The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

В Debian 11 предлагается по умолчанию задействовать nftables и firewalld

14.10.2019 21:53

Артуро Борреро (Arturo Borrero), разработчик Debian, входящий в Coreteam проекта Netfilter и сопровождающий в Debian пакеты, связанные с nftables, iptables и netfilter, предложил перевести следующий значительный выпуск дистрибутива Debian 11 на использование nftables по умолчанию. В случае утверждения предложения пакеты с iptables будут переведены в разряд необязательных опций, не входящих в базовую поставку.

Пакетный фильтр Nftables примечателен унификацией интерфейсов фильтрации пакетов для IPv4, IPv6, ARP и сетевых мостов. Nftables предоставляет на уровне ядра лишь общий интерфейс, не зависящий от конкретного протокола и предоставляющий базовые функции извлечения данных из пакетов, выполнения операций с данными и управления потоком. Непосредственно логика фильтрации и специфичные для протоколов обработчики компилируются в байткод в пространстве пользователя, после чего данный байткод загружается в ядро при помощи интерфейса Netlink и выполняется в специальной виртуальной машине, напоминающей BPF (Berkeley Packet Filters).

По умолчанию в Debian 11 также предлагается задействовать динамический межсетевой экран firewalld, оформленный как обвязка поверх nftables. Firewalld запускается в виде фонового процесса, позволяющего динамически изменять правила пакетного фильтра через DBus, без необходимости перезагрузки правил пакетного фильтра и без разрыва установленных соединений. Для управления межсетевым экраном используется утилита firewall-cmd, которая при создании правил отталкивается не от IP-адресов, сетевых интерфейсов и номеров портов, а от названий служб (например, для открытия доступа к SSH нужно выполнить "firewall-cmd --add --service=ssh", для закрытия SSH - "firewall-cmd --remove --service=ssh").

  1. Главная ссылка к новости (https://ral-arturo.org/2019/10...)
  2. OpenNews: Релиз дистрибутива Red Hat Enterprise Linux 8
  3. OpenNews: Разработчики Netfilter официально объявили инструментарий iptables устаревшим
  4. OpenNews: Релиз iptables 1.8.0
  5. OpenNews: Выпуск пакетного фильтра nftables 0.9.2
Лицензия: CC-BY
Тип: Тема для размышления
Ключевые слова: firewalld, nftables, iptables
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение (127) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (1), 22:00, 14/10/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    уже давно использую
     
  • 1.2, Аноним (2), 22:04, 14/10/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +11 +/
    Мне не нравится firewall-cmd тем, что сложно создать сложное парвило. Например, открыть порт только для одного ip. rich rules сложно реализовали...
     
     
  • 2.3, Return76 (?), 22:22, 14/10/2019 [^] [^^] [^^^] [ответить]  
  • +17 +/
    Ничего страшного... Остальным это не надо. Понимаете, надо упрощать! Порт ssh не стандартный? Для открытия порта надо сделать кнокинг? Это же так не стандартно и вообще никому не нужно. Ешьте что дали!
     
     
  • 3.19, Сейд (ok), 00:09, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Тише, тише. Для этого в firewall-cmd нужно только удалить сервис ssh из используемой зоны, а остальное настраивается в /etc/knockd.conf:

    Command = /bin/firewall-cmd --zone=public --add-rich-rule="rule family="ipv4" source address="%IP%" service name="ssh" accept"
    Command = /bin/firewall-cmd --zone=public --remove-rich-rule="rule family="ipv4" source address="%IP%" service name="ssh" accept"

     
     
  • 4.25, Вы украли у меня мою молодость (?), 00:34, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +12 +/
    Это шито??? Синтаксис?? Да там охренели все? Мои глаза сломались.  
     
  • 4.43, Кккк (?), 07:16, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +6 +/
    Ой это команда из винды?
     
     
  • 5.116, Сейд (ok), 23:24, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Это конфиг knock-server.
     
  • 4.47, zhuk (?), 07:53, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +12 +/
    генту устанавливается в три простые команды...
     
  • 4.49, fske (?), 07:58, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +10 +/
    Чем ЭТО лучше простого iptables в конфиге? Тем что модномолодежно?
     
     
  • 5.54, Аноним (54), 08:23, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • –3 +/
    это же systemd, или ты против прогресса ?
     
     
  • 6.59, fske (?), 09:01, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Причем тут systemd? А, ну если ты просто его хейтер, тогда это всё обьясняет
     
     
  • 7.62, супернуб (?), 09:18, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +6 +/
    при том, что ещё (максимум) пару раз обновиться, и без systemd "огонь-стена" не будет заводится.
    "Лягушек нужно варить медленно" (с)
     
     
  • 8.78, hiveliberty (ok), 10:50, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +1 +/
    http tsya ru mnemonic html ... текст свёрнут, показать
     
  • 7.89, OpenEcho (?), 13:01, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    >Причем тут systemd?

    A привязка к DBus не о чем не говорит?

     
     
  • 8.91, Michael Shigorin (ok), 13:10, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • –3 +/
    Нуу мне говорит скорее про кнопочку в трее и прочий максимум десктопный уровен... текст свёрнут, показать
     
     
  • 9.99, OpenEcho (?), 14:38, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • –1 +/
    В Debian 11 предлагается по умолчанию задействовать nftables...... текст свёрнут, показать
     
  • 8.93, Аноним (93), 13:23, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Не всё то systemd, что прибито к dbus ... текст свёрнут, показать
     
     
  • 9.102, OpenEcho (?), 14:48, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    AFAIK, D-Bus зависимость - logind , который есть part of systemd... текст свёрнут, показать
     
  • 5.117, Сейд (ok), 23:28, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Не хочешь — не пользуйся.
     
  • 4.111, Аноним (111), 18:43, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > add-rich-rule

    как смотрится бохато!

    > --add-rich-rule="rule family="ipv4"

    вот только за тройные ковычки в cli поубивал бы.

     
     
  • 5.118, Сейд (ok), 23:33, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Почему тройные?

    --add-rich-rule=
    "
    rule family="ipv4" source address="%IP%" service name="ssh" accept
    "

     
     
  • 6.123, трурль (?), 02:35, 16/10/2019 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Он пытался сказать «вложенные двойные».
    От этого синтаксис менее yблюдочным не становится.
     
     
  • 7.134, Сейд (ok), 18:22, 16/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    А ты бы как сделал?
     
  • 3.45, Аноним (45), 07:20, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Неосилятор? firewall-cmd --service=ssh --add-port=40022/tcp
     
     
  • 4.79, Аноним (79), 11:02, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Вот только не забудьте напомнить им еще:
    semanage port -a -t ssh_port_t -p tcp 40022
    а то эти неосиляторы меняют стандартный порт на ssh во имя безопасности, но при этом отключили или не имеют selinux.
    Напоминает: https://www.youtube.com/watch?v=Ji0nmstAMOk
     
     
  • 5.86, Аноним (86), 12:04, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Он спрашивал про firewalld.
     
     
  • 6.103, grsec (ok), 15:11, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Ждем selinuxD.
     
  • 2.15, Сейд (ok), 23:58, 14/10/2019 [^] [^^] [^^^] [ответить]  
  • +1 +/
    firewall-cmd --permanent --zone=public --add-rich-rule='rule family="ipv4" source address="1.2.3.4/32" port protocol="tcp" port="4567" accept'

    Не сложно.

     
  • 2.129, Anonim (??), 14:36, 16/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    >  Например, открыть порт только для одного ip

    Это как раз таки просто сделано:

    firewall-cmd --permanent --new-zone=test
    firewall-cmd --permanent --zone=test --add-source=a.b.c.d/net
    firewall-cmd --permanent --zone=test --add-port=tcp/22
    firewall-cmd --reload

    Определил зону. Внёс в неё нужные адреса или сети и открыл всё, что нужно.

    Вот для того, чтобы сделать маршрутизатор firewall-cmd не удобен, да. И то простой проброс сделать просто.

     
     
  • 3.130, Michael Shigorin (ok), 14:50, 16/10/2019 [^] [^^] [^^^] [ответить]  
  • +2 +/
    >>  Например, открыть порт только для одного ip
    > Это как раз таки просто сделано:

    Вчетверо [I]проще[/I], чем одной строчкой iptables, действительно.

     

  • 1.4, Аноним (4), 22:26, 14/10/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +17 +/
    Соединения и в iptables при перегрузке правил не рвались. Эка новация!
     
     
  • 2.71, Антон Уральский (?), 09:46, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +5 +/
    Подтверждаю, ни единого разрыва с ноября прошлого года
     
  • 2.104, Аноним (104), 16:22, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Подтверждаю. С фига ли им рваться если conntrack не сбрасывать.
     
  • 2.136, Аноним (136), 16:36, 17/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Тем не менее, происходила перезагрузка всех правил.
     

  • 1.5, Аноним (5), 22:36, 14/10/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +8 +/
    >через DBus

    совсем озверели? сначала от dbus этой отвяжите, сделайте чтобы те у кого уже есть правила iptables не обламались, тогда можно подумать. systemd уже впилили всем на радость, бракоделы хреновы

     
     
  • 2.14, Аноним (14), 23:52, 14/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Ну firewalld пока что безболезненно выпиливается даже из шапки… Кажется… Надо бы проверить на всякий.
     
     
  • 3.58, bibliary (?), 08:51, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    да, без проблем выпиливается одной командой
     
  • 2.56, Аноним (54), 08:24, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    так в этом и смысл - интеграция с systemd ;-)
     
  • 2.66, Аноним (66), 09:36, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Мы учтём Ваше мнение.
     

  • 1.6, Stoned Jesus (?), 22:42, 14/10/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +19 +/
    А может сразу уже поставить CentOS и не изображать разработку независимого дистрибутива? Ликвидность проекта Debian с каждым годом всё ближе и ближе к нулю.
     
     
  • 2.7, Аноним (7), 22:45, 14/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Ни для кого не новость, дебилиан берут исключительно по старой привычке. Проект совершенно скурвился.
     
     
  • 3.10, Аноним (10), 23:37, 14/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Ииии??? В замен что уже берут?
     
     
  • 4.12, Аноним (12), 23:44, 14/10/2019 [^] [^^] [^^^] [ответить]  
  • –2 +/
    Убунту :)
     
     
  • 5.16, Аноним (16), 00:03, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Ставьте в продакшен Manjaro, который не грузится после чистой установки, установки обновлений, перезагрузки. Сарказм.
     
  • 4.18, Аноним (16), 00:04, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +5 +/
    Надо было ставить FreeBSD.
     
  • 4.27, Аноним (27), 00:58, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Windows 10, очевидно же.
     
  • 4.63, супернуб (?), 09:21, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    ну пока ещё миксер (МХ) живёт на демьяне без s-d. Опть же - "диван". Хотя как по мне - последний глюкавее (первый тоже местами не подарок, но в целом народ пока "горит", а потому допиливают ореперативно. Опять же требования к железу нормальные)
     
     
  • 5.95, Аноним (95), 13:53, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    >ну пока ещё миксер (МХ) живёт на демьяне без s-d.

    каким образом у вас MX без systemd? Пробовал 18.3 c xfce стоит там systemd, более того, при попытке выпилить её, так же как и в Debian норовит с собой снести пол DE.

     
     
  • 6.97, супернуб (?), 14:26, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +2 +/
    оно там по требованию - при желании можно в грубе выбрать и запуститься под ни... текст свёрнут, показать
     
     
  • 7.106, Аноним (106), 16:27, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Спасибо за разъяснение, поверю вас на слово, думал что там можно выпилить system... текст свёрнут, показать
     
     
  • 8.126, Michael Shigorin (ok), 10:12, 16/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Н-да Ну гляньте альт ещё тогда при случае http altlinux org Starterkits Dow... текст свёрнут, показать
     
     
  • 9.132, Аноним (132), 15:35, 16/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Приветствую, Михаил Я смотрел когда-то и в на Альт, но насколько я помню у вас ... текст свёрнут, показать
     
     
  • 10.133, Michael Shigorin (ok), 16:49, 16/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Как минимум на Xfce довольно активно дорабатывается, собственно, потому ссылку н... текст свёрнут, показать
     
  • 7.131, Аноним (131), 15:15, 16/10/2019 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Насчёт 19 MX, они же вроде ещё даже RC вот меньше суток назад выкатили, а до это... текст свёрнут, показать
     
  • 4.80, Michael Shigorin (ok), 11:28, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Нуу некоторые сперва кладут, затем есть что взять.
     
  • 4.119, Сейд (ok), 23:46, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Fedora/RHEL
     
  • 3.13, ТвояТеща (?), 23:49, 14/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    А такие как ты тока ноют тут и ноют, нет взять да как сделать лутше.
     
     
  • 4.17, Stoned Jesus (?), 00:04, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Чтобы потом такие, как ты, сказали ему "нинужна, фу, маргинальщина, васяноподелие"?
     
     
  • 5.28, ТвояТеща (?), 01:38, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Это ты уже додумал за меня и за меня решил. Но ничо ничо лелей себя и ной дальше.
     
  • 2.22, Аноним (16), 00:16, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    >А может сразу уже поставить CentOS и не изображать разработку независимого дистрибутива? Ликвидность проекта Debian с каждым годом всё ближе и ближе к нулю.

    Почему нет кубунту и минт от центоса?

     
     
  • 3.23, Stoned Jesus (?), 00:24, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +3 +/
    Может быть потому, что пользователи CentOS видят её исключительно через окно PuTTy и Terminal.app ???
     
     
  • 4.24, Аноним (16), 00:25, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Зачем тогда это рекламировать на каждом углу?
     
     
  • 5.26, Stoned Jesus (?), 00:38, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Спроси у Денисок Поповых из Debian.
     
  • 4.37, IRASoldier_registered (ok), 04:25, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Есть как минимум одно учреждение в РФ, причём очень государственное и таки даже стратегически важное (нет, не военные и не службисты), где CentOS успешно используют в качестве десктопа. И пока что не собираются отказываться от этой практики.
     
  • 2.40, Аноним (40), 06:26, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Независимый девуян.
     
     
  • 3.96, Аноним (95), 14:00, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • –2 +/
    >Независимый девуян.

    он не независим, а таки очень зависит от Debain и от его инфраструктуры, а то что они там объявили про пересборку пакетов для отвязки от systemd, так они пересобирают, и отвязывают, но замещают довольно криво, т.е. нет такого качества, как было в Debian до переезда на system, десктопы девана производят впечатление васянской сборки, коих полно на рутрекуре, зато они громко борцунствуют на всевозможных форумах и прочих площадках, жаль только словестно.
    Тогда как тот же antiX не пукая громко в лужу, собирает таки дистрибутив, где DE живёт без systemd вполне себе пролноценно, и да, именно DE, т.е. можно свободно установить xfce или mate из репов штатными средствами, с нужными компонентами и не надо будет никаких бубнов, чтобы это всё работало.

     
     
  • 4.100, супернуб (?), 14:39, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +1 +/
    а разве последний xfce (4.14) уже не хочет что-то видеть там из sysd? Крыса времён 14й убунты (4.10?) точно не хотела, а новой же вроде нужно - или я что-то проспал?
    Я даже не уверен, что LХDE уже может без этой наркоты, не говоря уже о том, что на третьем гноме сделано.
    А так да - антикс штука, похоже, зачётная.
    Кстати - нет ли кнопикс тоже с с sysd свалил (на какой-то knoppix-autoconfig)

    ЗЫ. Пробовал на своём "диван" завести - "ниасилил"(tm). То тут не взлетает, то там отваливается - думаю, что из за старогоо "демьяна". У меня и на чистой-то половина не взлетат, а допиливать лень - я уже старенький и "у меня лапки"(с)
    "И жить неохота и застрелиться лень"(с)

     
     
  • 5.108, Аноним (108), 16:40, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Даже если крыса от разработчиков и позволяет не использовать systemd безальтерна... текст свёрнут, показать
     
  • 2.114, Гентушник (ok), 21:25, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Когда CentOS научиться обновляться до следующей версии, тогда и поговорим. А то сейчас даже винда(sic!) уже худо-бедно научилась обновляться с версии на версию (8->10), а центось всё никак не осилит.
     
  • 2.124, planc (?), 08:17, 16/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    рано, надо еще годика 2-4 попревращать его в центось
     

  • 1.8, Аноним (8), 22:49, 14/10/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +8 +/
    netfilter - да. firewalld - нет.
     
  • 1.9, Простой парень (?), 23:14, 14/10/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +5 +/
    Куча програмок перестанет работать. Зачем оно мне? Чем дальше дебиан развивается, тем он дальше от своих пользователей. Мирок сам в себе.
     
  • 1.20, Аноним (20), 00:13, 15/10/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    пользуюсь ufw, для меня что-то поменяется?
     
     
  • 2.33, Аноним (33), 02:36, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    ufw - надстройка над iptables. Его собираются вывести из предустановленных по умолчанию пакетов, но в репах оно остается.

    Так что нет - ничего не поменяется

     
     
  • 3.125, rinat85 (?), 09:43, 16/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    установил Debian 10.1 через netinstall, поставил кучу сервисов, докеров... после чего ufw появился только после apt install, не был предустановлен
     

  • 1.21, Vitto74 (ok), 00:14, 15/10/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +14 +/
    Писать сложные правила по логике firewalld это просто ад. Rich rules по сути тот же iptables, но с надстройкой, которая только путаницу создает.
    Попробовали настроить его для OpenVPN-сервера - вполне работоспособно, но через пару месяцев сами с трудом поняли, что и для чего сделано. Переделали по старинке - просто и понятно.
    Единственное для чего применим и логичен firewalld это всевозможные гипервизоры - KVM, Virtuozzo, Kubernetus (Docker) и прочие. Сложные правила там бывают редко т.к. в большинстве случаев представляют собой список сетей из которых можно управлять сервером + зоны для различных VM или контейнеров.
    Еще firewalld может пригодится, если правила часто меняются скриптами - если скриптов много то очень легко проморгать ситуацию, которая всё сломает.
    Ставить по умолчанию firewalld я бы не стал, а сделал бы рекомендуемым при установке libvirt, docker и т.п.
     
     
  • 2.29, ТвояТеща (?), 01:40, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +4 +/
    И вот он наш спаситель, первый кто не стал ныть а обьяснил на примере зачем нам это надо.
     
     
  • 3.32, НяшМяш (ok), 01:59, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Редкий случай, когда в каментах нашёлся не просто пользователь онтопика, а пользователь линукса вообще...
     
  • 2.31, Аноним (31), 01:57, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Rich rules конечно не очень удобно сделано, вот ipset, zones и привязка сетевых интерфейсов к зонам очень удобна. Особенно когда на серваках интерфейсы с разными именами и особенно для управления системами упражнения конфигурациями.
    Если нормально разобраться то в случае большого количества правил, firewalld гораздо нагляднее и удобнее чем по старинке.
    Единственное, черезжопная работа проброса порта с одного сетевого интерфейса на другой той же машины. Да и сделать это можно только на половину.
     
  • 2.75, Аноним (75), 10:10, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    >Rich rules по сути тот же iptables, но с надстройкой, которая только путаницу создает.

    firewalld может использовать в качестве бэкенда как iptables, таки и nftables. И именно для этого развели зоопарк со своим собственным, стремным вариантом синтаксиса правил. Лучше бы сразу определились :(

     

  • 1.34, Аноним (33), 02:36, 15/10/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    firewalld без systemd не работает, да?
     
     
  • 2.36, Аноним (36), 03:14, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    к след мажорному релизу уже нет
     
  • 2.42, Аноним (42), 06:49, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • –9 +/
    И это хорошо. Надо усиливать присутствие сд чтобы о башпортянках все забыли как о страшном сне.
     
     
  • 3.46, Онании (?), 07:37, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    А если не вызывать в каждой строчке внешние команды, а использовать встроенные возможности Bash по обработке строк, работе с массивами и т.д., то получается элитная портянка!
     
  • 3.53, iCat (ok), 08:20, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Поколение Next-Next ?
     
     
  • 4.82, Michael Shigorin (ok), 11:31, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Ага, и очередной торчок впридачу.
     
  • 4.87, iPony129412 (?), 12:04, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • –1 +/
    А причём тут какой-то Next-Next к тому, что Bash - это ужас?
     
     
  • 5.92, OpenEcho (?), 13:16, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Правильно глаголишь, true админы пишут на классическом sh/dash :)
    Но боюсь Next-Nextу не понять...
     
     
  • 6.101, Michael Shigorin (ok), 14:40, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    > Правильно глаголишь, true админы пишут на классическом sh/dash :)

    dash сам по себе глючный ужас, увы.

    > Но боюсь Next-Nextу не понять...

    ...в квадрате.

     
  • 6.105, iPony129412 (?), 16:24, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Это утёнку не понять чего-то. Потому что он считает что-то увиденноеb и привычное идеалом.
    Вот и всё.
     
  • 6.107, iPony129412 (?), 16:30, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Короче время идёт. Технологии меняются.
    Не низменными остаются люди $CURRENT-1 технологии круче чем $CURRENT
    Какому-то поколению не понять.

    Ну и так же от фанатизма зависит, когда я пишу костыли на BASH, то я пишу костыли на BASH.
    А для кого-то это прикосновение к мудрости древних друидов.

     
     
  • 7.110, OpenEcho (?), 18:05, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Короче время идёт. Технологии меняются.
    > Не низменными остаются люди $CURRENT-1 технологии круче чем $CURRENT
    > Какому-то поколению не понять.

    На чистом шеле пишут во основом для переносимости и самое главное для секъюрности(т.к. "о великий баш" имеет сетевую поддержку, что очень любят зacранцы-кулхакеры и первое что они делают при успешном хаке, так это - реверс шел на свою тачку через баш, ибо баш везде(почти)), а также потому что, - это работало, работает и будет работать одинаково сквозь десятилетия, независимо от типа используемого юникса, а не из-за закостенолости и не желания учить что то новое...

    Но это приходит к сожалению только с годами...


     
     
  • 8.112, iPony129412 (?), 19:04, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Ну не доходит Понимаешь разницу между необходимостью и как бы лучше без неле... текст свёрнут, показать
     
     
  • 9.128, OpenEcho (?), 14:32, 16/10/2019 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Не, ты не пони, ты просто обыкновенное невоспитанное - хaмло ... текст свёрнут, показать
     
  • 3.98, Andrey Mitrofanov_N0 (??), 14:34, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +2 +/
    > И это хорошо. Надо усиливать присутствие сд чтобы о башпортянках все забыли
    > как о страшном сне.

    Судя по твоим стонам, ты баш ещё в трёх поколениях вспоминать будешь.

    Уже записался на лоботомию (Право Забыть), или сначала других зазываешь?

     
  • 3.137, Аноним (137), 11:48, 19/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    А что конкретно тебе не нравится в bash?
     

  • 1.35, Аноним (36), 03:13, 15/10/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +7 +/
    когда rpm как основной пакетный менеджер ждать?
     
     
  • 2.57, Аноним (57), 08:49, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    не rpm, а yum (dnf не ждите, в дебиане любят несвежее).
     
     
  • 3.72, macfaq (?), 09:48, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    И толку с yum без rpm?
     
  • 3.83, Michael Shigorin (ok), 11:31, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Спрашивали пакетный, а не репозиториев.
     
  • 2.76, Аноним (-), 10:30, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Уже давно есть https://tracker.debian.org/pkg/rpm
     

  • 1.38, Аноним (38), 04:56, 15/10/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Жаль, что пока нет годного мануала по nftable на русском, может кто напишет?
     
     
  • 2.127, Аноним (127), 14:30, 16/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Его и на английском-то нет. Хочешь понять, как оно работает или не работает - сиди и кури сорцы. Причём самое поганое - не только юзерспейсной утилиты, но и собственно /net/netfilter в ядре.
     

  • 1.39, Аноним (40), 06:25, 15/10/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    >например, для открытия доступа к SSH нужно выполнить "firewall-cmd --add --service=ssh", для закрытия SSH - "firewall-cmd --remove --service=ssh"

    А откуда ему знать на каком порту работает ssh?

     
     
  • 2.68, Нанобот (ok), 09:41, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • –1 +/
    у него в файле /etc/services записано
     
  • 2.69, Анонимус2 (?), 09:43, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    man 5 services
     
  • 2.70, Tifereth (ok), 09:44, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    /etc/services ?
     
     
  • 3.135, Аноним (135), 18:55, 16/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    # cat /etc/ssh/sshd_config | grep 'Port'
    Port 22022

    # cat /etc/services | grep 'ssh'
    ssh             22/tcp                          # SSH Remote Login Protocol

     

  • 1.41, Аноним (40), 06:30, 15/10/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +5 +/
    > Для управления межсетевым экраном используется утилита firewall-cmd, которая при создании правил отталкивается не от IP-адресов, сетевых интерфейсов и номеров портов, а от названий служб

    Все-таки каждый должен заниматься своим делом. Зачет фраерволу знать именя служб и прочее. Лишнее наслоение, которое нужно отчечь бритвой Оккама.

     
     
  • 2.44, Аноним (44), 07:17, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Модно и молодёжно... кстати заделать комплексные правила в firewalld увы нельзя....
     
  • 2.64, Аноним (54), 09:28, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    /etc/services ?
     
  • 2.74, Аноним (75), 10:05, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • –1 +/
    А это и не имена служб вовсе, это просто поименованные шаблоны правил, которые для удобства назвали именами служб.
    Нормальный application firewall в линуксе по-прежнему недоступен.
     
     
  • 3.121, Сейд (ok), 00:01, 16/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Douane — https://douaneapp.com/
     

  • 1.55, ryoken (ok), 08:24, 15/10/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +5 +/
    FirewallD вроде как из красношляпы родом? Опять впердоливание всякого ???
     
     
  • 2.65, Аноним (54), 09:28, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +3 +/
    бета тестеров не хватает.
     
  • 2.85, Owlet (?), 11:51, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • –2 +/
    > FirewallD вроде как из красношляпы родом? Опять впердоливание всякого ??

    Ну пишите сами, а не ждите, пока красношляпа вам напишет.

     
     
  • 3.90, ryoken (ok), 13:05, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Ну пишите сами, а не ждите, пока красношляпа вам напишет.

    А мне и iptables как-то жить не мешает. И даже (хипстерам назло) - SysVInit! :D

     

  • 1.67, Нанобот (ok), 09:40, 15/10/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • –5 +/
    кто-нибуть потом обязательно запилит свой недодистр "debian без nftables"
     
  • 1.73, Аноним (73), 10:00, 15/10/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Я буду просто редактировать /etc/nftables.conf. Это покрывает 100% моих потребностей.

    А firewalld удалять или вырубать.

     
  • 1.81, Аноним (79), 11:29, 15/10/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Ничего не имею против firewalld, удобная обвязка, но мне вот что не с ней не пон... текст свёрнут, показать
     
     
  • 2.84, Michael Shigorin (ok), 11:34, 15/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    > Нахрена нужна обвязка над iptables, для работы с которой пользователю
    > (в этом случае администратору, но всё равно он выступает как пользователь)
    > нужно знать сразу несколько синтаксисов и firewalld и iptables,
    > а теперь еще и nftables.

    Типичный результат разработки контингентом, который планирует жарку слона, ощупав хвост, увы...

     

  • 1.88, Аноним (88), 12:10, 15/10/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    shorewall превратится в тыкву или нет?
     
  • 1.94, OpenEcho (?), 13:23, 15/10/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Интересно, а когда поддержку netsh завезут ...
     
  • 1.109, jalavan (ok), 16:50, 15/10/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Пусть базовая поставка Debian будет какой угодно, главное чтобы можно было его настроить, как необходимо под себя.
     
  • 1.113, Гентушник (ok), 21:22, 15/10/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Использование firewalld для меня обычно заканчивалось пачкой rich rule и просмотром выхлопа iptables-save, т.к. нифига не понятно что он там наколбасил на самом деле.

    В общем лишняя прослойка которая в основном только усложняет жизнь, а не
    упрощает.

    Nftables одобряю.

     
  • 1.115, InuYasha (?), 22:56, 15/10/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Погодите... я десятку поставил, там УЖЕ nftables. wtf??
     
  • 1.120, Vladjmir (ok), 23:54, 15/10/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Дебиан идёт по стопам Федоры.
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Спонсоры:
    Слёрм
    Inferno Solutions
    Hosting by Ihor
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2019 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру