Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Выпуск пакетного фильтра nftables 0.9.5, opennews (??), 07-Июн-20, (0) [смотреть все] А на лтс 5 4 не будет работать новая версия , Аноним (1), 10:56 , 07-Июн-20, (1) –1 // ну и извращения Чтобы прописать простое правило мне еще и кодить надо Вопрос н, expert (??), 12:59 , 07-Июн-20, (17) –1 // ну дык, никто не запрещает сделать конвертилку из команд иптейблес в байт-код нф, pfg21 (ok), 16:46 , 08-Июн-20, (81) Будет работать даже на 3 13, но только в том объеме, который реализован в ядре , Аноним (46), 19:40 , 07-Июн-20, (46) +1 Как посмотреть текущие правила в читаемом виде , Аноним (2), 11:39 , 07-Июн-20, (2) // nft list rulesetОбязательно под рутом , Аноним (5), 12:04 , 07-Июн-20, (5) nft list ruleset, DesSolo (?), 12:05 , 07-Июн-20, (6) Поддерживаю вопрос с ударением на слове читаемом Текущий вывод nft list rul, Andrew (??), 12:29 , 07-Июн-20, (11) +1 // Ага всетаки аналога iptables -L не предполагается Да чтож такое то, microsoft (?), 12:34 , 07-Июн-20, (13) +1 Насчёт JSON любопытства ради добавил к команде флаг -j Format output in JSON , Andrew (??), 12:54 , 07-Июн-20, (15) Тем не менее, уже четверть века, по мнению большинства, эталоном читаемых правил, Аноним (26), 16:56 , 07-Июн-20, (26) +2 // Большинства пользующихся BSD , Аноним (2), 18:39 , 07-Июн-20, (39) +1 В вашем примере нет ссылок, зачем вы его показали , Аноним (60), 03:54 , 08-Июн-20, (60) Пока туда не завезут кастомных цепочек, набор правил хотя бы в 30-40 правил неиз, Аноним (-), 13:36 , 08-Июн-20, (71) С дуба рухнул Для машин это ни в одном глазу неудобно, это для двуногих перекур, Аноним (-), 17:17 , 07-Июн-20, (31) –2 Осталось yaml впилить , Аноним (2), 22:00 , 07-Июн-20, (52) и с этим дерьмом теперь придется жить , gogo (?), 11:49 , 07-Июн-20, (3) –1 // всё, как в Win э-эмм простите, а оно уже умеет в разбор трафика на уровне пр, крокодил мимо.. (?), 12:03 , 07-Июн-20, (4)   // По-моему еще во времена iptables выкинули Рекомендутся uid gid, возможно cgroup, Аноним (5), 12:11 , 07-Июн-20, (7)   // ну-да, ну-да ненужно 8482 ога особенно на выделенном серваке контроль, крокодил мимо.. (?), 12:17 , 07-Июн-20, (8) –1   Для _серверных_ приложений т е демонов 8212 уже давно есть https www fre, Аноним (26), 16:51 , 07-Июн-20, (25)   Замечательный движок опеннета побил якорь в ссылке в предпросмотре было нормаль, Аноним (26), 17:07 , 07-Июн-20, (27)   Т е я правильно понял, что всем, кто захочет что-то позакрывать для, допустим, , InuYasha (??), 16:39 , 08-Июн-20, (77)   Садись, два и линейкой по рукам За что линейкой За то, что пошёл править дистр, Аноним (83), 19:46 , 08-Июн-20, (83)   Правильно systemctl edit mysql serviceНеправильно Не надо мыслить категориями , Аноним (85), 21:44 , 08-Июн-20, (85)   Мало того, что простреливаем свою ногу, так ещё и кладём мину замедленного дейст, Andrew (??), 10:44 , 09-Июн-20, (87)   Извините, не сдержался, хочу набросить Я например знаю что и куда правильно писа, RomanCh (ok), 14:12 , 09-Июн-20, (90)   Лол Это пользовательское в юниксе случайно образовалось, там были хомяки, а п, Вебмакака (?), 18:09 , 09-Июн-20, (91) –1   Да в общем-то в юниксах, и не только в них, много чего случайно образовалось И , RomanCh (ok), 23:51 , 09-Июн-20, (92)   Да А вы думали, только дедам можно что-то менять Не было принято, так щас буде, Вебмакака (?), 09:22 , 10-Июн-20, (93)   Мы ничего не думали Мы видим что деды вполне нормально для своих времён сделали, RomanCh (ok), 17:37 , 10-Июн-20, (95)   На сколько я помню, usr - Unix System Resources, RHEL Fan (?), 17:14 , 10-Июн-20, (94)   По воспоминаниями из книжек - таки User, а не Unix Педивикия говорит то же само, RomanCh (ok), 17:44 , 10-Июн-20, (96)   Вообще, функционал интересный, жаль только, что появился он сравнительно не давн, Andrew (??), 10:46 , 09-Июн-20, (88)   А как вообще можно представить фильтр по приложению Номер pid указать, или ar, Аноним (82), 19:17 , 08-Июн-20, (82)   На уровне приложения-то и нужно больше всего В на век телеметрии , And (??), 12:19 , 07-Июн-20, (9)   Ничего ничего зайдеш под безопасным рутом и правила то накарябаеш , microsoft (?), 12:31 , 07-Июн-20, (12) –2   Как правило, основные отправители телеметрии 8212 это браузеры Будете им запр, Аноним (26), 17:12 , 07-Июн-20, (30)   Разумеется firejail squid с white-листами, Takishima (ok), 18:07 , 07-Июн-20, (38)   И некоторое количество возни с ssl_bump, если нужна полноценная L7-фильтрация Ре, Аноним (85), 15:45 , 08-Июн-20, (75)   Ну, можно с peek splice жить, по крайней мере по хостам резать доступ 8212 уж, Takishima (ok), 16:44 , 08-Июн-20, (78)   uMatrix это до некоторой степени умеет, приколитесь , Аноним (56), 01:27 , 08-Июн-20, (56) –1   Боюсь, что со встроенной в браузер телеметрией он ничего поделать не сможет , Аноним (85), 15:42 , 08-Июн-20, (74)   Ungoogled chromium жеА в Firefox е почти всё отключается в конфиге кроме firefo, Takishima (ok), 16:46 , 08-Июн-20, (80) –1   Что-то после историй с Brave, сборочкам от Васи верить не очень хочется , Аноним (85), 21:46 , 08-Июн-20, (86) +1   Это можно сделать сделать с помощью дополнительных модулей - Dtrace, Bpftrace, и, Бармалей. (?), 16:33 , 07-Июн-20, (24)   // iptables сто лет умеет в фильтры по pid, например , Аноним (-), 17:18 , 07-Июн-20, (32)   Сто лет НЕ умеет, если быть точным С тех, как в Linux появилась поддержка SMP , Аноним (26), 17:24 , 07-Июн-20, (34) +1   -j NFQUEUE, Аноним (-), 13:39 , 08-Июн-20, (72)   Всё повторяется 20 лет назад то же самое было 8212 уютный тёплый ламповый i, Takishima (ok), 19:38 , 07-Июн-20, (45) +1 // С чего это тоже самое Абсолютно разные ситуации , Аноним (60), 04:00 , 08-Июн-20, (61) аналог netmap так и не завезли , Аноним (10), 12:23 , 07-Июн-20, (10) –2 Когда уже в линукс портируют нормальный файрвол Тео, дай свет безумцам , ZiP File (?), 12:50 , 07-Июн-20, (14) // firewall-config, Сейд (ok), 12:57 , 07-Июн-20, (16) // Нормальный это про Agnitum Outpost, нггнш (?), 13:22 , 07-Июн-20, (20) –4 // ого, а он еще жив , microsoft (?), 14:39 , 07-Июн-20, (21) +2 это не отменяет его качества, нггнш (?), 17:49 , 07-Июн-20, (36) –5 Да вообще-то глючная штука , Аноним (56), 01:29 , 08-Июн-20, (57) +1 Выше на nftables ругаются именно из-за pf-подобного синтаксиса Получается, pf уж, Аноним (26), 17:09 , 07-Июн-20, (28) // Где вы там его увидели Или вам раз фигурные скобки есть 8212 значит pf , Аноним (60), 04:03 , 08-Июн-20, (62) // Проще надо быть Фигурные скобки есть 8212 значит, JSON Просто у pf и nftable, Аноним (85), 15:38 , 08-Июн-20, (73) Синтаксис вроде всем хорош, но выглядит удолбищно Как-то надо это всё упрощать , Онаним (?), 13:16 , 07-Июн-20, (18) То есть допустим неip daddr y и отдельно setа что-то вроде z filter daddr , Онаним (?), 13:20 , 07-Июн-20, (19) Годная новость https github com devkid nftables-systemd вообще сказка , srgazh (?), 15:04 , 07-Июн-20, (22) –2 Только смысл в этой новизне Нфт также работает через тот же нетфильтр и все, ед, Бармалей. (?), 16:29 , 07-Июн-20, (23) // Плюс в том, что iptables 8212 кривая хрень с кучей легаси, которое пришло вре, Takishima (ok), 18:01 , 07-Июн-20, (37) // Вот когда в модерн кул тремендоус эмайзинг инструменте будет совпадать документа, OpenEcho (?), 19:18 , 07-Июн-20, (41) –1 // iptables не умел jsonДа и вообще, кому нужен json этот адовый Это откуда такое , Takishima (ok), 19:27 , 07-Июн-20, (43) Тем кто понимает зачем он нужен репрезентация сравнение мониторинг на фронт , OpenEcho (?), 20:25 , 07-Июн-20, (47) Гы, ну речь не про JSON вообще 8212 а про json вывод nftables Зачем Ну у мен, Takishima (ok), 21:04 , 07-Июн-20, (49) Я ж уже сказал - затем что удобно парсить на фронэнде мониторинге, т к формат п, OpenEcho (?), 21:44 , 07-Июн-20, (50) Даже интересно стало, что вы там мониторите через json в фаерволе , Аноним (2), 21:58 , 07-Июн-20, (51) Сходство рулсетов в кластере, OpenEcho (?), 22:01 , 07-Июн-20, (53) +1 Что-то велосипедом попахивает В кластере по определению такие вещи должны быть , Takishima (ok), 22:05 , 07-Июн-20, (55) Ну, вот на этом, пожалуй и закончим, сорри, совсем забыл что нахожусь на ресурсе, OpenEcho (?), 07:23 , 08-Июн-20, (65) +4 Смузи допей сначала, потом оркестраторы для администрирования пакет-фильтров при, Аноним (66), 08:32 , 08-Июн-20, (66) А у тебя борода отклеилась и свитер без оленей Такие вещи делаются так, как адек, Takishima (ok), 10:36 , 08-Июн-20, (69) К сожалению, раскидать правила тем же Ansible не равно убедиться в том, что прав, Andrew (??), 10:32 , 08-Июн-20, (68) +1 Ну так не надо им этого разрешать apt-get purge -y dockerЕсли надо отдельные кон, Takishima (ok), 10:42 , 08-Июн-20, (70) У вас уже есть готовое решение для парсинга Или может быть, когда нибудь Для De, Takishima (ok), 22:02 , 07-Июн-20, (54) А да, чуть не забыл, предложенный новый синтакс nft export vm jsonвыдает та, OpenEcho (?), 19:22 , 07-Июн-20, (42) –1 // Минусовальщики, обьясните плиз, в чем мой то криминал , OpenEcho (?), 20:27 , 07-Июн-20, (48) Ты виноват лишь тем что хочется им кушать троллям каким-то , Аноним (56), 01:32 , 08-Июн-20, (59) +2 Ты посмел сомневатся в великих людях придумавших и написавших nft , Аноним (60), 04:07 , 08-Июн-20, (63) Местами очень-очень напоминающий https minnie tuhs org cgi-bin utree pl file N, анонн (ok), 17:10 , 07-Июн-20, (29) +1 // Ну, чтобы развеять подозрения, вы можете подать в суд на мерзких линукcятников , аннонн (?), 17:23 , 07-Июн-20, (33) // О, узнаю старых знакомых бедолаг Но ник у меня теперь зарегистрирован, так что , анонн (ok), 17:42 , 07-Июн-20, (35) А что есть нечествой Это не черствой Или не честной , Аноним (56), 01:31 , 08-Июн-20, (58) –1 У меня только один вопрос к авторам nftables почему нельзя было просто сделать , Ананимус (?), 18:58 , 07-Июн-20, (40) +1 // Опять учиться, какая боль, да Никакие правила там не надо заканчивать Это нуж, Takishima (ok), 19:31 , 07-Июн-20, (44) // Было бы чему учиться , Аноним (60), 04:10 , 08-Июн-20, (64) +1 Когда есть возможность ставить - ставь - правило башника и сишника, сам, InuYasha (??), 16:45 , 08-Июн-20, (79) Потому что поколение сменилось Если раньше был K I S S , то теперь одни понты в, Аноним (66), 08:34 , 08-Июн-20, (67) // Да, раньше и трава зеленее была , Аноним (85), 15:47 , 08-Июн-20, (76) Оболочка nft крайне неудобная кривая и баговпнная , Аноним (84), 20:17 , 08-Июн-20, (84) 1,2,3,10,14,18,19,22,23,29,40,84

Сообщения

[Сортировка по времени | RSS]

	4. "Выпуск пакетного фильтра nftables 0.9.5"	+/–
	Сообщение от крокодил мимо.. (?), 07-Июн-20, 12:03
	всё, как в Win.. э-эмм.. простите, а оно уже умеет в разбор трафика на уровне приложений, как, например, в Windows-firewall?
	Ответить | Правка | Наверх | Cообщить модератору

	7. "Выпуск пакетного фильтра nftables 0.9.5"	+/–
	Сообщение от Аноним (5), 07-Июн-20, 12:11
	По-моему еще во времена iptables выкинули. Рекомендутся uid/gid, возможно cgroup.
	Ответить | Правка | Наверх | Cообщить модератору

	8. "Выпуск пакетного фильтра nftables 0.9.5"	–1 +/–
	Сообщение от крокодил мимо.. (?), 07-Июн-20, 12:17
	ну-да, ну-да.. "ненужно"©™.. ога.. особенно на выделенном серваке контроль исходящего трафа по приложениям - совершенно лишняя шняга.. "даже не знаю, что сказать.. всё отлично.. всё просто отлично.."©(Феечка)
	Ответить | Правка | Наверх | Cообщить модератору

	25. "Выпуск пакетного фильтра nftables 0.9.5"	+/–
	Сообщение от Аноним (26), 07-Июн-20, 16:51
	Для _серверных_ приложений (т.е. демонов) — уже давно есть https://www.freedesktop.org/software/systemd/man/systemd.res...Б─╕ Попробуйте ещё раз.
	Ответить | Правка | Наверх | Cообщить модератору

	27. "Выпуск пакетного фильтра nftables 0.9.5"	+/–
	Сообщение от Аноним (26), 07-Июн-20, 17:07
	Замечательный движок опеннета побил якорь в ссылке (в предпросмотре было нормально). Поэтому специально для труЪ oдминов — смотреть описание опций IPAddressAllow и IPAddressDeny.
	Ответить | Правка | Наверх | Cообщить модератору

	77. "Выпуск пакетного фильтра nftables 0.9.5"	+/–
	Сообщение от InuYasha (??), 08-Июн-20, 16:39
	Т.е. я правильно понял, что всем, кто захочет что-то позакрывать для, допустим, MySQL, придётся редактировать его unit-файл (который потом перепишет установщик пакетов)?
	Ответить | Правка | Наверх | Cообщить модератору

	83. "Выпуск пакетного фильтра nftables 0.9.5"	+/–
	Сообщение от Аноним (83), 08-Июн-20, 19:46
	Садись, два и линейкой по рукам. За что линейкой? За то, что пошёл править дистрибные файлы, которые притащил пакет.
	Ответить | Правка | Наверх | Cообщить модератору

	85. "Выпуск пакетного фильтра nftables 0.9.5"	+/–
	Сообщение от Аноним (85), 08-Июн-20, 21:44
	> Т.е. я правильно понял, что всем, кто захочет что-то позакрывать для, допустим, MySQL, придётся редактировать его unit-файл Правильно. systemctl edit mysql.service > (который потом перепишет установщик пакетов)? Неправильно. Не надо мыслить категориями veteran unix admins (простреливаем себе ногу, страдаем, гордимся, потому что это KISS). Управляемая пакетным менеджером конфигурация находится в /usr/lib/systemd, управляемая администратором — в /etc/systemd. Конфиги админа имеют приоритет над дистрибутивными.
	Ответить | Правка | К родителю #77 | Наверх | Cообщить модератору

	87. "Выпуск пакетного фильтра nftables 0.9.5"	+/–
	Сообщение от Andrew (??), 09-Июн-20, 10:44
	Мало того, что простреливаем свою ногу, так ещё и кладём мину замедленного действия под ноги тем, кто в один прекрасный момент столкнется с тем, что старый подход к использованию новых инструментов привёл к неожиданному результату :)
	Ответить | Правка | Наверх | Cообщить модератору

	90. "Выпуск пакетного фильтра nftables 0.9.5"	+/–
	Сообщение от RomanCh (ok), 09-Июн-20, 14:12
	Извините, не сдержался, хочу набросить! > Неправильно. Не надо мыслить категориями veteran unix admins (простреливаем себе ногу, страдаем, гордимся, потому что это KISS). Я например знаю что и куда правильно писать. Но честно говоря не ковырял вопрос а что будет, если я вот такой вот умный и знающий сделал правильный юнит в правильном месте. А потом прилетела новая версия пакета, и в ней старые параметры что в моём юните записаны не поддерживаются уже (не говорите что такого не бывает). При этом она обновила дефолтный конфиг в /usr/... а мой молча оставила. И конечно же у меня от этого всё сломается, но узнаю я об этом только в момент когда оно стало не работать, а не в момент когда стал устанавливать пакет и он мне ругнулся что "вижу правки файла, что сделать - оставить ваши, оставить мейнтенера вариант, или смержить?" Эта ситуация как-нибудь обрабатывается, или тут просто новый способ отстрелить себе ногу? > Управляемая пакетным менеджером конфигурация находится в /usr/lib/systemd, управляемая администратором — в /etc/systemd. А вот это, вот это за что, за какие грехи? Я давно это знаю, но каждый раз удивляюсь - почему вдруг системные дефолты свалились в */usr/... (от user, т.е. пользовательское), а как раз пользовательские правки вдруг разместились в /etc? Ещё раз повторюсь, что я знаю всё это, но мне интересно как пришли именно к такому способу мышления? Такое ощущение, что от ненависти к старым порядкам, в которых подразумевалось что всё наоборот. Типа до основания, а затем!.. PS К сожалению, частенько история с системдой выглядит не как способ избавиться от старых костылей, а как попытки заменить старые на новые.
	Ответить | Правка | К родителю #85 | Наверх | Cообщить модератору

	91. "Выпуск пакетного фильтра nftables 0.9.5"	–1 +/–
	Сообщение от Вебмакака (?), 09-Июн-20, 18:09
	>*/usr/... (от user, т.е. пользовательское) Лол. Это "пользовательское" в юниксе случайно образовалось, там были хомяки, а потом у олдфагов закончился диск, на котором корень лежал. Барахлишко из корня частично перетащили в usr, да так и оставили. Так что на самом деле это ничего не значит.
	Ответить | Правка | Наверх | Cообщить модератору

	92. "Выпуск пакетного фильтра nftables 0.9.5"	+/–
	Сообщение от RomanCh (ok), 09-Июн-20, 23:51
	> Лол. Это "пользовательское" в юниксе случайно образовалось, там были хомяки, а потом > у олдфагов закончился диск, на котором корень лежал. Барахлишко из корня > частично перетащили в usr, да так и оставили. Так что на > самом деле это ничего не значит. Да в общем-то в юниксах, и не только в них, много чего случайно образовалось. И сложилось сперва в традицию, а потом в стандарт. creat(), например. Что, давайте исправим наконец уже эту опечатку и переименуем наконец в create()! И тут приходят такие чуваки, у которых "на самом деле это ничего не значит" и делают всё в стиле "художник так видит". NIH синдром в чистом виде, короче говоря, про это уже много писано. Но это всё действительно малозначащие детали, говорящие в основном об уважении авторов к остальным, нежели о качестве софта. Мне больше интересен ответ на конкретный технический вопрос. PS Кстати о традициях, вы если посмотрите, то обнаружите что и законы в человеческих обществах похожим образом делаются. Давайте тоже решим что они ничего не значат :)
	Ответить | Правка | Наверх | Cообщить модератору

	93. "Выпуск пакетного фильтра nftables 0.9.5"	+/–
	Сообщение от Вебмакака (?), 10-Июн-20, 09:22
	>И тут приходят такие чуваки, у которых "на самом деле это ничего не значит" и делают всё в стиле "художник так видит". Да. А вы думали, только дедам можно что-то менять? Не было принято, так щас будет. Вжух и дефолтные конфиги лежат в usr, новый стандарт. >NIH синдром в чистом виде, короче говоря, про это уже много писано. Это не NIH, а решение проблемы, которая до этого была проигнорирована. >Но это всё действительно малозначащие детали, говорящие в основном об уважении авторов к остальным, нежели о качестве софта. Мне больше интересен ответ на конкретный технический вопрос. Технически если у вас нормальный дистрибутив, вам не ломают совместимость конфигов. Если у вас Арч, вы знали на что идете. >PS Кстати о традициях, вы если посмотрите, то обнаружите что и законы в человеческих обществах похожим образом делаются. Давайте тоже решим что они ничего не значат :) Вы там может по уложениям 17 века живёте, а у нас законы меняют.
	Ответить | Правка | Наверх | Cообщить модератору

	95. "Выпуск пакетного фильтра nftables 0.9.5"	+/–
	Сообщение от RomanCh (ok), 10-Июн-20, 17:37
	> Да. А вы думали, только дедам можно что-то менять? Мы ничего не думали. Мы видим что деды вполне нормально для своих времён сделали, а не сломали чужое. > Это не NIH, а решение проблемы, которая до этого была проигнорирована. Да не, это он самый. Или объясните мне что мешало решить проблему не ломая стандартов? Есть техническое обоснование? Интересно будет ознакомиться. > Технически если у вас нормальный дистрибутив, вам не ломают совместимость конфигов. А слабо не юлить, а просто взять и ответить что будет в случае описанном мною выше? > Вы там может по уложениям 17 века живёте, а у нас законы меняют. Где там, кто "вы", где у вас? Столь радикальным образом законы меняются только в ситуации "всё до основания, а затем". Но вообще-то это тогда иначе называется. Кто в лес, кто по дрова. Уже в своих ногах запутались. Лучше на конкретный технический вопрос ответьте.
	Ответить | Правка | Наверх | Cообщить модератору

	94. "Выпуск пакетного фильтра nftables 0.9.5"	+/–
	Сообщение от RHEL Fan (?), 10-Июн-20, 17:14
	На сколько я помню, usr - Unix System Resources
	Ответить | Правка | К родителю #90 | Наверх | Cообщить модератору

	96. "Выпуск пакетного фильтра nftables 0.9.5"	+/–
	Сообщение от RomanCh (ok), 10-Июн-20, 17:44
	> На сколько я помню, usr - Unix System Resources По воспоминаниями из книжек - таки User, а не Unix. Педивикия говорит то же самое даже ссылаясь сюда https://www.pathname.com/fhs/pub/fhs-2.3.html - правда тут дословно этого нет, хотя по логике вещей это именно user. Т.к. там лежат как раз не-системные утилиты.
	Ответить | Правка | Наверх | Cообщить модератору

	88. "Выпуск пакетного фильтра nftables 0.9.5"	+/–
	Сообщение от Andrew (??), 09-Июн-20, 10:46
	Вообще, функционал интересный, жаль только, что появился он сравнительно не давно и, например, в RHEL/CentOS 7 (с которыми ещё минимум пару лет работать) этот патч так и не портировали.
	Ответить | Правка | К родителю #27 | Наверх | Cообщить модератору

	82. "Выпуск пакетного фильтра nftables 0.9.5"	+/–
	Сообщение от Аноним (82), 08-Июн-20, 19:17
	> контроль исходящего трафа по приложениям - совершенно лишняя шняга.. А как вообще можно представить фильтр по "приложению"? Номер pid указать, или argv[0] анализировать? А если будет fork? Если процесс нужно изолировать - запусти его от специального пользователя (или специальной группы) и изолируй сколько влезет. У меня, например, есть группа ipblacklist, для которой никакого сетевого обмена быть не может. Можно наоборот (и сейчас это даже лучше!) - сделать группы localnet/globalnet, для которых разрешен сетевой обмен. Если лень с uid/gid ковыряться - бери cgroups (кажется там и в рантайме можно туда/сюда процессы перемещать, соответственно фильтр можно вообще в рантайме изменить).
	Ответить | Правка | К родителю #8 | Наверх | Cообщить модератору

	9. "Выпуск пакетного фильтра nftables 0.9.5"	+/–
	Сообщение от And (??), 07-Июн-20, 12:19
	На уровне приложения-то и нужно больше всего. В на век телеметрии...
	Ответить | Правка | К родителю #7 | Наверх | Cообщить модератору

	12. "Выпуск пакетного фильтра nftables 0.9.5"	–2 +/–
	Сообщение от microsoft (?), 07-Июн-20, 12:31
	Ничего ничего зайдеш под безопасным рутом и правила то накарябаеш.
	Ответить | Правка | Наверх | Cообщить модератору

	30. "Выпуск пакетного фильтра nftables 0.9.5"	+/–
	Сообщение от Аноним (26), 07-Июн-20, 17:12
	> На уровне приложения-то и нужно больше всего. В на век телеметрии... Как правило, основные отправители телеметрии — это браузеры. Будете им запрещать доступ в интернет?
	Ответить | Правка | К родителю #9 | Наверх | Cообщить модератору

	38. "Выпуск пакетного фильтра nftables 0.9.5"	+/–
	Сообщение от Takishima (ok), 07-Июн-20, 18:07
	Разумеется. firejail + squid с white-листами
	Ответить | Правка | Наверх | Cообщить модератору

	75. "Выпуск пакетного фильтра nftables 0.9.5"	+/–
	Сообщение от Аноним (85), 08-Июн-20, 15:45
	И некоторое количество возни с ssl_bump, если нужна полноценная L7-фильтрация. Рекламодатели, то есть, простите, разработчики браузеров, позаботились о том, чтобы отфильтровать их по дороге было максимально трудно.
	Ответить | Правка | Наверх | Cообщить модератору

	78. "Выпуск пакетного фильтра nftables 0.9.5"	+/–
	Сообщение от Takishima (ok), 08-Июн-20, 16:44
	Ну, можно с peek+splice жить, по крайней мере по хостам резать доступ — уже хорошо. Настраивается легко.
	Ответить | Правка | Наверх | Cообщить модератору

	56. "Выпуск пакетного фильтра nftables 0.9.5"	–1 +/–
	Сообщение от Аноним (56), 08-Июн-20, 01:27
	> Будете им запрещать доступ в интернет? uMatrix это до некоторой степени умеет, приколитесь?!
	Ответить | Правка | К родителю #30 | Наверх | Cообщить модератору

	74. "Выпуск пакетного фильтра nftables 0.9.5"	+/–
	Сообщение от Аноним (85), 08-Июн-20, 15:42
	Боюсь, что со встроенной в браузер телеметрией он ничего поделать не сможет.
	Ответить | Правка | Наверх | Cообщить модератору

	80. "Выпуск пакетного фильтра nftables 0.9.5"	–1 +/–
	Сообщение от Takishima (ok), 08-Июн-20, 16:46
	> Боюсь, что со встроенной в браузер телеметрией он ничего поделать не сможет. Ungoogled chromium же А в Firefox'е почти всё отключается в конфиге (кроме firefox.settings.services.mozilla — но либо пропатчить и перекомпилять, либо hosts/squid/файрволом закрыть).
	Ответить | Правка | Наверх | Cообщить модератору

	86. "Выпуск пакетного фильтра nftables 0.9.5"	+1 +/–
	Сообщение от Аноним (85), 08-Июн-20, 21:46
	> Ungoogled chromium же Что-то после историй с Brave, сборочкам от Васи верить не очень хочется.
	Ответить | Правка | Наверх | Cообщить модератору

	24. "Выпуск пакетного фильтра nftables 0.9.5"	+/–
	Сообщение от Бармалей. (?), 07-Июн-20, 16:33
	Это можно сделать сделать с помощью дополнительных модулей - Dtrace, Bpftrace, или написать самому модуль ядра для линукс на С, обрабатывающих пакеты от приложений и записывающий их pid, или если ленивый то есть готовое решение - opensnitchd
	Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

	32. "Выпуск пакетного фильтра nftables 0.9.5"	+/–
	Сообщение от Аноним (-), 07-Июн-20, 17:18
	iptables сто лет умеет в фильтры по pid, например...
	Ответить | Правка | Наверх | Cообщить модератору

	34. "Выпуск пакетного фильтра nftables 0.9.5"	+1 +/–
	Сообщение от Аноним (26), 07-Июн-20, 17:24
	Сто лет НЕ умеет, если быть точным. С тех, как в Linux появилась поддержка SMP.
	Ответить | Правка | Наверх | Cообщить модератору

	72. "Выпуск пакетного фильтра nftables 0.9.5"	+/–
	Сообщение от Аноним (-), 08-Июн-20, 13:39
	-j NFQUEUE
	Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема