21, (185)

cat etc sysconfig nftables conf table inet filter chain input type filt, leap42 (ok), 18:51 , 16-Янв-21, (2) //

Зачем ipv6, или не отключили примочку в ядре для одинаковости ц правил с ipv4 , Аноним (4), 18:56 , 16-Янв-21, (4) –3 //

просто клиент при копипасте со стека забыл удалить ненужное Ибо синтаксис г-но и, пох. (?), 19:50 , 16-Янв-21, (12) –3 //

все очень просто нужен генератор правил типа firehol пусть он делает неоптималь, СеменСеменыч777 (?), 21:17 , 16-Янв-21, (20) –2

Сема, в asa линукса на бекплейне , slepnoga (ok), 21:35 , 16-Янв-21, (21) –2

они там используются для сугубо специфической цели - кое-как прочитать с флэшки , пох. (?), 22:10 , 16-Янв-21, (22) –2

так я и написал - на бекплейне Не Микроштык же , slepnoga (ok), 23:04 , 16-Янв-21, (29)

Ну вон у ios-xr тоже типа на бэкплейне кто бы понял где у этой штуки бэкплейн ,, пох. (?), 23:16 , 16-Янв-21, (33) –1

В XR QNX на 6 0 Linux только в 6 0 появился И не на бекплейне, а на RSP и про, Онаним (?), 11:48 , 17-Янв-21, (72)

не используется Я, в отличие от некоторых, запускал Единственное, что там от т, пох. (?), 13:22 , 17-Янв-21, (84) –1

Состояние файрвола через мониторинг conntrackd я передавал, да, нужно костылять,, Онаним (?), 18:25 , 17-Янв-21, (110)

ASA дерьмо, так-то Всё тот же linux с нескучным синтаксисом конфига, в котором , Онаним (?), 11:45 , 17-Янв-21, (71)
ППКС индусские менеджеры из RH мля просто угробить линукс решили , crypt (ok), 15:19 , 17-Янв-21, (94) –1

А теперь запрети конкретному приложению доступ в сеть на лету, после запуска оно, Аноним (27), 22:58 , 16-Янв-21, (27) –3 //

Скрыто модератором, пох. (?), 23:18 , 16-Янв-21, (34) –1
Конечно виндопользователям проще по 10 раз кликать для включение и отключение пр, Аноним (38), 23:24 , 16-Янв-21, (38) +1 //

Скрыто модератором, пох. (?), 01:02 , 17-Янв-21, (44) +1

Скрыто модератором, Аноним (38), 03:41 , 17-Янв-21, (51) +5

Скрыто модератором, пох. (?), 10:40 , 17-Янв-21, (67) +1

Скрыто модератором, псевдонимус (?), 16:44 , 17-Янв-21, (102) –2

Скрыто модератором, пох. (?), 18:04 , 17-Янв-21, (105) –1

Скрыто модератором, псевдонимус (?), 18:27 , 17-Янв-21, (111) –1

Скрыто модератором, пох. (?), 19:15 , 17-Янв-21, (123) –1

Скрыто модератором, псевдонимус (?), 18:36 , 17-Янв-21, (112) –1
Скрыто модератором, псевдонимус (?), 18:41 , 17-Янв-21, (113) –1

Скрыто модератором, пох. (?), 18:49 , 17-Янв-21, (116) –1

Скрыто модератором, псевдонимус (?), 21:48 , 17-Янв-21, (132)

Скрыто модератором, пох. (?), 01:38 , 18-Янв-21, (145)

Скрыто модератором, СеменСеменыч777 (?), 05:03 , 17-Янв-21, (53)

Скрыто модератором, пох. (?), 10:25 , 17-Янв-21, (66) +1

Ай, молодец какой - нашёл единственного ответившего, прочёл в его словах то, чег, Tifereth (ok), 05:50 , 17-Янв-21, (56) +1

Каким нормальным бы админ ни был, если он приходит работать в зоопарк , где в, InuYasha (??), 14:40 , 17-Янв-21, (88)

зависит от должности и от масштаба бардака в компании Бывало что и приглашали, пох. (?), 18:07 , 17-Янв-21, (106) –2
И это не всегда так Конторы иногда переезжают, расширяют офис и т д и т п Вот , Tifereth (ok), 02:16 , 18-Янв-21, (147)

Берёте дефолтный раымный конфиг для декстопа nft --handle --numeric list table, barmaglot (??), 08:35 , 17-Янв-21, (62) –1 //

это разумный Вот этот вот фееричный бред c помощью lsof все понятно Специ, пох. (?), 10:43 , 17-Янв-21, (68) +1

tcpdump уже не в моде , Sw00p aka Jerom (?), 15:39 , 17-Янв-21, (100) –1

Уж хотя бы strace, если мы танцуем от процесса линукс, чай, опять же А то ока, пох. (?), 18:11 , 17-Янв-21, (107) –1

Вот это вот дефолтное удолбище - одна из причин, по которой nf так до сих пор и , Онаним (?), 11:50 , 17-Янв-21, (74)

вовсе нет Хотя за такое, конечно, отдельно надо кастрировать Дефолтный susefire, пох. (?), 13:30 , 17-Янв-21, (85)

Справедливости ради, Подсветочка в mcedit регулярно ломается и на баш-скриптах, InuYasha (??), 14:46 , 17-Янв-21, (89) –1
Мнэ А почему у меня это всегда в Debian Ubuntu было Пакет iptables-persistent, flkghdfgklh (?), 23:51 , 17-Янв-21, (139)

И вот какого х-я его нет по умолчанию в любой установленной системе, и надо пойт, пох. (?), 00:33 , 18-Янв-21, (140)

С RHEL-5 AFAIR И не забыть service iptables save в конце если ещё от консоли, PnD (??), 15:36 , 18-Янв-21, (167)

если отвалился - после ребута привалится обратно, в том и смысл был я даже не по, пох. (?), 18:03 , 19-Янв-21, (178)
упс, не заметил Чувак, твой rhel5 - это 2010й версия 6 - это на десять лет, пох. (?), 18:06 , 19-Янв-21, (179)

Малыш, мне 40 лет Я использую Debian с 2001 года Ты в то время еще не родился , flkghdfgklh (?), 12:07 , 19-Янв-21, (176) –1

ну и зачем ты тут разговариваешь со своим малышом А я его выбросил окончательн, пох. (?), 18:09 , 19-Янв-21, (180)

Упс, а что, оно за те десять лет модули-то грузить так и не научилось Видимо, эт, пох. (?), 01:03 , 18-Янв-21, (143)

Если с этим pid другое приложение запустилось , Аноним (78), 12:19 , 17-Янв-21, (78)
Разумный-то он разумный Вот читать такое и врагу не пожелаешь , псевдонимус (?), 16:47 , 17-Янв-21, (103) –1

Читать-то пожалуйста, заметить что в 16й строчке вместо 0x10 написано 1 - вот эт, пох. (?), 18:53 , 17-Янв-21, (118)

Для твоей задачи подходят cgroups, или заморачивайся с connection mark если ты , Аноним (172), 18:02 , 18-Янв-21, (172) –1

На таком уровне всё элементарно Но это конечный ПК, с одним инетом, без форварда, Random (??), 23:14 , 16-Янв-21, (31) –2
Ну и зачем тебе файрвол не на сервере Или у тебя запущены какие-то службы на вн, murmur (?), 01:37 , 17-Янв-21, (46) –3 //

я ip-телефонией занимаюсь, у меня, как можно заметить по правилам, часто запущен, leap42 (ok), 08:03 , 17-Янв-21, (61) //

и именно по этой причине единственный на васян-десктопе, в общем-то, опасный про, пох. (?), 11:14 , 17-Янв-21, (70) –1

опасный протокол это что у вас во дворе придумали, да ещё раз там торчит клие, leap42 (ok), 15:29 , 17-Янв-21, (96)

Телефонисты придумали И, самое главное - клиентов понаписали Лучше б уж - во дв, пох. (?), 18:20 , 17-Янв-21, (108) –1

Этот порт открыт для всего интернета Файрвол у тебя закрывает все КРОМЕ этого по, mumu (ok), 11:48 , 17-Янв-21, (73) –2

он там и ждет весь интернет потому что это десктоп , там логично так сделать, а, пох. (?), 13:14 , 17-Янв-21, (83)
ещё раз роутер с upnp, он без вопросов прокидывает любые порты любому софту и , leap42 (ok), 15:34 , 17-Янв-21, (98)

Для админа да проще А для пользователя нет Что и тормозит использование linux , Антонимм (?), 06:30 , 17-Янв-21, (60) –1 //

А у пользователя есть уже целых ДВЕ операционные системы, не считая ведроида, гд, пох. (?), 10:46 , 17-Янв-21, (69) –1

да не, counter accept comment - счетчик принял коммент че тут непонятного-то , crypt (ok), 15:17 , 17-Янв-21, (92) +2
Ну страшненькая ведь простынка - , псевдонимус (?), 15:41 , 17-Янв-21, (101) –1

Тот без антивируса еще который был Знатная вещь , Аноним (4), 18:52 , 16-Янв-21, (3) –1
Когда уже 1 0 будет Надоела эта вечная бета , Аноним (-), 18:59 , 16-Янв-21, (5) –1 //

Если не нравится вечная бэтп, то большая часть бесплатных гнулинукс не для тебя , псевдонимус (?), 19:06 , 16-Янв-21, (6) –1
о, инвестор нарисовался , пох. (?), 19:55 , 16-Янв-21, (14)
Там ещё дофига фиксить и допиливать , Random (??), 23:15 , 16-Янв-21, (32) //

Ну и на фига его тогда везде насовали и заменили работающему iptables , Аноним (78), 12:23 , 17-Янв-21, (79) –1 //

Тестировать-то надо И желательно бесплатно , псевдонимус (?), 15:32 , 17-Янв-21, (97)

Я полагаю, платиновому спонсору в общем-то наплевать Сам потестирует Вот угнать, пох. (?), 18:55 , 17-Янв-21, (119) –1

Ну и выбросят этот инносенс Уже приступили, не смотри на медленное запрягание, псевдонимус (?), 20:50 , 17-Янв-21, (130)

во-первых, по прежнему полу-работающему Только он уже deprecated, поэтоу ураааа, пох. (?), 18:24 , 17-Янв-21, (109) –2

С цацкой все ясно А что в iptables-1 8 7 то поменяли Вообще непонятно новость, Аноним (-), 19:40 , 16-Янв-21, (9) //

Сломали все, раньше было лучше, Аноним (11), 19:47 , 16-Янв-21, (11) +5
Написано ж - еще более улучшили кривовраппер, и он теперь позволяет хотя бы выво, пох. (?), 19:54 , 16-Янв-21, (13) //

Ну и славненько А за двадцать лет то что должно было произойти Эта фигня была, Аноним (41), 00:37 , 17-Янв-21, (41) //

Хотя бы то что Рыжий обещал как только, так сразу И нап-дел, как обычно До эт, пох. (?), 00:57 , 17-Янв-21, (43) –2

Быдлопровайдинг это побочный эффект Жаловаться на то что таких не обращают вним, Аноним (-), 17:17 , 17-Янв-21, (104) –2

мальчик, ты совсем дурак Я ее себе под стол поставлю, вместо линуксного ненужно, пох. (?), 18:42 , 17-Янв-21, (114) –2

чур меня чур, даже даром не нужно как и всякие ЧП собратья пальто со своими Эн, Sw00p aka Jerom (?), 03:38 , 18-Янв-21, (149)

ну да, ну да - лучше ковырять дома вот тот п-ц с tcp flags 0x10 А я бы вот был, пох. (?), 13:27 , 18-Янв-21, (164)

я только за, но больно очень, ибо лучше чтобы не было вовсе, чем есть и через , Sw00p aka Jerom (?), 16:23 , 18-Янв-21, (170)

и кстати, да, gre nat conntrack для многих источников-приемников у них тоже рабо, пох. (?), 14:14 , 18-Янв-21, (166)

Вангую что через пару лет nftables устареет и на смену ему придет systemd-tables, Аноним (24), 22:38 , 16-Янв-21, (24) +2 //

systemd-nettablesd, СеменСеменыч777 (?), 22:43 , 16-Янв-21, (25) //

он у меня называется -firewalld Уже давно пришел, уютно устроился и смотрит на , Лёня Потный (?), 23:21 , 16-Янв-21, (37) +1 //

Глаза Лени не могут быть добрыми ро определению, Аноним (24), 01:10 , 18-Янв-21, (144)

А вот кстати неплохо бы, да Потому что rh вый firewalld - конченное удолбище, а , Онаним (?), 11:51 , 17-Янв-21, (75) //

да, представляю какая красота - снова три набора заклинаний-завываний чтобы как-, пох. (?), 18:44 , 17-Янв-21, (115) –1 //

Да не, чего-чего, а с порядком запуска у системды всё хорошо Как раз таки печаль, Онаним (?), 18:52 , 17-Янв-21, (117) –1

Просто прекрасно Сколько там у нее заклинаний для этой цели - пять, или больше , пох. (?), 19:21 , 17-Янв-21, (124)

А что с ним должно быть не так У меня монтирование ряда FS на старт сети завязан, Онаним (?), 20:47 , 17-Янв-21, (129)

А что с ним может быть так Не работает оно Как всегда у вас Это _netdev в fs, пох. (?), 00:41 , 18-Янв-21, (141)

Ну у меня это в принципе и есть желаемое поведение если что-то смонтировать не , Онаним (?), 09:27 , 18-Янв-21, (152)
А fstab себя сам монтирует Ой, да это же 8230 man systemd-fstab-generator Ран, PnD (??), 16:17 , 18-Янв-21, (169)

ну так и почитай там что такое _netdev Что, опять не написано, вместо мана били, пох. (?), 11:07 , 19-Янв-21, (174)

Поддержку ipv4 пора удалять как устаревший протокол Ну раз i386 и FTP убрали, Аноним (26), 22:57 , 16-Янв-21, (26) –2 //

И к ICMP прикрутить сертификаты, а то совсем не секурно, Аноним (30), 23:08 , 16-Янв-21, (30) +5
FTP на уровне ядра и не было никогда , Аноним (95), 15:23 , 17-Янв-21, (95)

оно действительно быстрее, чем iptables есть смысл переезжать, если у меня под , онанимус (?), 23:37 , 16-Янв-21, (40) –1 //

очевидно, что это зависит не от количества тысяч строк, а от того, есть у тебя п, пох. (?), 00:49 , 17-Янв-21, (42) //

промышленный эт какой-такой промышленный а , Sw00p aka Jerom (?), 02:50 , 17-Янв-21, (50) –1 //

это у которого в рекламе написано industrial и enterprise level , СеменСеменыч777 (?), 05:20 , 17-Янв-21, (54)

И чтоб обязательно встроенный бекдор от лучших индусов Бангалора , Аноним (86), 13:43 , 17-Янв-21, (86) +1
Туда бы ещё добавить словечко NGFW , Sw00p aka Jerom (?), 14:27 , 17-Янв-21, (87) –1

ngfw не украсть - там весь ng в том что где-то в Бангалоре команда из сорока при, пох. (?), 19:01 , 17-Янв-21, (120) –1

так и естьтакое же гамно если честно, при 1M pps валится устал багрепортить, ин, Sw00p aka Jerom (?), 21:23 , 17-Янв-21, (131)

Не, nft нету Там ядро 2 6, тогда такого еще не придумали , RHEL fan (?), 11:32 , 18-Янв-21, (154)

Это не утверждение, а предположение Через пару лет вероятней и окажется с nft , Sw00p aka Jerom (?), 12:26 , 18-Янв-21, (158)

неисключено, что именно эти ребята и спонсируют Сам понимаешь, от обычных iptabl, пох. (?), 13:31 , 18-Янв-21, (165)

Перенос в ipset, по накопленной статистике, сказывается на производительности уж, Tifereth (ok), 05:54 , 17-Янв-21, (58) +1 //

по накопленной статистике не на чем сказываться Вообще никак эти пары сотен н, пох. (?), 10:11 , 17-Янв-21, (64) –1

У вас это любимое занятие, я погляжу - делать выводы о том, чего в глаза не виде, Tifereth (ok), 11:15 , 18-Янв-21, (153) –1

да, да, конечно же не видел Кончай бредить Увидеть вшивые сотни правил невозмож, пох. (?), 13:18 , 18-Янв-21, (162)

Единственное мало-мальски осмысленное среди вороха букв Понятно, что вы тужилис, Tifereth (ok), 17:42 , 19-Янв-21, (177)

на ipset https www dbsysnet com wp-content uploads 2016 03 ipset3 png, Аноним (52), 04:03 , 17-Янв-21, (52) //

1 непонятно, что такое responce и request в контексте фаерволла 2 почему-т, СеменСеменыч777 (?), 05:25 , 17-Янв-21, (55) //

понятно только что до 15000 эффект неразличим приборами ты правда можешь достов, пох. (?), 10:21 , 17-Янв-21, (65) –1

Если встаёт вопрос об ipset - лучше сразу таки на nft, потому что одно дело мейн, Онаним (?), 11:53 , 17-Янв-21, (77) //

наоборот майнтейнить простыню в десять тыщ строк, перемешанную с конфигом фай, пох. (?), 13:08 , 17-Янв-21, (82) –2

В конфиге файрвола только например define ext1_if enp1s0 10define ext2_if , Random (??), 13:11 , 18-Янв-21, (159)

п-ц то какой Я сломал глаза, пытаясь эту фигню прочесть , пох. (?), 13:23 , 18-Янв-21, (163)

у меня именно правила ipset предварительно укороченные с помощью aggregate - б, онанимус (?), 23:42 , 17-Янв-21, (138)

Я бы поглядел Вполне возможно, что удастся сгруппировать в пару сотен , Онаним (?), 11:52 , 17-Янв-21, (76)

Коллеги особенно пох , подскажите, у линухе уже можно реализовать мою мечту, InuYasha (??), 14:59 , 17-Янв-21, (90) –1 //

Не советую, оно его тебе завтра еще разок переименует - и все сломается Можно , пох. (?), 19:09 , 17-Янв-21, (122) –2 //

М-да, не радужно системду я ещё не изучал на этот предмет но вообще переимнова, InuYasha (??), 21:53 , 17-Янв-21, (133) –1 //

http manpages ubuntu com manpages bionic man5 systemd link 5 htmlможет поможет, Sw00p aka Jerom (?), 22:47 , 17-Янв-21, (135) –1

Отличная диверсия, кстати, спасибо, хер кто потом найдет, почему на этом хосте в, пох. (?), 00:52 , 18-Янв-21, (142)

Далеко ходить не надо Device eth0 does not seem to be present, delaying initia, Sw00p aka Jerom (?), 03:26 , 18-Янв-21, (148)

Поглядел ман, спасибо Теоретичеси, половину вопроса решает, возможно Link Name , InuYasha (??), 11:41 , 18-Янв-21, (155)
Не, это у тебя какая-то немодная-устаревшая херня, так было в конце нулевых, где, пох. (?), 13:12 , 18-Янв-21, (160)

почему же udev и щас живет, пример выше при смене мака происходит, ибо удев прав, Sw00p aka Jerom (?), 16:48 , 18-Янв-21, (171)

сейчас удев - интегрированный кусок shittyd Ничего при смене мака не происходит, пох. (?), 18:20 , 19-Янв-21, (181) +1

дарю идею - etc servicesЭто будет диверсия похлеще link - никто вообще нихрена, пох. (?), 01:43 , 18-Янв-21, (146)

О, это будет круто , InuYasha (??), 11:41 , 18-Янв-21, (157)

1 а я о чем писал 2 типа у циски конфиги не уродливые у кого как у меня не з, СеменСеменыч777 (?), 21:25 , 18-Янв-21, (173) //

они банутые, но хотя бы - читаемые, если не использовать совсем кривые практик, пох. (?), 11:15 , 19-Янв-21, (175)

подведем итоги линукс виноват в том что 1 не выдал забесплатно стандартный ген, СеменСеменыч777 (?), 01:24 , 21-Янв-21, (182)

мне он нахер не нужен Мне нужен человекочитаемый конфиг У вас он был, теперь е, пох. (?), 10:57 , 21-Янв-21, (183)

Интересно есть ли хоть кто-то, кроме марсиан-разарбов кто в nftables продвину, Аноним (151), 09:03 , 18-Янв-21, (151) +3 //

Я уверен, что в фейсбуке их полно таких Только вот зачем, учитывая что времени и, пох. (?), 13:13 , 18-Янв-21, (161) +1
Чуть менее примитивное работа домашнего роутера через двух провайдеров одновреме, Random (??), 15:45 , 18-Янв-21, (168)
Пока куцый врапер в iptables не уберут, народ на эту модную реплику пытающуюся с, OpenEcho (?), 15:46 , 21-Янв-21, (184)

Сообщения [Сортировка по времени | RSS]

2. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" +/–

Сообщение от leap42 (ok), 16-Янв-21, 18:51

cat /etc/sysconfig/nftables.conf
table inet filter {
  chain input {
    type filter hook input priority 0; policy drop;
    ct state established,related accept comment "Accept traffic originated from us"
    iif lo accept comment "Accept all loopback connections"
    ip protocol icmp accept comment "Accept ICMP"
    ip6 nexthdr icmpv6 accept comment "Accept ICMPv6"
    udp dport 5353 counter accept comment "Accept mDNS/UDP (resolved)"
    udp dport 5060 counter accept comment "Accept SIP/UDP (Baresip)"
    tcp dport { 5060, 5061 } counter accept comment "Accept SIP/TCP (Baresip)"
    udp dport { 16384-16389 } counter accept comment "Accept RTP (Baresip)"
    tcp dport 9881 counter accept comment "Accept Torrent/TCP (Transmission)"
    udp dport 9881 counter accept comment "Accept Torrent/UDP (Transmission)"
    counter comment "Count any other traffic"
  }
  chain forward {
    type filter hook forward priority 0; policy drop;
  }
  chain output {
    type filter hook output priority 0; policy accept;
  }
}
^^^ вот это разве непонятно? по-моему проще чем что-то по менюшкам натыкивать...

Ответить | Правка | Наверх | Cообщить модератору

4. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" –3 +/–

Сообщение от Аноним (4), 16-Янв-21, 18:56

Зачем ipv6, или не отключили примочку в ядре для одинаковости (ц) правил с ipv4?

Ответить | Правка | Наверх | Cообщить модератору

12. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" –3 +/–

Сообщение от пох. (?), 16-Янв-21, 19:50

просто клиент при копипасте со стека забыл удалить ненужное.
Ибо синтаксис г-но и эта простыня совершенно нечитаема даже при том что полезного не умеет ровно вот ничего (хоть ssh от сканов бы прикрыл). Ну ладно хоть icmp не зобанил, как у них принято. Хотя лишние тоже невредно бы и пофильтровать.
Теперь смотрим на не особо сложный гнороутер под столом - пяток сеток, две терминируются не на нем и нужно пробрасывать туннели через нат, пригоршня разных сервисов доступных в разных комбинациях с разных направлений (потому что незачем в сторону стораджа пускать виндовые машины, пусть и trusted сегмента, все равно им там делать нечего), прикидываем как ЭТА простыня в нескучном синтаксисе будет выглядеть и как будешь добавлять еще один хост через пол-года, когда уже подзабудешь что и зачем тут было... плюемся, идем узнавать, сколько стоит бу циско asa 5520. Ну оок - в штатах от 70, но если спалишься на таможне - отберут. В дефаултсити от 15000, краденые. В целом, и недорого. Одна даже с ssm, бесполезен без подписки, зато можно поиграться.
Потому что линyпсь - всьо даже в качестве гуанороутеров. Доломали и это.

Ответить | Правка | Наверх | Cообщить модератору

20. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" –2 +/–

Сообщение от СеменСеменыч777 (?), 16-Янв-21, 21:17

все очень просто. нужен генератор правил типа firehol.
пусть он делает неоптимально, зато все понятно и не надо учить очередной собачий язык.
> незачем в сторону стораджа пускать виндовые машины, пусть и trusted сегмента, все равно им там делать нечего
проблемы "уровня приложения" решаем на "сетевом уровне" ? ай молодца казахский хакер.
ps: в цисках невозможен недорогой апгрейд. циски могут быть протроянены либо с завода, либо в "черном кабинете" перевозчика (например US Post). IOS для цисок пишут чурки^Wиндусы.

Ответить | Правка | Наверх | Cообщить модератору

21. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" –2 +/–

Сообщение от slepnoga (ok), 16-Янв-21, 21:35

Сема, в asa линукса на бекплейне. ))

Ответить | Правка | Наверх | Cообщить модератору

22. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" –2 +/–

Сообщение от пох. (?), 16-Янв-21, 22:10

они там используются для сугубо специфической цели - кое-как прочитать с флэшки единственный бинарник по имени asa. ВСЬО.
Ни сетевой стек, ни б-же упаси, фиревал от этого линукса не используется. Только фича чтения бинарника и привязки к адресам. А, планировщик тоже не используется, до недавнего времени этот бинарник был строго single thread, потом, правда, _ssl_vpn_ и только он стал многотредовым, догадайся, почему так. Ну а до того тот же самый бинарник им qnx загружал, просто помер тот дедуля, который умел его готовить.
У ssm10 - там полноценный линyпсь (то есть внутри асы есть еще одна железка с еще одним линyпсом) и в нем, собственно, что-то донельзя похожее на древние версии snort, но с совершенно другими и управлением, и особенностями работы. Главное, впрочем, сохранено - без коммерческой подписки на правила бесполезен феерично.

Ответить | Правка | Наверх | Cообщить модератору

29. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" +/–

Сообщение от slepnoga (ok), 16-Янв-21, 23:04

так я и написал - на бекплейне. Не Микроштык же.

Ответить | Правка | Наверх | Cообщить модератору

33. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" –1 +/–

Сообщение от пох. (?), 16-Янв-21, 23:16

> так я и написал - на бекплейне. Не Микроштык же.
Ну вон у ios-xr тоже типа на бэкплейне (кто бы понял где у этой штуки бэкплейн), но там вполне себе полноценный линукс, даже с rpm в 6ой серии. И оно реально и пачку демонов там держит, и еще хз что и сбоку бантик, и в шелл можно вывалиться, только непонятно что там делать, и даже top запустить (только еще меньше понятно для чего).
А тут просто лоадер, чтоб не трахаться, тот бинарник по физическим адресам вручную размещать.

Ответить | Правка | Наверх | Cообщить модератору

72. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" +/–

Сообщение от Онаним (?), 17-Янв-21, 11:48

В XR QNX на <6.0. Linux только в 6.0 появился. И не на бекплейне, а на RSP и процессорах плат.
У XE Linux на подложке, под ним в виртуалке крутится IOS.
Но насчёт ASA - нет, увы. Там именно что сетевой стек используется от линуксов, и файрволит тоже какой-то драйвер в них. Из железного - только акселерация VPN, всё остальное софт.

Ответить | Правка | Наверх | Cообщить модератору

84. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" –1 +/–

Сообщение от пох. (?), 17-Янв-21, 13:22

> Но насчёт ASA - нет, увы. Там именно что сетевой стек используется от линуксов
не используется. Я, в отличие от некоторых, запускал. Единственное, что там от того стека - интеловские драйвера сетевух, и то не факт что не патченные чтоб поменьше лезли куда не надо. А дальше байтики идут мимо штатных поделок.
Да, софт, только не лап4тый.
Твой линoops умеет при отказе подхватить траффик (_включая_ ipsec, и, разумеется, сохраняя состояния файрвола для открытых соединений) соседним ящиком прозрачно для окружающих?
А эта вот конструкция - умеет. Причем еще со времен pix где линyпсятиной и не пахло.

Ответить | Правка | Наверх | Cообщить модератору

110. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" +/–

Сообщение от Онаним (?), 17-Янв-21, 18:25

Состояние файрвола через мониторинг conntrackd я передавал, да, нужно костылять, но по факту работает.

Ответить | Правка | Наверх | Cообщить модератору

71. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" +/–

Сообщение от Онаним (?), 17-Янв-21, 11:45

ASA дерьмо, так-то. Всё тот же linux с нескучным синтаксисом конфига, в котором даже два IP на один интерфейс не повесить.

Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

94. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" –1 +/–

Сообщение от crypt (ok), 17-Янв-21, 15:19

> Ибо синтаксис г-но и эта простыня совершенно нечитаема ... Доломали и это.
ППКС:( индусские менеджеры из RH мля просто угробить линукс решили.

Ответить | Правка | К родителю #12 | Наверх | Cообщить модератору

27. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" –3 +/–

Сообщение от Аноним (27), 16-Янв-21, 22:58

А теперь запрети конкретному приложению доступ в сеть на лету, после запуска оного, для тестов, что именно у него сеть отвалилась. И так сто раз за час пока дебажишь.

Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

34. Скрыто модератором –1 +/–

Сообщение от пох. (?), 16-Янв-21, 23:18

> А теперь запрети конкретному приложению доступ в сеть на лету, после запуска
> оного, для тестов, что именно у него сеть отвалилась. И так
> сто раз за час пока дебажишь.
ну брателла, эт тебе в wsl ;-) Там вендофиревалл все это умеет.
А у этих, л@п4...нутыпонял, не, это слишком сложно.
Вот сломать что до этого работало хоть как-то - эт пожалуйста, это могем.

Ответить | Правка | Наверх | Cообщить модератору

38. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" +1 +/–

Сообщение от Аноним (38), 16-Янв-21, 23:24

Конечно виндопользователям проще по 10 раз кликать для включение и отключение правила, но я не вижу никаких сложностей сделать это с nft. Ищу пид процесса, а потом по пиду хоть дроп, хоть реджект делаю НА ЛЕТУ. Да хоть tc ему наверну, если нужно посмотреть как с плохим интернетом работать будет. Ну и конечно же написать скрипт, который это делает - 10 минут, если в первый раз. А потом этот скрипт могу и в тесты добавить, ведь я же не мышко-кликательный холоп, чтобы на каждый билд вручную тестить отсутствие интернета.

Ответить | Правка | К родителю #27 | Наверх | Cообщить модератору

44. Скрыто модератором +1 +/–

Сообщение от пох. (?), 17-Янв-21, 01:02

> Ищу пид процесса
а процесс уже отправил в базу запрос delete from без where. Ну, ок, ищи дальше. Он, правда, уже и завершился.
И так у вас все. А в винде надо кликнуть ровно ОДИН раз - потому что она умеет разрешать доступ на уровне программ, а не процессов. Ну, или не хочешь кликать - "напиши скрипт", это тоже минут десять если синтаксис powershell подглядывать в гугле.
Как же тупейшие лап4е фанатики достали...
Признать что объект их др-рва имеет хоть малейший недостаток - абсолютно не в силах. Зато гордятся умением дро-ть с подвыподвертами.

Ответить | Правка | Наверх | Cообщить модератору

51. Скрыто модератором +5 +/–

Сообщение от Аноним (38), 17-Янв-21, 03:41

Если ты запускаешь процесс, цель которого дропнуть базу, а ты должен успеть запретить ему соединение через фаервол, то видимо я попал на специальную олимпиаду для умственно особенных.
В моей реальности я либо изначально запускаю сомнительный бинарь в ограниченном, на сколько требует моя паранойя, окружении, где не то что в интернет без моего разрешения не выйти, а даже сокет не создать. Либо я ТЕСТИРУЮ поведение программы при отсутствии сети или её пропажи во время работы, тогда описанный выше алгоритм.

Ответить | Правка | Наверх | Cообщить модератору

67. Скрыто модератором +1 +/–

Сообщение от пох. (?), 17-Янв-21, 10:40

> Если ты запускаешь процесс, цель которого дропнуть базу,
цель, вероятно, в чем-то другом, а это специфическая особенность кода, и мы сейчас отлаживаем вообще не ее.
Это был вырожденный пример, понятный даже тупоголовым пингвинам, а не конкретное описание ситуации.
> а ты должен успеть
а мне не надо успевать. Этой программе запрещено заранее и впредь до дальнейших указаний, остальным можно. (Собственно, и не всем остальным, а только явно перечисленным и конкретно куда, у нормальных ос с этим все нормально, главное - за мурзилой не забудь прибрать, ее установщик еще и в файрвол нагадил, а то ж телеметрия застревала.) У вас без нечеловеческих усилий так не получится, вы только "uid" осилили? Ну так имейте честность уже наконец признать, что ваш фетиш умеет не все, и приходится для элементарных вещей дрть в присядку.
> В моей реальности я либо изначально запускаю сомнительный бинарь в ограниченном, на
> сколько требует моя паранойя, окружении, где не то что в интернет
в твоей реальности ты, похоже, хеловрота ни одного не отладил.

Ответить | Правка | Наверх | Cообщить модератору

102. Скрыто модератором –2 +/–

Сообщение от псевдонимус (?), 17-Янв-21, 16:44

>этой программе запрещено впредь и до дальнейших указаний
Как в Винде такая фича реализована?

Ответить | Правка | Наверх | Cообщить модератору

105. Скрыто модератором –1 +/–

Сообщение от пох. (?), 17-Янв-21, 18:04

>>этой программе запрещено впредь и до дальнейших указаний
> Как в Винде такая фича реализована?
полное имя - часть контекста процесса, и может быть проверено.
Для сервисов, где "полное имя" rundll - там как-то сложно, и настраивается оно несколько иначе тоже.

Ответить | Правка | Наверх | Cообщить модератору

111. Скрыто модератором –1 +/–

Сообщение от псевдонимус (?), 17-Янв-21, 18:27

>>>этой программе запрещено впредь и до дальнейших указаний
>> Как в Винде такая фича реализована?
> полное имя - часть контекста процесса, и может быть проверено.
> Для сервисов, где "полное имя" rundll - там как-то сложно, и настраивается
> оно несколько иначе тоже.
Мне не совсем ясно, что мешает это реализовать в Лине?
Т.е. ядро всегда знает, какой программе соответствует процесс? Даже если одной программой порождено несколько процессов?

Ответить | Правка | Наверх | Cообщить модератору

123. Скрыто модератором –1 +/–

Сообщение от пох. (?), 17-Янв-21, 19:15

> Т.е. ядро всегда знает, какой программе соответствует процесс?
вообще-то да, при discard надо же ж снова откуда-то прочитать его код суметь.
Но там, скорее всего, очень сложно будет отделить мух от котлет, оно не под это заточено.
Пиши отдельную трекалку, которая создаст немодифицируемый из userspace (это важно) объект ядра, и будет таскать его за процессом до следующего exec.

Ответить | Правка | Наверх | Cообщить модератору

112. Скрыто модератором –1 +/–

Сообщение от псевдонимус (?), 17-Янв-21, 18:36

>>>этой программе запрещено впредь и до дальнейших указаний
>> Как в Винде такая фича реализована?
> полное имя - часть контекста процесса, и может быть проверено.
> Для сервисов, где "полное имя" rundll - там как-то сложно, и настраивается
> оно несколько иначе тоже.
И это.. получается с помощью системда это должно быть несложно реализовать? ))
Но почему-то не реализовано.

Ответить | Правка | К родителю #105 | Наверх | Cообщить модератору

113. Скрыто модератором –1 +/–

Сообщение от псевдонимус (?), 17-Янв-21, 18:41

>>>этой программе запрещено впредь и до дальнейших указаний
>> Как в Винде такая фича реализована?
> полное имя - часть контекста процесса, и может быть проверено.
> Для сервисов, где "полное имя" rundll - там как-то сложно, и настраивается
> оно несколько иначе тоже.
И самое интересное: как это должен уметь обработать пакетный фильтр? Либо он только часть фаервол, либо никак. Поясни, если ошибаюсь.

Ответить | Правка | К родителю #105 | Наверх | Cообщить модератору

116. Скрыто модератором –1 +/–

Сообщение от пох. (?), 17-Янв-21, 18:49

> И самое интересное: как это должен уметь обработать пакетный фильтр? Либо он только часть фаервол
только часть.
Но в принципе, кто тебе в линуксе мешал? В контекст процесса мы (чисто технически) лазить умеем - uid-то по твоему где берет? А что у нас нельзя угадать, чем порожден процесс, или придется в ядре отдельную систему трекинга городить, со своими багами и локапами - нуууу извиниииите, есть у технологий 70го года некоторые и ограничения, к сожалению. Ты когда их в 90е выбирал, мог бы и понимать, чем пожертвовал.
Правильная реализация, естественно, делается за счет проброса (уже отобранных немногочисленных, заметим, пакетов) в userland (позволяя в том числе и то самое окошко под руку сунуть с кнопкой ok), и это у нас ТОЖЕ было двадцать лет назад. Но никто так и ниасилил ничего качественного и рабочего - место тут проклятое.

Ответить | Правка | Наверх | Cообщить модератору

132. Скрыто модератором +/–

Сообщение от псевдонимус (?), 17-Янв-21, 21:48

>[оверквотинг удален]
> что у нас нельзя угадать, чем порожден процесс, или придется в
> ядре отдельную систему трекинга городить, со своими багами и локапами -
> нуууу извиниииите, есть у технологий 70го года некоторые и ограничения, к
> сожалению. Ты когда их в 90е выбирал, мог бы и понимать,
> чем пожертвовал.
> Правильная реализация, естественно, делается за счет проброса (уже отобранных немногочисленных,
> заметим, пакетов) в userland (позволяя в том числе и то самое
> окошко под руку сунуть с кнопкой ok), и это у нас
> ТОЖЕ было двадцать лет назад. Но никто так и ниасилил ничего
> качественного и рабочего - место тут проклятое.
В 90-е ч гонял на велике, купался в речьке  и стрелял из рогатки :-)

Ответить | Правка | Наверх | Cообщить модератору

145. Скрыто модератором +/–

Сообщение от пох. (?), 18-Янв-21, 01:38

> В 90-е ч гонял на велике, купался в речьке  и стрелял из рогатки :-)
иппать ты лох!
Ну в смысле - ну в 90е-то легко было промахнуться в выборе (та винда которая по 95 включительно, все же, была сильно так себе, nt4 позволить себе могли не только лишь все), но после-то?!
Эх, если бы мое знакомство с юниксом состоялось в начале 200х, хер бы я эту глупость совершил.

Ответить | Правка | Наверх | Cообщить модератору

53. Скрыто модератором +/–

Сообщение от СеменСеменыч777 (?), 17-Янв-21, 05:03

> она умеет разрешать доступ на уровне программ, а не процессов.
надоел.
man iptables-extensions | grep -i uid
как запустить "программу" (или "процесс" или пачку процессов) от спец.юзера, надеюсь объяснять не надо.
> а процесс уже отправил в базу запрос delete from без where
и опять мы видим стремление порешать вопросы прикладного уровня на уровенне сетевом.
да что с тобой не так ?

Ответить | Правка | К родителю #44 | Наверх | Cообщить модератору

66. Скрыто модератором +1 +/–

Сообщение от пох. (?), 17-Янв-21, 10:25

>> она умеет разрешать доступ на уровне программ, а не процессов.
> надоел.
взаимно. Почему вы такие т-пые и упертые, и не можете признать ни одного недостатка своего фетиша, даже когда уже носом ткнули?
> man iptables-extensions | grep -i uid
> как запустить "программу" (или "процесс" или пачку процессов) от спец.юзера, надеюсь объяснять
лучше расскажи как ты трахаешься на лыжах и в гамаке.
Почему в венде-поганой мне не надо для этого "от спец юзера" (охереть удобно при отладке, когда программа еще и пересобирается на каждый запуск) - а у тебя оно вот так и ты этим еще и гордишься?
> и опять мы видим стремление порешать вопросы прикладного уровня на уровенне сетевом.
нет в ip никаких "уровней", тебя нае...ли.

Ответить | Правка | Наверх | Cообщить модератору

56. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" +1 +/–

Сообщение от Tifereth (ok), 17-Янв-21, 05:50

Ай, молодец какой - нашёл единственного ответившего, прочёл в его словах то, чего там отродясь не было и гордо экстраполировал на всех пользователей Линукс. Бурные продолжительные аплодисменты.
Нормальный админ *вначале* всё планирует и соответственно настраивает конфигурацию. А уж кто натыкивать горазд, а кто в консоли предпочитает - это уже спор о вкусе фломастеров. То есть бессмысленный по определению.

Ответить | Правка | К родителю #44 | Наверх | Cообщить модератору

88. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" +/–

Сообщение от InuYasha (??), 17-Янв-21, 14:40

Каким "нормальным" бы админ ни был, если он приходит работать в "зоопарк", где всё уже "спланировано" лет 10 назад, ни о каком планировании кроме "а вот хорошо бы через пару лет обновить цынтос до 7го на роторе и почтовике" речи нет. )

Ответить | Правка | Наверх | Cообщить модератору

106. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" –2 +/–

Сообщение от пох. (?), 17-Янв-21, 18:07

> Каким "нормальным" бы админ ни был, если он приходит работать в "зоопарк",
> где всё уже "спланировано" лет 10 назад, ни о каком планировании
> кроме "а вот хорошо бы через пару лет обновить цынтос до
> 7го на роторе и почтовике" речи нет. )
зависит от должности и от масштаба (бардака в) компании. Бывало что и приглашали зоопарк разогнать по вольерам, и переделать чтоб работало надежно.
Хотя, если роутер на центос, можно смело идти дальше сразу же, не тратя время.

Ответить | Правка | Наверх | Cообщить модератору

147. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" +/–

Сообщение от Tifereth (ok), 18-Янв-21, 02:16

И это не всегда так. Конторы иногда переезжают, расширяют офис и т.д. и т.п.
Вот в таких случаях и представляется иногда возможность уменьшить долю хаоса. Помимо соблюдения основной директивы "не чини то, что работает".
Раз тут упомянут CentOS (который с конца этого года прикажет долго работать), один чёрт придётся менять эту операционку - опять же повод внести чуть больше порядка (в понимании конкретного админа, конечно).
Всякое бывает.

Ответить | Правка | К родителю #88 | Наверх | Cообщить модератору

62. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" –1 +/–

Сообщение от barmaglot (??), 17-Янв-21, 08:35

Берёте дефолтный раымный конфиг для декстопа:
# nft --handle --numeric list table inet filter

table inet filter { # handle 7
    chain input { # handle 1
        type filter hook input priority 0; policy drop;
        ct state 0x1 counter packets 1940 bytes 86636 drop comment "early drop of invalid packets" # handle 5
        ct state { 0x2, 0x4 } counter packets 2236693022 bytes 230372893649 accept comment "accept all connections related to connections made by us" # handle 6
        iif "lo" accept comment "accept loopback" # handle 7
        iif != "lo" ip daddr 127.0.0.0/8 counter packets 0 bytes 0 drop comment "drop connections to loopback not coming from loopback" # handle 8
        iif != "lo" ip6 daddr ::1 counter packets 0 bytes 0 drop comment "drop connections to loopback not coming from loopback" # handle 9
        tcp flags & (0x1 | 0x2 | 0x4 | 0x8 | 0x10 | 0x20) == 0x0 counter packets 0 bytes 0 drop # handle 10
        tcp flags & (0x1 | 0x2) == 0x1 | 0x2 counter packets 0 bytes 0 drop # handle 11
        tcp flags & (0x2 | 0x4) == 0x2 | 0x4 counter packets 0 bytes 0 drop # handle 12
        tcp flags & (0x1 | 0x2) == 0x1 | 0x2 counter packets 0 bytes 0 drop # handle 13
        tcp flags & (0x1 | 0x4) == 0x1 | 0x4 counter packets 0 bytes 0 drop # handle 14
        tcp flags & (0x1 | 0x10) == 0x1 counter packets 0 bytes 0 drop # handle 15
        tcp flags & (0x10 | 0x20) == 0x20 counter packets 0 bytes 0 drop # handle 16
        tcp flags & (0x1 | 0x10) == 0x1 counter packets 0 bytes 0 drop # handle 17
        tcp flags & (0x8 | 0x10) == 0x8 counter packets 0 bytes 0 drop # handle 18
        tcp flags & (0x1 | 0x2 | 0x4 | 0x8 | 0x10 | 0x20) == 0x1 | 0x2 | 0x4 | 0x8 | 0x10 | 0x20 counter packets 0 bytes 0 drop # handle 19
        tcp flags & (0x1 | 0x2 | 0x4 | 0x8 | 0x10 | 0x20) == 0x0 counter packets 0 bytes 0 drop # handle 20
        tcp flags & (0x1 | 0x2 | 0x4 | 0x8 | 0x10 | 0x20) == 0x1 | 0x8 | 0x20 counter packets 0 bytes 0 drop # handle 21
        tcp flags & (0x1 | 0x2 | 0x4 | 0x8 | 0x10 | 0x20) == 0x1 | 0x2 | 0x8 | 0x20 counter packets 0 bytes 0 drop # handle 22
        tcp flags & (0x1 | 0x2 | 0x4 | 0x8 | 0x10 | 0x20) == 0x1 | 0x2 | 0x4 | 0x10 | 0x20 counter packets 0 bytes 0 drop # handle 23
        ct state 0x2,0x4 counter packets 0 bytes 0 accept # handle 24
    }
    chain forward { # handle 2
        type filter hook forward priority 0; policy drop;
    }
    chain output { # handle 3
        type filter hook output priority 0; policy accept;
    }
}
Потом с помощью lsof -p <pid> у вашего приложения смотрите, куда оно ломится. И всё что не нравится в chain output добавляете. всё. И ничего дебажить не нужно.

Ответить | Правка | К родителю #27 | Наверх | Cообщить модератору

68. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" +1 +/–

Сообщение от пох. (?), 17-Янв-21, 10:43

> Берёте дефолтный раымный конфиг для декстопа:
это разумный? Вот этот вот фееричный бред?!
> Потом с помощью lsof -p <pid> у вашего приложения смотрите, куда оно
> ломится. И всё что не нравится в chain output добавляете. всё.
c помощью lsof... все понятно. "Специалисты" на марше.
> И ничего дебажить не нужно.
Угу, угу.

Ответить | Правка | Наверх | Cообщить модератору

100. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" –1 +/–

Сообщение от Sw00p aka Jerom (?), 17-Янв-21, 15:39

>>c помощью lsof... все понятно.
tcpdump уже не в моде :)

Ответить | Правка | Наверх | Cообщить модератору

107. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" –1 +/–

Сообщение от пох. (?), 17-Янв-21, 18:11

>>>c помощью lsof... все понятно.
> tcpdump уже не в моде :)
Уж хотя бы strace, если мы танцуем от процесса (линукс, чай, опять же). А то окажется там банальный protobuf - и что ви таки хотели увидеть тем lsof'ом?

Ответить | Правка | Наверх | Cообщить модератору

74. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" +/–

Сообщение от Онаним (?), 17-Янв-21, 11:50

Вот это вот дефолтное удолбище - одна из причин, по которой nf так до сих пор и не взлетел массово, хотя он крут.

Ответить | Правка | К родителю #62 | Наверх | Cообщить модератору

85. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" +/–

Сообщение от пох. (?), 17-Янв-21, 13:30

> Вот это вот дефолтное удолбище - одна из причин,
вовсе нет. Хотя за такое, конечно, отдельно надо кастрировать.
Дефолтный susefirewall скажем, тоже был нужен только чтоб было что сразу выбросить (ладно бы "как в венде", но еще и неимоверно засорял dmesg совершенно ненужной информацией). А чего-то вменяемого, хотя бы аккуратно заранее разобранного по разным веткам, в дефолтах не было ни у кого.
Величайшего прогресса в этой области достигла redhat, которая хотя бы умела без ручного вмешательства сохранять твои правки при шатдауне и восстанавливать при загрузке.
Это ничуть не помешало делать на iptables весьма нетривиальные и при том удобоуправляемые конструкции.
на nft так не получится. там только нанимать фейсбучного макака, чтоб он наговнякал каких-нибудь чудо-скриптов, которые, кстати, есть тоже за тебя будут. Оно просто не предназначено для ручного управления, by design.
"Подсветочка в mcedit" - это только в совсем тривиальных случаях спасет.

Ответить | Правка | Наверх | Cообщить модератору

89. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" –1 +/–

Сообщение от InuYasha (??), 17-Янв-21, 14:46

Справедливости ради, "Подсветочка в mcedit" регулярно ломается и на баш-скриптах ) Фаерволлам нужен интерактивный IDE с дебаггером.
ЗЫ: а вообще для каждого конфига в прынуксе нужен свой IDE (размером с MS Casual Studio чтоб было больнее), раз так ненавидят идею реестра а-ля Вандовс.

Ответить | Правка | Наверх | Cообщить модератору

139. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" +/–

Сообщение от flkghdfgklh (?), 17-Янв-21, 23:51

> Величайшего прогресса в этой области достигла redhat, которая хотя бы умела без ручного вмешательства сохранять твои правки при шатдауне и восстанавливать при загрузке.
Мнэ. А почему у меня это всегда в Debian/Ubuntu было? Пакет iptables-persistent

Ответить | Правка | К родителю #85 | Наверх | Cообщить модератору

140. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" +/–

Сообщение от пох. (?), 18-Янв-21, 00:33

И вот какого х-я его нет по умолчанию в любой установленной системе, и надо пойти найти то, незнамочто, для тривиальнейшей операции? (ufw в убунте тоже, разумеется, нет пока не поставишь вручную - откуда-то предварительно надо еще о его существовании узнать)
А я тебе скажу, какого: ты просто родиться опоздал. Выпекли это чудо лет всего десять назад, и, разумеется, все страдавшие де6иллианом, к тому времени давным-давно выработали "полезную" привычку пихать хуки в interfaces.

Ну вот такое всегда у де6иллианоидов - память как у рыбки, "всегда было".
У редхата - да, "всегда было". Примерно с версии 6, когда в ядре завелись iptables. У suse еще раньше. И у обоих, что характерно - изначально с политикой DROP.
Результат на лицо - 90% зомби-ботов - де6иллианчики и бубунточки. Потому что чтоб на кого еще попасть ssh'ем с паролем test/test - надо б было не забыть его вручную открыть. А у вас - все настежь.

Ответить | Правка | Наверх | Cообщить модератору

167. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" +/–

Сообщение от PnD (??), 18-Янв-21, 15:36

> У редхата - да, "всегда было". Примерно с версии 6, когда в ядре завелись iptables.
С RHEL-5 AFAIR. И не забыть "service iptables save" в конце (если ещё от консоли не отвалился). Прямо как в цисках.
Правда, в 5-м нужно было ещё "руками" (в sysconfig/iptables кажись) хэлперы втыкать. Чтобы всякие там sip работали.

Ответить | Правка | Наверх | Cообщить модератору

178. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" +/–

Сообщение от пох. (?), 19-Янв-21, 18:03

>> У редхата - да, "всегда было". Примерно с версии 6, когда в ядре завелись iptables.
> С RHEL-5 AFAIR. И не забыть "service iptables save" в конце (если
> ещё от консоли не отвалился). Прямо как в цисках.
если отвалился - после ребута привалится обратно, в том и смысл был.
> Правда, в 5-м нужно было ещё "руками" (в sysconfig/iptables кажись) хэлперы втыкать.
> Чтобы всякие там sip работали.
я даже не поленился открыть то что тут чувак "с сорокалетним опытом дро4ки дерьмианов" толкает, чтобы убедиться - ТАДАМ, ты не поверишь - они там модули грузить до сих пор не научились. Так что sip (мне больше tftp, правда) по прежнему только у rh.

Ответить | Правка | Наверх | Cообщить модератору

179. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" +/–

Сообщение от пох. (?), 19-Янв-21, 18:06

>> У редхата - да, "всегда было". Примерно с версии 6, когда в ядре завелись iptables.
> С RHEL-5 AFAIR.
упс, не заметил. Чувак, твой "rhel5" - это 2010й.
"версия 6" - это на десять лет раньше. Да, там уже до этого мегасложного откровения додумались.

Ответить | Правка | К родителю #167 | Наверх | Cообщить модератору

176. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" –1 +/–

Сообщение от flkghdfgklh (?), 19-Янв-21, 12:07

Малыш, мне 40 лет. Я использую Debian с 2001 года. Ты в то время еще не родился. Продолжай дальше писать глупости про «еще не родился, ко-ко-ко»

Ответить | Правка | К родителю #140 | Наверх | Cообщить модератору

180. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" +/–

Сообщение от пох. (?), 19-Янв-21, 18:09

> Малыш, мне 40 лет.
ну и зачем ты тут разговариваешь со своим "малышом"?
> Я использую Debian с 2001 года. Ты в
А я его выбросил окончательно в 1998м. Решив что настолько горбатую поделку даже могила не исправит. Не ошибся, что характерно.
Но ты продолжай про "always have been". А то ж взять да и посмотреть историю этого недоделка, это ж "пользующим с 2001 года" непосильная магия.

Ответить | Правка | Наверх | Cообщить модератору

143. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" +/–

Сообщение от пох. (?), 18-Янв-21, 01:03

Упс, а что, оно за те десять лет модули-то грузить так и не научилось?
Видимо, этим недоделком вообще никто кроме тебя и не пользуется никогда.
Или просто нужен еще один чудо-пакет с еще одним тривиальным скриптом из двух строчек?

Ответить | Правка | К родителю #139 | Наверх | Cообщить модератору

78. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" +/–

Сообщение от Аноним (78), 17-Янв-21, 12:19

Если с этим pid другое приложение запустилось?

Ответить | Правка | К родителю #62 | Наверх | Cообщить модератору

103. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" –1 +/–

Сообщение от псевдонимус (?), 17-Янв-21, 16:47

>разумный конфигурацию.
Разумный-то он разумный.... Вот читать такое и врагу не пожелаешь.

Ответить | Правка | К родителю #62 | Наверх | Cообщить модератору

118. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" +/–

Сообщение от пох. (?), 17-Янв-21, 18:53

>>разумный конфигурацию.
> Разумный-то он разумный.... Вот читать такое и врагу не пожелаешь.
Читать-то пожалуйста, заметить что в 16й строчке вместо 0x10 написано 1 - вот это попробуй.
Чуждый разум это понапроектировал.

Ответить | Правка | Наверх | Cообщить модератору

172. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" –1 +/–

Сообщение от Аноним (172), 18-Янв-21, 18:02

> А теперь запрети конкретному приложению доступ в сеть на лету
Для твоей задачи подходят cgroups, или заморачивайся с connection mark (если ты реально Ъ-джедай).

Ответить | Правка | К родителю #27 | Наверх | Cообщить модератору

31. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" –2 +/–

Сообщение от Random (??), 16-Янв-21, 23:14

На таком уровне всё элементарно.
Но это конечный ПК, с одним инетом, без форварда, без динамических афроамериканских списков, полностью открытый на выход.
А вот если посложнее - там начинается.
Документация неполная и в разных местах иногда противоречит сама себе.
Продукт очень сырой, то и дело натыкаешься на "особенности".
Но потенциально не так всё плохо, если до ума доведут, много вкусностей.
Потихоньку дополняю себе файл подсветки синтаксиса для mcedit - гораздо понятнее и удобнее становится.

Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

46. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" –3 +/–

Сообщение от murmur (?), 17-Янв-21, 01:37

Ну и зачем тебе файрвол не на сервере? Или у тебя запущены какие-то службы на внешнем интерфейсе, к которым ты не хочешь, чтобы коннектились? Может в консерватории что-то подправить?

Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

61. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" +/–

Сообщение от leap42 (ok), 17-Янв-21, 08:03

> Ну и зачем тебе файрвол не на сервере? Или у тебя запущены какие-то службы на внешнем интерфейсе, к которым ты не хочешь, чтобы коннектились? Может в консерватории что-то подправить?
я ip-телефонией занимаюсь, у меня, как можно заметить по правилам, часто запущен SIP клиент, и мне можно позвонить напрямую, без серверов вообще (по работе надо для тестов), потому upnp/nat-pmp, потому нужен firewall

Ответить | Правка | Наверх | Cообщить модератору

70. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" –1 +/–

Сообщение от пох. (?), 17-Янв-21, 11:14

> я ip-телефонией занимаюсь, у меня, как можно заметить по правилам, часто запущен
> SIP клиент, и мне можно позвонить напрямую, без серверов вообще (по
> работе надо для тестов), потому upnp/nat-pmp, потому нужен firewall
и именно по этой причине единственный на васян-десктопе, в общем-то, опасный протокол - у тебя торчит во весь мир, включая китайские ботофермы. А conntrack_sip - не, не наш метод.
Ну да, ну да, модные современные именно так все настраивают.

Ответить | Правка | Наверх | Cообщить модератору

96. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" +/–

Сообщение от leap42 (ok), 17-Янв-21, 15:29

>> я ip-телефонией занимаюсь, у меня, как можно заметить по правилам, часто запущен
>> SIP клиент, и мне можно позвонить напрямую, без серверов вообще (по
>> работе надо для тестов), потому upnp/nat-pmp, потому нужен firewall
> и именно по этой причине единственный на васян-десктопе, в общем-то, опасный протокол
> - у тебя торчит во весь мир, включая китайские ботофермы. А
> conntrack_sip - не, не наш метод.
> Ну да, ну да, модные современные именно так все настраивают.
опасный протокол это что? у вас во дворе придумали, да? ещё раз: там торчит клиент, на который я сам себе звоню ради тестов, иногда коллеги или друзья. никаких PBX/SBC, интересных ботам, там нет и в помине.
conntrack_sip - нерабочее г*в*о, телефонисты выключают это первым делом (оно толком не может в SIP и неправильно подменяет ip, от чего звонки часто перестают проходить, настроек нет)

Ответить | Правка | Наверх | Cообщить модератору

108. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" –1 +/–

Сообщение от пох. (?), 17-Янв-21, 18:20

> опасный протокол это что? у вас во дворе придумали, да? ещё раз:
Телефонисты придумали. И, самое главное - клиентов понаписали.
Лучше б уж - во дворе, у тамошних пацанов меньше мозги набекрень.
> conntrack_sip - нерабочее г*в*о, телефонисты выключают это первым делом (оно толком не
> может в SIP и неправильно подменяет ip, от чего звонки часто
conntrack вообще ничего не подменяет. Он обеспечивает попадание в related rtp пакетов.
> перестают проходить, настроек нет)
Это для nat, а не conntrack. Проблема не в том что неправильно подменяет, а в том что не угадаешь как с точки зрения порождений телефонистов "правильно" и не подменят ли те еще разок, для надежности.
Настройка есть, называется iptables. Но ты, похоже, не умеешь, раз даже nat от conntrack не отличаешь.

Ответить | Правка | Наверх | Cообщить модератору

73. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" –2 +/–

Сообщение от mumu (ok), 17-Янв-21, 11:48

Этот порт открыт для всего интернета.
Файрвол у тебя закрывает все КРОМЕ этого порта. Ещё раз поясни свою стратегию защиты: что и от чего защищается?

Ответить | Правка | К родителю #61 | Наверх | Cообщить модератору

83. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" +/–

Сообщение от пох. (?), 17-Янв-21, 13:14

> Этот порт открыт для всего интернета.
он там и ждет весь интернет.
> Файрвол у тебя закрывает все КРОМЕ этого порта. Ещё раз поясни свою
потому что это "десктоп", там логично так сделать, а исключения описать правилами.
Другое дело, что надо очень верить в надежность своего sip-софтфона, чтоб вот именно так это настроить. Ну или не держать на том "десктопе" лишнего. (Не в смысле нечего прикрывать, а в смысле - поломают, откачу снапшот vm)
> стратегию защиты: что и от чего защищается?
да в общем, как-бы, умеющему - понятно, а неумеющему не поможет.

Ответить | Правка | Наверх | Cообщить модератору

98. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" +/–

Сообщение от leap42 (ok), 17-Янв-21, 15:34

> Этот порт открыт для всего интернета.
> Файрвол у тебя закрывает все КРОМЕ этого порта. Ещё раз поясни свою
> стратегию защиты: что и от чего защищается?
ещё раз: роутер с upnp, он без вопросов прокидывает любые порты любому софту (и это именно то, чего я хочу), любому устройству из локалки (у меня их семь)
на тачке должна торчать в инет только телефония (нужна для работы), вот и вся стратегия

Ответить | Правка | К родителю #73 | Наверх | Cообщить модератору

60. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" –1 +/–

Сообщение от Антонимм (?), 17-Янв-21, 06:30

Для админа да проще.А для пользователя нет.Что и тормозит использование linux.

Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

69. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" –1 +/–

Сообщение от пох. (?), 17-Янв-21, 10:46

> Для админа да проще.А для пользователя нет.Что и тормозит использование linux.
А у пользователя есть уже целых ДВЕ операционные системы, не считая ведроида, где сделали ему как проще. Тому аутпосту - 20 лет! И было бы хорошо затормозить скатывание линукса в "еще более удобно еще более т-ым пользователям", чтобы они его обходили десятой дорогой, и вместе с ними подобные "разработчики" свалили нахрен.
Тогда, может быть, снова придут те, кому надо не для т-го пользователя и совсем т-го разработчика, а для админа "проще".
Хотя, конечно, уже не придут никогда.

Ответить | Правка | Наверх | Cообщить модератору

92. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" +2 +/–

Сообщение от crypt (ok), 17-Янв-21, 15:17

> вот это разве непонятно?
да не, "counter accept comment" - счетчик принял коммент! че тут непонятного-то. отлично все.
type filter hook input priority foo bar bar foo bar foo foo bar bar foo foo foo 0; - да зашибись!

Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

101. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7" –1 +/–

Сообщение от псевдонимус (?), 17-Янв-21, 15:41

Ну страшненькая ведь простынка :-(

Ответить | Правка | К родителю #2 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

2. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7"	+/–
Сообщение от leap42 (ok), 16-Янв-21, 18:51
cat /etc/sysconfig/nftables.conf table inet filter { chain input { type filter hook input priority 0; policy drop; ct state established,related accept comment "Accept traffic originated from us" iif lo accept comment "Accept all loopback connections" ip protocol icmp accept comment "Accept ICMP" ip6 nexthdr icmpv6 accept comment "Accept ICMPv6" udp dport 5353 counter accept comment "Accept mDNS/UDP (resolved)" udp dport 5060 counter accept comment "Accept SIP/UDP (Baresip)" tcp dport { 5060, 5061 } counter accept comment "Accept SIP/TCP (Baresip)" udp dport { 16384-16389 } counter accept comment "Accept RTP (Baresip)" tcp dport 9881 counter accept comment "Accept Torrent/TCP (Transmission)" udp dport 9881 counter accept comment "Accept Torrent/UDP (Transmission)" counter comment "Count any other traffic" } chain forward { type filter hook forward priority 0; policy drop; } chain output { type filter hook output priority 0; policy accept; } } ^^^ вот это разве непонятно? по-моему проще чем что-то по менюшкам натыкивать...
Ответить \| Правка \| Наверх \| Cообщить модератору


	4. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7"	–3 +/–
	Сообщение от Аноним (4), 16-Янв-21, 18:56
	Зачем ipv6, или не отключили примочку в ядре для одинаковости (ц) правил с ipv4?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	12. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7"	–3 +/–
	Сообщение от пох. (?), 16-Янв-21, 19:50
	просто клиент при копипасте со стека забыл удалить ненужное. Ибо синтаксис г-но и эта простыня совершенно нечитаема даже при том что полезного не умеет ровно вот ничего (хоть ssh от сканов бы прикрыл). Ну ладно хоть icmp не зобанил, как у них принято. Хотя лишние тоже невредно бы и пофильтровать. Теперь смотрим на не особо сложный гнороутер под столом - пяток сеток, две терминируются не на нем и нужно пробрасывать туннели через нат, пригоршня разных сервисов доступных в разных комбинациях с разных направлений (потому что незачем в сторону стораджа пускать виндовые машины, пусть и trusted сегмента, все равно им там делать нечего), прикидываем как ЭТА простыня в нескучном синтаксисе будет выглядеть и как будешь добавлять еще один хост через пол-года, когда уже подзабудешь что и зачем тут было... плюемся, идем узнавать, сколько стоит бу циско asa 5520. Ну оок - в штатах от 70, но если спалишься на таможне - отберут. В дефаултсити от 15000, краденые. В целом, и недорого. Одна даже с ssm, бесполезен без подписки, зато можно поиграться. Потому что линyпсь - всьо даже в качестве гуанороутеров. Доломали и это.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	20. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7"	–2 +/–
	Сообщение от СеменСеменыч777 (?), 16-Янв-21, 21:17
	все очень просто. нужен генератор правил типа firehol. пусть он делает неоптимально, зато все понятно и не надо учить очередной собачий язык. > незачем в сторону стораджа пускать виндовые машины, пусть и trusted сегмента, все равно им там делать нечего проблемы "уровня приложения" решаем на "сетевом уровне" ? ай молодца казахский хакер. ps: в цисках невозможен недорогой апгрейд. циски могут быть протроянены либо с завода, либо в "черном кабинете" перевозчика (например US Post). IOS для цисок пишут чурки^Wиндусы.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	21. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7"	–2 +/–
	Сообщение от slepnoga (ok), 16-Янв-21, 21:35
	Сема, в asa линукса на бекплейне. ))
	Ответить \| Правка \| Наверх \| Cообщить модератору


	22. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7"	–2 +/–
	Сообщение от пох. (?), 16-Янв-21, 22:10
	они там используются для сугубо специфической цели - кое-как прочитать с флэшки единственный бинарник по имени asa. ВСЬО. Ни сетевой стек, ни б-же упаси, фиревал от этого линукса не используется. Только фича чтения бинарника и привязки к адресам. А, планировщик тоже не используется, до недавнего времени этот бинарник был строго single thread, потом, правда, _ssl_vpn_ и только он стал многотредовым, догадайся, почему так. Ну а до того тот же самый бинарник им qnx загружал, просто помер тот дедуля, который умел его готовить. У ssm10 - там полноценный линyпсь (то есть внутри асы есть еще одна железка с еще одним линyпсом) и в нем, собственно, что-то донельзя похожее на древние версии snort, но с совершенно другими и управлением, и особенностями работы. Главное, впрочем, сохранено - без коммерческой подписки на правила бесполезен феерично.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	29. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7"	+/–
	Сообщение от slepnoga (ok), 16-Янв-21, 23:04
	так я и написал - на бекплейне. Не Микроштык же.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	33. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7"	–1 +/–
	Сообщение от пох. (?), 16-Янв-21, 23:16
	> так я и написал - на бекплейне. Не Микроштык же. Ну вон у ios-xr тоже типа на бэкплейне (кто бы понял где у этой штуки бэкплейн), но там вполне себе полноценный линукс, даже с rpm в 6ой серии. И оно реально и пачку демонов там держит, и еще хз что и сбоку бантик, и в шелл можно вывалиться, только непонятно что там делать, и даже top запустить (только еще меньше понятно для чего). А тут просто лоадер, чтоб не трахаться, тот бинарник по физическим адресам вручную размещать.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	72. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7"	+/–
	Сообщение от Онаним (?), 17-Янв-21, 11:48
	В XR QNX на <6.0. Linux только в 6.0 появился. И не на бекплейне, а на RSP и процессорах плат. У XE Linux на подложке, под ним в виртуалке крутится IOS. Но насчёт ASA - нет, увы. Там именно что сетевой стек используется от линуксов, и файрволит тоже какой-то драйвер в них. Из железного - только акселерация VPN, всё остальное софт.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	84. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7"	–1 +/–
	Сообщение от пох. (?), 17-Янв-21, 13:22
	> Но насчёт ASA - нет, увы. Там именно что сетевой стек используется от линуксов не используется. Я, в отличие от некоторых, запускал. Единственное, что там от того стека - интеловские драйвера сетевух, и то не факт что не патченные чтоб поменьше лезли куда не надо. А дальше байтики идут мимо штатных поделок. Да, софт, только не лап4тый. Твой линoops умеет при отказе подхватить траффик (_включая_ ipsec, и, разумеется, сохраняя состояния файрвола для открытых соединений) соседним ящиком прозрачно для окружающих? А эта вот конструкция - умеет. Причем еще со времен pix где линyпсятиной и не пахло.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	110. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7"	+/–
	Сообщение от Онаним (?), 17-Янв-21, 18:25
	Состояние файрвола через мониторинг conntrackd я передавал, да, нужно костылять, но по факту работает.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	71. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7"	+/–
	Сообщение от Онаним (?), 17-Янв-21, 11:45
	ASA дерьмо, так-то. Всё тот же linux с нескучным синтаксисом конфига, в котором даже два IP на один интерфейс не повесить.
	Ответить \| Правка \| К родителю #12 \| Наверх \| Cообщить модератору


	94. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7"	–1 +/–
	Сообщение от crypt (ok), 17-Янв-21, 15:19
	> Ибо синтаксис г-но и эта простыня совершенно нечитаема ... Доломали и это. ППКС:( индусские менеджеры из RH мля просто угробить линукс решили.
	Ответить \| Правка \| К родителю #12 \| Наверх \| Cообщить модератору


	27. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7"	–3 +/–
	Сообщение от Аноним (27), 16-Янв-21, 22:58
	А теперь запрети конкретному приложению доступ в сеть на лету, после запуска оного, для тестов, что именно у него сеть отвалилась. И так сто раз за час пока дебажишь.
	Ответить \| Правка \| К родителю #2 \| Наверх \| Cообщить модератору


	34. Скрыто модератором	–1 +/–
	Сообщение от пох. (?), 16-Янв-21, 23:18
	> А теперь запрети конкретному приложению доступ в сеть на лету, после запуска > оного, для тестов, что именно у него сеть отвалилась. И так > сто раз за час пока дебажишь. ну брателла, эт тебе в wsl ;-) Там вендофиревалл все это умеет. А у этих, л@п4...нутыпонял, не, это слишком сложно. Вот сломать что до этого работало хоть как-то - эт пожалуйста, это могем.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	38. "Выпуск пакетных фильтров nftables 0.9.8 и iptables 1.8.7"	+1 +/–
	Сообщение от Аноним (38), 16-Янв-21, 23:24
	Конечно виндопользователям проще по 10 раз кликать для включение и отключение правила, но я не вижу никаких сложностей сделать это с nft. Ищу пид процесса, а потом по пиду хоть дроп, хоть реджект делаю НА ЛЕТУ. Да хоть tc ему наверну, если нужно посмотреть как с плохим интернетом работать будет. Ну и конечно же написать скрипт, который это делает - 10 минут, если в первый раз. А потом этот скрипт могу и в тесты добавить, ведь я же не мышко-кликательный холоп, чтобы на каждый билд вручную тестить отсутствие интернета.
	Ответить \| Правка \| К родителю #27 \| Наверх \| Cообщить модератору


	44. Скрыто модератором	+1 +/–
	Сообщение от пох. (?), 17-Янв-21, 01:02
	> Ищу пид процесса а процесс уже отправил в базу запрос delete from без where. Ну, ок, ищи дальше. Он, правда, уже и завершился. И так у вас все. А в винде надо кликнуть ровно ОДИН раз - потому что она умеет разрешать доступ на уровне программ, а не процессов. Ну, или не хочешь кликать - "напиши скрипт", это тоже минут десять если синтаксис powershell подглядывать в гугле. Как же тупейшие лап4е фанатики достали... Признать что объект их др-рва имеет хоть малейший недостаток - абсолютно не в силах. Зато гордятся умением дро-ть с подвыподвертами.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	51. Скрыто модератором	+5 +/–
	Сообщение от Аноним (38), 17-Янв-21, 03:41
	Если ты запускаешь процесс, цель которого дропнуть базу, а ты должен успеть запретить ему соединение через фаервол, то видимо я попал на специальную олимпиаду для умственно особенных. В моей реальности я либо изначально запускаю сомнительный бинарь в ограниченном, на сколько требует моя паранойя, окружении, где не то что в интернет без моего разрешения не выйти, а даже сокет не создать. Либо я ТЕСТИРУЮ поведение программы при отсутствии сети или её пропажи во время работы, тогда описанный выше алгоритм.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	67. Скрыто модератором	+1 +/–
	Сообщение от пох. (?), 17-Янв-21, 10:40
	> Если ты запускаешь процесс, цель которого дропнуть базу, цель, вероятно, в чем-то другом, а это специфическая особенность кода, и мы сейчас отлаживаем вообще не ее. Это был вырожденный пример, понятный даже тупоголовым пингвинам, а не конкретное описание ситуации. > а ты должен успеть а мне не надо успевать. Этой программе запрещено заранее и впредь до дальнейших указаний, остальным можно. (Собственно, и не всем остальным, а только явно перечисленным и конкретно куда, у нормальных ос с этим все нормально, главное - за мурзилой не забудь прибрать, ее установщик еще и в файрвол нагадил, а то ж телеметрия застревала.) У вас без нечеловеческих усилий так не получится, вы только "uid" осилили? Ну так имейте честность уже наконец признать, что ваш фетиш умеет не все, и приходится для элементарных вещей дрть в присядку. > В моей реальности я либо изначально запускаю сомнительный бинарь в ограниченном, на > сколько требует моя паранойя, окружении, где не то что в интернет в твоей реальности ты, похоже, хеловрота ни одного не отладил.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	102. Скрыто модератором	–2 +/–
	Сообщение от псевдонимус (?), 17-Янв-21, 16:44
	>этой программе запрещено впредь и до дальнейших указаний Как в Винде такая фича реализована?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	105. Скрыто модератором	–1 +/–
	Сообщение от пох. (?), 17-Янв-21, 18:04
	>>этой программе запрещено впредь и до дальнейших указаний > Как в Винде такая фича реализована? полное имя - часть контекста процесса, и может быть проверено. Для сервисов, где "полное имя" rundll - там как-то сложно, и настраивается оно несколько иначе тоже.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	111. Скрыто модератором	–1 +/–
	Сообщение от псевдонимус (?), 17-Янв-21, 18:27
	>>>этой программе запрещено впредь и до дальнейших указаний >> Как в Винде такая фича реализована? > полное имя - часть контекста процесса, и может быть проверено. > Для сервисов, где "полное имя" rundll - там как-то сложно, и настраивается > оно несколько иначе тоже. Мне не совсем ясно, что мешает это реализовать в Лине? Т.е. ядро всегда знает, какой программе соответствует процесс? Даже если одной программой порождено несколько процессов?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	123. Скрыто модератором	–1 +/–
	Сообщение от пох. (?), 17-Янв-21, 19:15
	> Т.е. ядро всегда знает, какой программе соответствует процесс? вообще-то да, при discard надо же ж снова откуда-то прочитать его код суметь. Но там, скорее всего, очень сложно будет отделить мух от котлет, оно не под это заточено. Пиши отдельную трекалку, которая создаст немодифицируемый из userspace (это важно) объект ядра, и будет таскать его за процессом до следующего exec.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	112. Скрыто модератором	–1 +/–
	Сообщение от псевдонимус (?), 17-Янв-21, 18:36
	>>>этой программе запрещено впредь и до дальнейших указаний >> Как в Винде такая фича реализована? > полное имя - часть контекста процесса, и может быть проверено. > Для сервисов, где "полное имя" rundll - там как-то сложно, и настраивается > оно несколько иначе тоже. И это.. получается с помощью системда это должно быть несложно реализовать? )) Но почему-то не реализовано.
	Ответить \| Правка \| К родителю #105 \| Наверх \| Cообщить модератору


	113. Скрыто модератором	–1 +/–
	Сообщение от псевдонимус (?), 17-Янв-21, 18:41
	>>>этой программе запрещено впредь и до дальнейших указаний >> Как в Винде такая фича реализована? > полное имя - часть контекста процесса, и может быть проверено. > Для сервисов, где "полное имя" rundll - там как-то сложно, и настраивается > оно несколько иначе тоже. И самое интересное: как это должен уметь обработать пакетный фильтр? Либо он только часть фаервол, либо никак. Поясни, если ошибаюсь.
	Ответить \| Правка \| К родителю #105 \| Наверх \| Cообщить модератору


	116. Скрыто модератором	–1 +/–
	Сообщение от пох. (?), 17-Янв-21, 18:49
	> И самое интересное: как это должен уметь обработать пакетный фильтр? Либо он только часть фаервол только часть. Но в принципе, кто тебе в линуксе мешал? В контекст процесса мы (чисто технически) лазить умеем - uid-то по твоему где берет? А что у нас нельзя угадать, чем порожден процесс, или придется в ядре отдельную систему трекинга городить, со своими багами и локапами - нуууу извиниииите, есть у технологий 70го года некоторые и ограничения, к сожалению. Ты когда их в 90е выбирал, мог бы и понимать, чем пожертвовал. Правильная реализация, естественно, делается за счет проброса (уже отобранных немногочисленных, заметим, пакетов) в userland (позволяя в том числе и то самое окошко под руку сунуть с кнопкой ok), и это у нас ТОЖЕ было двадцать лет назад. Но никто так и ниасилил ничего качественного и рабочего - место тут проклятое.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	132. Скрыто модератором	+/–
	Сообщение от псевдонимус (?), 17-Янв-21, 21:48
	>[оверквотинг удален] > что у нас нельзя угадать, чем порожден процесс, или придется в > ядре отдельную систему трекинга городить, со своими багами и локапами - > нуууу извиниииите, есть у технологий 70го года некоторые и ограничения, к > сожалению. Ты когда их в 90е выбирал, мог бы и понимать, > чем пожертвовал. > Правильная реализация, естественно, делается за счет проброса (уже отобранных немногочисленных, > заметим, пакетов) в userland (позволяя в том числе и то самое > окошко под руку сунуть с кнопкой ok), и это у нас > ТОЖЕ было двадцать лет назад. Но никто так и ниасилил ничего > качественного и рабочего - место тут проклятое. В 90-е ч гонял на велике, купался в речьке и стрелял из рогатки :-)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	145. Скрыто модератором	+/–
	Сообщение от пох. (?), 18-Янв-21, 01:38
	> В 90-е ч гонял на велике, купался в речьке и стрелял из рогатки :-) иппать ты лох! Ну в смысле - ну в 90е-то легко было промахнуться в выборе (та винда которая по 95 включительно, все же, была сильно так себе, nt4 позволить себе могли не только лишь все), но после-то?! Эх, если бы мое знакомство с юниксом состоялось в начале 200х, хер бы я эту глупость совершил.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	53. Скрыто модератором	+/–
	Сообщение от СеменСеменыч777 (?), 17-Янв-21, 05:03
	> она умеет разрешать доступ на уровне программ, а не процессов. надоел. man iptables-extensions \| grep -i uid как запустить "программу" (или "процесс" или пачку процессов) от спец.юзера, надеюсь объяснять не надо. > а процесс уже отправил в базу запрос delete from без where и опять мы видим стремление порешать вопросы прикладного уровня на уровенне сетевом. да что с тобой не так ?
	Ответить \| Правка \| К родителю #44 \| Наверх \| Cообщить модератору


	66. Скрыто модератором	+1 +/–
	Сообщение от пох. (?), 17-Янв-21, 10:25
	>> она умеет разрешать доступ на уровне программ, а не процессов. > надоел. взаимно. Почему вы такие т-пые и упертые, и не можете признать ни одного недостатка своего фетиша, даже когда уже носом ткнули? > man iptables-extensions \| grep -i uid > как запустить "программу" (или "процесс" или пачку процессов) от спец.юзера, надеюсь объяснять лучше расскажи как ты трахаешься на лыжах и в гамаке. Почему в венде-поганой мне не надо для этого "от спец юзера" (охереть удобно при отладке, когда программа еще и пересобирается на каждый запуск) - а у тебя оно вот так и ты этим еще и гордишься? > и опять мы видим стремление порешать вопросы прикладного уровня на уровенне сетевом. нет в ip никаких "уровней", тебя нае...ли.
	Ответить \| Правка \| Наверх \| Cообщить модератору