Исходное сообщение
"Для ядра Linux предложен новый пакетный фильтр bpfilter" Отправлено пох, 22-Фев-18 20:39
> 2018, а фаерволлы до сих пор не умеют в правила per file и per process без костылей потому что как в 78м не было в ip пакете, нипаверишь, ну никаких указаний какому такому "файлу" или "процессу" он должен быть доставлен, так и в 2018м нет. И если при отправке исходящего пакета еще как-то можно привязать к нему метку (в пяти разных местах, потому что есть примерно пять разных способов создать исходящий пакет), то при получении, когда мы даже еще точно не знаем, наш ли это пакет вообще (это решение может определиться тоже аж на трех разных этапах, из-за манглинга, ната и маршрутизации), увы, без тотальной переделки стека с полной деградацией производительности - никак. да и смысла особого уже нет. Будущее за application firewalls, пакетные фильтры свое отжили.