Исходное сообщение
"В ядре Linux 3.13 ожидается появление нового пакетного фильт..." Отправлено www2, 20-Окт-13 08:09
>В силу структуры iptables, невозможно добавить/удалить одно правило, не поменяв весь набор. Это ты про внутреннюю организацию всего этого хозяйства говоришь или говоришь о том, что из командной строки добавить/удалить одно правило невозможно? >Правила хранятся в ядре в виде блоба, который формируется утилитами в userspace. При изменении одного правила, его нужно генерировать с нуля. И тем не менее, одна команда с точки зрения пользователя добавляет/удаляет одно правило. >Именно поэтому разработчики iptables рекомендуют вместо скриптов с кучей команд iptables использовать iptables-restore (см. Jan Engelhardt, Towards to the perfect ruleset). Используем, но не всегда это возможно, т.к. некоторые правила изменяются динамически. В таких случаях при помощи iptables-restore загружается заготовка с пользовательскими цепочками, в которых потом динамически добавляются или удаляются правила по одному.