Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Выпуск пакетного фильтра nftables 0.9.5, opennews (??), 07-Июн-20, (0) [смотреть все] А на лтс 5 4 не будет работать новая версия , Аноним (1), 10:56 , 07-Июн-20, (1) –1 // ну и извращения Чтобы прописать простое правило мне еще и кодить надо Вопрос н, expert (??), 12:59 , 07-Июн-20, (17) –1 // ну дык, никто не запрещает сделать конвертилку из команд иптейблес в байт-код нф, pfg21 (ok), 16:46 , 08-Июн-20, (81) Будет работать даже на 3 13, но только в том объеме, который реализован в ядре , Аноним (46), 19:40 , 07-Июн-20, (46) +1 Как посмотреть текущие правила в читаемом виде , Аноним (2), 11:39 , 07-Июн-20, (2) // nft list rulesetОбязательно под рутом , Аноним (5), 12:04 , 07-Июн-20, (5) nft list ruleset, DesSolo (?), 12:05 , 07-Июн-20, (6) Поддерживаю вопрос с ударением на слове читаемом Текущий вывод nft list rul, Andrew (??), 12:29 , 07-Июн-20, (11) +1 // Ага всетаки аналога iptables -L не предполагается Да чтож такое то, microsoft (?), 12:34 , 07-Июн-20, (13) +1 Насчёт JSON любопытства ради добавил к команде флаг -j Format output in JSON , Andrew (??), 12:54 , 07-Июн-20, (15) Тем не менее, уже четверть века, по мнению большинства, эталоном читаемых правил, Аноним (26), 16:56 , 07-Июн-20, (26) +2 // Большинства пользующихся BSD , Аноним (2), 18:39 , 07-Июн-20, (39) +1 В вашем примере нет ссылок, зачем вы его показали , Аноним (60), 03:54 , 08-Июн-20, (60) Пока туда не завезут кастомных цепочек, набор правил хотя бы в 30-40 правил неиз, Аноним (-), 13:36 , 08-Июн-20, (71) С дуба рухнул Для машин это ни в одном глазу неудобно, это для двуногих перекур, Аноним (-), 17:17 , 07-Июн-20, (31) –2 Осталось yaml впилить , Аноним (2), 22:00 , 07-Июн-20, (52) и с этим дерьмом теперь придется жить , gogo (?), 11:49 , 07-Июн-20, (3) –1 // всё, как в Win э-эмм простите, а оно уже умеет в разбор трафика на уровне пр, крокодил мимо.. (?), 12:03 , 07-Июн-20, (4) // По-моему еще во времена iptables выкинули Рекомендутся uid gid, возможно cgroup, Аноним (5), 12:11 , 07-Июн-20, (7) // ну-да, ну-да ненужно 8482 ога особенно на выделенном серваке контроль, крокодил мимо.. (?), 12:17 , 07-Июн-20, (8) –1 Для _серверных_ приложений т е демонов 8212 уже давно есть https www fre, Аноним (26), 16:51 , 07-Июн-20, (25) Замечательный движок опеннета побил якорь в ссылке в предпросмотре было нормаль, Аноним (26), 17:07 , 07-Июн-20, (27) Т е я правильно понял, что всем, кто захочет что-то позакрывать для, допустим, , InuYasha (??), 16:39 , 08-Июн-20, (77) Садись, два и линейкой по рукам За что линейкой За то, что пошёл править дистр, Аноним (83), 19:46 , 08-Июн-20, (83) Правильно systemctl edit mysql serviceНеправильно Не надо мыслить категориями , Аноним (85), 21:44 , 08-Июн-20, (85) Мало того, что простреливаем свою ногу, так ещё и кладём мину замедленного дейст, Andrew (??), 10:44 , 09-Июн-20, (87) Извините, не сдержался, хочу набросить Я например знаю что и куда правильно писа, RomanCh (ok), 14:12 , 09-Июн-20, (90) Лол Это пользовательское в юниксе случайно образовалось, там были хомяки, а п, Вебмакака (?), 18:09 , 09-Июн-20, (91) –1 Да в общем-то в юниксах, и не только в них, много чего случайно образовалось И , RomanCh (ok), 23:51 , 09-Июн-20, (92) Да А вы думали, только дедам можно что-то менять Не было принято, так щас буде, Вебмакака (?), 09:22 , 10-Июн-20, (93) Мы ничего не думали Мы видим что деды вполне нормально для своих времён сделали, RomanCh (ok), 17:37 , 10-Июн-20, (95) На сколько я помню, usr - Unix System Resources, RHEL Fan (?), 17:14 , 10-Июн-20, (94) По воспоминаниями из книжек - таки User, а не Unix Педивикия говорит то же само, RomanCh (ok), 17:44 , 10-Июн-20, (96) Вообще, функционал интересный, жаль только, что появился он сравнительно не давн, Andrew (??), 10:46 , 09-Июн-20, (88) А как вообще можно представить фильтр по приложению Номер pid указать, или ar, Аноним (82), 19:17 , 08-Июн-20, (82) На уровне приложения-то и нужно больше всего В на век телеметрии , And (??), 12:19 , 07-Июн-20, (9) Ничего ничего зайдеш под безопасным рутом и правила то накарябаеш , microsoft (?), 12:31 , 07-Июн-20, (12) –2 Как правило, основные отправители телеметрии 8212 это браузеры Будете им запр, Аноним (26), 17:12 , 07-Июн-20, (30) Разумеется firejail squid с white-листами, Takishima (ok), 18:07 , 07-Июн-20, (38) И некоторое количество возни с ssl_bump, если нужна полноценная L7-фильтрация Ре, Аноним (85), 15:45 , 08-Июн-20, (75) Ну, можно с peek splice жить, по крайней мере по хостам резать доступ 8212 уж, Takishima (ok), 16:44 , 08-Июн-20, (78) uMatrix это до некоторой степени умеет, приколитесь , Аноним (56), 01:27 , 08-Июн-20, (56) –1 Боюсь, что со встроенной в браузер телеметрией он ничего поделать не сможет , Аноним (85), 15:42 , 08-Июн-20, (74) Ungoogled chromium жеА в Firefox е почти всё отключается в конфиге кроме firefo, Takishima (ok), 16:46 , 08-Июн-20, (80) –1 Что-то после историй с Brave, сборочкам от Васи верить не очень хочется , Аноним (85), 21:46 , 08-Июн-20, (86) +1 Это можно сделать сделать с помощью дополнительных модулей - Dtrace, Bpftrace, и, Бармалей. (?), 16:33 , 07-Июн-20, (24)   // iptables сто лет умеет в фильтры по pid, например , Аноним (-), 17:18 , 07-Июн-20, (32)   Сто лет НЕ умеет, если быть точным С тех, как в Linux появилась поддержка SMP , Аноним (26), 17:24 , 07-Июн-20, (34) +1   -j NFQUEUE, Аноним (-), 13:39 , 08-Июн-20, (72) Всё повторяется 20 лет назад то же самое было 8212 уютный тёплый ламповый i, Takishima (ok), 19:38 , 07-Июн-20, (45) +1 // С чего это тоже самое Абсолютно разные ситуации , Аноним (60), 04:00 , 08-Июн-20, (61) аналог netmap так и не завезли , Аноним (10), 12:23 , 07-Июн-20, (10) –2 Когда уже в линукс портируют нормальный файрвол Тео, дай свет безумцам , ZiP File (?), 12:50 , 07-Июн-20, (14) // firewall-config, Сейд (ok), 12:57 , 07-Июн-20, (16) // Нормальный это про Agnitum Outpost, нггнш (?), 13:22 , 07-Июн-20, (20) –4 // ого, а он еще жив , microsoft (?), 14:39 , 07-Июн-20, (21) +2 это не отменяет его качества, нггнш (?), 17:49 , 07-Июн-20, (36) –5 Да вообще-то глючная штука , Аноним (56), 01:29 , 08-Июн-20, (57) +1 Выше на nftables ругаются именно из-за pf-подобного синтаксиса Получается, pf уж, Аноним (26), 17:09 , 07-Июн-20, (28) // Где вы там его увидели Или вам раз фигурные скобки есть 8212 значит pf , Аноним (60), 04:03 , 08-Июн-20, (62) // Проще надо быть Фигурные скобки есть 8212 значит, JSON Просто у pf и nftable, Аноним (85), 15:38 , 08-Июн-20, (73) Синтаксис вроде всем хорош, но выглядит удолбищно Как-то надо это всё упрощать , Онаним (?), 13:16 , 07-Июн-20, (18) То есть допустим неip daddr y и отдельно setа что-то вроде z filter daddr , Онаним (?), 13:20 , 07-Июн-20, (19) Годная новость https github com devkid nftables-systemd вообще сказка , srgazh (?), 15:04 , 07-Июн-20, (22) –2 Только смысл в этой новизне Нфт также работает через тот же нетфильтр и все, ед, Бармалей. (?), 16:29 , 07-Июн-20, (23) // Плюс в том, что iptables 8212 кривая хрень с кучей легаси, которое пришло вре, Takishima (ok), 18:01 , 07-Июн-20, (37) // Вот когда в модерн кул тремендоус эмайзинг инструменте будет совпадать документа, OpenEcho (?), 19:18 , 07-Июн-20, (41) –1 // iptables не умел jsonДа и вообще, кому нужен json этот адовый Это откуда такое , Takishima (ok), 19:27 , 07-Июн-20, (43) Тем кто понимает зачем он нужен репрезентация сравнение мониторинг на фронт , OpenEcho (?), 20:25 , 07-Июн-20, (47) Гы, ну речь не про JSON вообще 8212 а про json вывод nftables Зачем Ну у мен, Takishima (ok), 21:04 , 07-Июн-20, (49) Я ж уже сказал - затем что удобно парсить на фронэнде мониторинге, т к формат п, OpenEcho (?), 21:44 , 07-Июн-20, (50) Даже интересно стало, что вы там мониторите через json в фаерволе , Аноним (2), 21:58 , 07-Июн-20, (51) Сходство рулсетов в кластере, OpenEcho (?), 22:01 , 07-Июн-20, (53) +1 Что-то велосипедом попахивает В кластере по определению такие вещи должны быть , Takishima (ok), 22:05 , 07-Июн-20, (55) Ну, вот на этом, пожалуй и закончим, сорри, совсем забыл что нахожусь на ресурсе, OpenEcho (?), 07:23 , 08-Июн-20, (65) +4 Смузи допей сначала, потом оркестраторы для администрирования пакет-фильтров при, Аноним (66), 08:32 , 08-Июн-20, (66) А у тебя борода отклеилась и свитер без оленей Такие вещи делаются так, как адек, Takishima (ok), 10:36 , 08-Июн-20, (69) К сожалению, раскидать правила тем же Ansible не равно убедиться в том, что прав, Andrew (??), 10:32 , 08-Июн-20, (68) +1 Ну так не надо им этого разрешать apt-get purge -y dockerЕсли надо отдельные кон, Takishima (ok), 10:42 , 08-Июн-20, (70) У вас уже есть готовое решение для парсинга Или может быть, когда нибудь Для De, Takishima (ok), 22:02 , 07-Июн-20, (54) А да, чуть не забыл, предложенный новый синтакс nft export vm jsonвыдает та, OpenEcho (?), 19:22 , 07-Июн-20, (42) –1 // Минусовальщики, обьясните плиз, в чем мой то криминал , OpenEcho (?), 20:27 , 07-Июн-20, (48) Ты виноват лишь тем что хочется им кушать троллям каким-то , Аноним (56), 01:32 , 08-Июн-20, (59) +2 Ты посмел сомневатся в великих людях придумавших и написавших nft , Аноним (60), 04:07 , 08-Июн-20, (63) Местами очень-очень напоминающий https minnie tuhs org cgi-bin utree pl file N, анонн (ok), 17:10 , 07-Июн-20, (29) +1 // Ну, чтобы развеять подозрения, вы можете подать в суд на мерзких линукcятников , аннонн (?), 17:23 , 07-Июн-20, (33) // О, узнаю старых знакомых бедолаг Но ник у меня теперь зарегистрирован, так что , анонн (ok), 17:42 , 07-Июн-20, (35) А что есть нечествой Это не черствой Или не честной , Аноним (56), 01:31 , 08-Июн-20, (58) –1 У меня только один вопрос к авторам nftables почему нельзя было просто сделать , Ананимус (?), 18:58 , 07-Июн-20, (40) +1 // Опять учиться, какая боль, да Никакие правила там не надо заканчивать Это нуж, Takishima (ok), 19:31 , 07-Июн-20, (44) // Было бы чему учиться , Аноним (60), 04:10 , 08-Июн-20, (64) +1 Когда есть возможность ставить - ставь - правило башника и сишника, сам, InuYasha (??), 16:45 , 08-Июн-20, (79) Потому что поколение сменилось Если раньше был K I S S , то теперь одни понты в, Аноним (66), 08:34 , 08-Июн-20, (67) // Да, раньше и трава зеленее была , Аноним (85), 15:47 , 08-Июн-20, (76) Оболочка nft крайне неудобная кривая и баговпнная , Аноним (84), 20:17 , 08-Июн-20, (84) 1,2,3,10,14,18,19,22,23,29,40,84

Сообщения

[Сортировка по времени | RSS]

	24. "Выпуск пакетного фильтра nftables 0.9.5"	+/–
	Сообщение от Бармалей. (?), 07-Июн-20, 16:33
	Это можно сделать сделать с помощью дополнительных модулей - Dtrace, Bpftrace, или написать самому модуль ядра для линукс на С, обрабатывающих пакеты от приложений и записывающий их pid, или если ленивый то есть готовое решение - opensnitchd
	Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

	32. "Выпуск пакетного фильтра nftables 0.9.5"	+/–
	Сообщение от Аноним (-), 07-Июн-20, 17:18
	iptables сто лет умеет в фильтры по pid, например...
	Ответить | Правка | Наверх | Cообщить модератору

	34. "Выпуск пакетного фильтра nftables 0.9.5"	+1 +/–
	Сообщение от Аноним (26), 07-Июн-20, 17:24
	Сто лет НЕ умеет, если быть точным. С тех, как в Linux появилась поддержка SMP.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема