Исходное сообщение
"Для ядра Linux предложен новый пакетный фильтр bpfilter" Отправлено пох, 22-Фев-18 20:50
> ipset вероятно, да, один из немногих хороших способов применения этой фигни. Хотя я, как нормальный  ретроград, воспользовался бы маршрутизацией, а не фильтром (не бывает "аномального траффика" с "хороших" хостов, нет смысла блокировать мамкиному хакеру только, скажем https на конкретный хост, выявив попытку inject - он сейчас полезет на соседний, а не получится, так попробует http или 25й порт поковыряет на предмет дырявого exim) оба варианта хороши еще и тем, что нет никаких "компиляций в bpf" и неопределенного поведения если где-то какая-то из прослоек не совпала. но с моей точки зрения, не надо микроскопами забивать гвозди, и использовать in-kernel пакетный фильтр для совершенно несвойственных ему задач.