forum.opennet.ru - "Выпуск пакетного фильтра nftables 0.9.4" (58)

"Выпуск пакетного фильтра nftables 0.9.4"

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Выпуск пакетного фильтра nftables 0.9.4"	+/–
Сообщение от opennews (??), 01-Апр-20, 22:51
Опубликован выпуск пакетного фильтра nftables 0.9.4, развивающегося в качестве замены iptables, ip6table, arptables и ebtables за счёт унификации интерфейсов фильтрации пакетов для IPv4, IPv6, ARP и сетевых мостов. В пакет nftables входят компоненты пакетного фильтра, работающие в пространстве пользователя, в то время как на уровне ядра работу обеспечивает подсистема nf_tables, входящая в состав ядра Linux начиная с выпуска 3.13. Необходимые для работы выпуска nftables 0.9.4 изменения включены в состав будущей ветки ядра Linux 5.6... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=52656
Ответить \| Правка \| Cообщить модератору

Оглавление

Изменение TTL запилили , Аноним (1), 22:51 , 01-Апр-20, (1)

nft -f etc nftables ipv4-mangle nft nft add rule ip mangle output oif eth0 i, Аноним (3), 23:16 , 01-Апр-20, (3) +3

Это какой хук , Аноним (25), 11:01 , 02-Апр-20, (25)

cat etc nftables ipv4-mangle nft usr sbin nft -ftable mangle chain, Аноним (3), 11:23 , 02-Апр-20, (27) +1

Я новичок в файрволах Есть ли смысл учить iptables, или можно сразу nftables Е, Аноним (-), 23:00 , 01-Апр-20, (2) +4

Если новичок, то сразу учи nft или знакомься с надстройками типа firehol shorewa, Fyjy (?), 23:20 , 01-Апр-20, (4) +13

присоединяюсь к совету Только нам не потому тяжело переучиваться что с 2 4 ж, нах. (?), 00:38 , 02-Апр-20, (10) +4
удваиваю firehol очередной собачий язык учить - так себе занятие , СеменСеменыч777 (?), 09:06 , 02-Апр-20, (20) +3
Один написан на perl, другой собран только для убунты и арча, э2 (?), 12:10 , 02-Апр-20, (34)

Так iptables - deprecated Смысл учить то, что мертво , Анонюга (?), 23:23 , 01-Апр-20, (5) +1
учитывая что nftables это абстракция над iptables - да, Аноним (-), 00:16 , 02-Апр-20, (7) –8

Ты чёт перепутал , Аноним (11), 01:40 , 02-Апр-20, (11) +6

можно сразу учить где там галочки у гуевого интерфейса к systemd-firewalldА, не , нах. (?), 00:23 , 02-Апр-20, (8) –1

Пожалуйста прекратите путать людей Логика работает в BPF, а это ну ни как не пр, Аноним (6), 23:28 , 01-Апр-20, (6) –1

Внимательно перечитайте новость, там написано, что в пространстве пользователя о, Аноним (17), 08:20 , 02-Апр-20, (17) –1
А по поводу логики работы с протоколами в user space, вот выдержка из документац, Аноним (17), 08:32 , 02-Апр-20, (18)
Там не BPF, а своя виртуальная машина На BPF так и не переделали , Аноним (51), 02:34 , 03-Апр-20, (51)

Улучшено информирование о месте ошибки в правилах nft delete rule ip y z , нах. (?), 00:27 , 02-Апр-20, (9) –1

Минорщина Утилита не для обычного пользователя, а сисадмин поймет, что это ENOE, Вебмакака (?), 04:31 , 02-Апр-20, (13) +1

Сейчас пошли 171 стильно-модно-молодёжные 187 смузи-админы типа присутствующ, Аноним (32), 11:35 , 02-Апр-20, (32) +2
да, у него ж встроенный хрустальный шар для гадания что тут на самом деле хотели, нах. (?), 16:35 , 02-Апр-20, (48) +1

Это называется квалификация С точки зрения непрофессонала, и многие вещи в IT , Аноним (32), 18:09 , 03-Апр-20, (53)
В хрустальную документацию пусть посмотрит, ага А мне почему-то очевидно, откуда, Вебмакака (?), 05:28 , 04-Апр-20, (55) +1

ЛОЖНОЕ сообщение о причинах ошибки - это не тонкости системы , а м-дизм макаки , нах. (?), 13:26 , 04-Апр-20, (56)

ты что живого кода никогда в глаза не видел если enoent это no such file то при, Наноним (?), 04:32 , 02-Апр-20, (14)

все он правильно сказал, на уровне файрвола никаких файлов нет А то так можно д, Аноним (16), 07:24 , 02-Апр-20, (16) +2

https ru qwe wiki wiki Everything_is_a_file, КО (?), 10:15 , 02-Апр-20, (23)
Ну собственно ошибка про это и говорит - файла-то нет , КО (?), 10:15 , 02-Апр-20, (24)
А в man 3 errno нет варианта таблица не найдена Из доступных вариантов дейст, Аноним (32), 11:26 , 02-Апр-20, (28)

Скрыто модератором, нах. (?), 15:09 , 02-Апр-20, (41)

при том что можно вместо perror проявить остатки разума и написать no such entry, нах. (?), 09:19 , 02-Апр-20, (21) –4

Макаки, макаки 8212 кричал высококвалифицированный специалист, никогда не , Аноним (32), 11:27 , 02-Апр-20, (29) +8

вот такие м-ки как ты и пишут такой код Использующие errno и perror, предназначе, нах. (?), 14:27 , 02-Апр-20, (36)

Ага, EAFNOSUPPORT, ECONNABORTED, ECHLD, EHOSTDOWN 8212 ну точно про файлы Ещё, Аноним (32), 15:51 , 02-Апр-20, (42) –1

Орнул и плюсанул, муу (?), 21:03 , 04-Апр-20, (57)

Боюсь, что авторы glibc не согласятся кромсать perror ради этого , Аноним (32), 11:31 , 02-Апр-20, (31)

авторов поделки по имени nft никто не заставлял его вызывать За две строчки до , нах. (?), 14:25 , 02-Апр-20, (35)

Использование местечковых кодов ошибки вместо стандартных, специально для специ, Аноним (32), 15:56 , 02-Апр-20, (43)

1на самом деле, загрёбывает регулярно тратить время на догадки а о чём же може, InuYasha (?), 00:04 , 06-Апр-20, (58)

Оно умеет в постоянные правила без костылей , Аноним (12), 03:06 , 02-Апр-20, (12)

постоянные умеет, без костылей не умеет , Аноним (15), 06:03 , 02-Апр-20, (15)
Как и любая подсистема ядра с настраиваемыми правилами sysctl, ipsec, routing, , Аноним (32), 11:39 , 02-Апр-20, (33)

и опционально - фейлятся при запуске, оставляя дыру открытой линyпсы такие линyп, нах. (?), 14:39 , 02-Апр-20, (37)

А у вас на винде типа всё идеально , Аноним (32), 15:58 , 02-Апр-20, (44)

внезапно-нестартовавшего файрвола, оставившего открытой маршрутизацию даже не л, нах. (?), 16:28 , 02-Апр-20, (47)

kvm к сожалению использует iptables , Anonimous (?), 08:51 , 02-Апр-20, (19)

И многие другие пока продолжат Docker, Kubernetes, VirtualBox Потому что у ip, Аноним (32), 11:29 , 02-Апр-20, (30)

от того что макака начнет ляпать версии а-ля гугль - интерфейс лучше не сделаетс, нах. (?), 14:42 , 02-Апр-20, (38)

Вот это новость У вас на десяточке был iptables , Аноним (32), 15:59 , 02-Апр-20, (45) –1

kvm - это модуль ядра как он может использовать userspace-приложение , size_t (?), 20:38 , 02-Апр-20, (49)

Чувствую что скоро люди будут в квм пробрасывать сетевуху, устанавливать РоутерО, Аноним (22), 09:48 , 02-Апр-20, (22) +3

А в RouterOS тоже будет nftables, просто с нескучным фронтом от микротика , Аноним (32), 11:23 , 02-Апр-20, (26)

главное верьте, верьте, что макачье дерьмо кому-то нужно, нах. (?), 14:45 , 02-Апр-20, (40)

ты перепутал с asaV juniper кому на _нормальный_ файрвол денег не хватило - нор, нах. (?), 14:44 , 02-Апр-20, (39)

Позвольте вам не поверить Выше вы уже наглядно продемонстрировали, что к IT вы м, Аноним (32), 16:01 , 02-Апр-20, (46) –1

пока что это вы и вам подобные м-ки демонстрируете Тщась доказать, что no such , нах. (?), 00:15 , 03-Апр-20, (50)

Не то, чтобы меня очень интересует мнение об мне какого-то уборщика, но ваш гнев, Аноним (32), 18:06 , 03-Апр-20, (52)

Подожду немного и перейду сразу на bpfilter, Старый одмин (?), 19:57 , 03-Апр-20, (54)

Сообщения [Сортировка по ответам | RSS]

1. Сообщение от Аноним (1), 01-Апр-20, 22:51 +/–

Изменение TTL запилили?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #3

2. Сообщение от Аноним (-), 01-Апр-20, 23:00 +4 +/–

Я новичок в файрволах. Есть ли смысл учить iptables, или можно сразу nftables? Если что, пользуюсь Ubuntu.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #4, #5, #7, #8

3. Сообщение от Аноним (3), 01-Апр-20, 23:16 +3 +/–

# nft -f /etc/nftables/ipv4-mangle.nft
# nft add rule ip mangle output oif eth0 ip ttl set 255

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #1 Ответы: #25

4. Сообщение от Fyjy (?), 01-Апр-20, 23:20 +13 +/–

Если новичок, то сразу учи nft или знакомься с надстройками типа firehol/shorewall. iptables жив и будет жить еще достаточно долго, но nft его заменяет и новичку нет смысла его изучать.
Это нам тяжело переучиваться, все же с релиза ядра 2.4 живем с iptables, а тебе с нуля проще сразу учить то что будет жить дальше.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #10, #20, #34

5. Сообщение от Анонюга (?), 01-Апр-20, 23:23 +1 +/–

Так iptables - deprecated.
Смысл учить то, что мертво? :)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

6. Сообщение от Аноним (6), 01-Апр-20, 23:28 –1 +/–

Пожалуйста прекратите путать людей. Логика работает в BPF, а это ну ни как не пространство пользователя. Будьте уж поаккуратнее в том, что вы пишите публично

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #17, #18, #51

7. Сообщение от Аноним (-), 02-Апр-20, 00:16 –8 +/–

учитывая что nftables это абстракция над iptables - да

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2 Ответы: #11

8. Сообщение от нах. (?), 02-Апр-20, 00:23 –1 +/–

можно сразу учить где там галочки у гуевого интерфейса к systemd-firewalld
А, не разглядел, бубунта... выброси на...й. Ну то есть можешь, конечно, потратить время на ее ufw, но не говори что тебя не предупреждали.
По-моему, уже даже глядя на примеры в этой новости, вполне можно сообразить, что авторам nft в голову не приходит что кто-то будет эти правила старательно долбить руками. Этот бред абсолютно не человекочитаем и не человеконаписуем. Вся затея была в том чтобы сделать удобно - пейсателям на пихоне и игого. Если ты не собираешься к ним присоединяться, тебе не то что не потребуется, а вредно для себя и окружающих лезть туда руками.
Потому что твоя самоделка, в результате, будет конфликтовать с штатными системными средствами.
Вот их надо освоить, да - чтобы когда на чужой машине надо открыть порт - не ломать там существующую конфигурацию.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #2

9. Сообщение от нах. (?), 02-Апр-20, 00:27 –1 +/–

Улучшено информирование о месте ошибки в правилах.
     # nft delete rule ip y z handle 7
     Error: Could not process rule: No such file or directory
кто-нибудь, забейте этим улучшаторам их улучшизмы в задницу - раз они не понимают, что начинать улучшение надо с удаления нахрен слов про "файлы и directory", когда ни о каких файлах речь не идет вообще.
Представляю, как там код в ядре написан, такими-то руками.

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #13, #14, #31, #58

10. Сообщение от нах. (?), 02-Апр-20, 00:38 +4 +/–

присоединяюсь к совету.
Только нам не потому "тяжело переучиваться" что "с 2.4" живем.
Я лично довольно давно живу. ipf пережил, fwadm пережил, ipchains пережил, и никого из них жалко совершенно не было (ну, правда, пока не выяснилось что нас нае..ли, и обещанных "прям в следующей версии" возможностей ipchains в iptables не будет никогда, потому что проталкивавшая в ядро новое-стильное-модное-молодежное макака уже унеслась в туманную даль, гордо неся обо.ный хвост, а оставшиеся неасиляторы тривиальные баги чинили по десять лет, видимо, не смогли разобраться в коде - но мы уже как-то привыкли без packet tracer'а и без нормального gre conntrack/nat)
Но это потому что их писали - для людей. А эту хрень написали для макак, которые руками фильтры никогда не настраивали в принципе - им это было не по уму. Зато они умели г-нокодить, и понакодили порождений снов разума. И вот теперь получите инструмент - удобный уже им, а не нам. Ведь удобство труда горе-разработчиков в стотыщ раз важнее каких-то поганых пользователей.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

11. Сообщение от Аноним (11), 02-Апр-20, 01:40 +6 +/–

Ты чёт перепутал.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #7

12. Сообщение от Аноним (12), 02-Апр-20, 03:06 +/–

Оно умеет в постоянные правила без костылей?

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #15, #33

13. Сообщение от Вебмакака (?), 02-Апр-20, 04:31 +1 +/–

Минорщина. Утилита не для обычного пользователя, а сисадмин поймет, что это ENOENT.
>Представляю, как там код в ядре написан, такими-то руками.
Ох да, щас бы по шаблону обработки ошибок в С - передать код ошибки в strerror о качестве остального кода судить.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #32, #48

14. Сообщение от Наноним (?), 02-Апр-20, 04:32 +/–

ты что живого кода никогда в глаза не видел? если enoent это no such file то при чем тут девелоперы нфт?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #16, #21

15. Сообщение от Аноним (15), 02-Апр-20, 06:03 +/–

постоянные умеет, без костылей не умеет.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12

16. Сообщение от Аноним (16), 02-Апр-20, 07:24 +2 +/–

все он правильно сказал, на уровне файрвола никаких файлов нет. А то так можно дойти до того, что и виндовый бсод можно кидать.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #23, #24, #28

17. Сообщение от Аноним (17), 02-Апр-20, 08:20 –1 +/–

> Логика работает в BPF, а это ну ни как не пространство пользователя.
Внимательно перечитайте новость, там написано, что в пространстве пользователя обрабатываются логика определения правил фильтрации и генерируется BPF-код, а сам BPF код как раз выполняется в ядре:
"обработчики компилируются в байткод в пространстве пользователя, после чего данный байткод загружается в ядро при помощи интерфейса Netlink и выполняется в специальной виртуальной машине, напоминающей BPF".

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

18. Сообщение от Аноним (17), 02-Апр-20, 08:32 +/–

А по поводу логики работы с протоколами в user space, вот выдержка из документации:
"Even worse, the capabilities and syntax tend to vary from one protocol to the next. By moving all of that knowledge out to user space, nftables greatly simplifies the in-kernel code and allows for much more consistent treatment of all protocols."

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

19. Сообщение от Anonimous (?), 02-Апр-20, 08:51 +/–

kvm к сожалению использует iptables

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #30, #49

20. Сообщение от СеменСеменыч777 (?), 02-Апр-20, 09:06 +3 +/–

удваиваю firehol.
очередной собачий язык учить - так себе занятие.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

21. Сообщение от нах. (?), 02-Апр-20, 09:19 –4 +/–

при том что можно вместо perror проявить остатки разума и написать no such entry, например. А perror использовать только когда вернулось что-то, что программа просто не понимает.
Или уж вообще не использовать стандартные коды ошибок там, где им очевидно не место и нужны специфические.
А, да, откуда у пилящих nft макак разуму-то быть. Филе не найдено!
Причем *потом* они все равно ошибку парсят руками чтобы разобраться, где ж нарисовать крышечку (и надо ли вообще, или это какая-то другая ошибка). Шедевр макачьей логики. Но они ничего неправильного в этом не видят.
iptables -D FORWARD 654
iptables: Index of deletion too big.
iptables -D FORWARD -i lo
iptables: Bad rule (does a matching rule exist in that chain?).
это вот еще не макака написала. Хотя и попахивало уже тогда.
iptables -A FORWARD -j NONEXISTENT
Couldn't load target `NONEXISTENT':No such file or directory
тут действительно не нашелся и файл в том числе, но вообще-то можно было и предположить, что это название таблицы а не модуля, и что опечатки встречаются в тысячи раз чаще чем отсутствующий модуль. Тем не менее - и тут вполне понятно, что конкретно не так, без всяких "крышечек"
Новые-модные молодежные - даже так не умели.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #14 Ответы: #29

22. Сообщение от Аноним (22), 02-Апр-20, 09:48 +3 +/–

Чувствую что скоро люди будут в квм пробрасывать сетевуху, устанавливать РоутерОС и настраивать сеть там, в том числе и фаервол.
В следующей переписке под названием fckTables придется писать байткодом, это ведь удобно, для разработчиков :)

Ответить | Правка | Наверх | Cообщить модератору
Ответы: #26, #39

23. Сообщение от КО (?), 02-Апр-20, 10:15 +/–

https://ru.qwe.wiki/wiki/Everything_is_a_file

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16

24. Сообщение от КО (?), 02-Апр-20, 10:15 +/–

Ну собственно ошибка про это и говорит - файла-то нет. :)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16

25. Сообщение от Аноним (25), 02-Апр-20, 11:01 +/–

> mangle
Это какой хук?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #3 Ответы: #27

26. Сообщение от Аноним (32), 02-Апр-20, 11:23 +/–

А в RouterOS тоже будет nftables, просто с нескучным фронтом от микротика :)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22 Ответы: #40

27. Сообщение от Аноним (3), 02-Апр-20, 11:23 +1 +/–

# cat /etc/nftables/ipv4-mangle.nft
#!/usr/sbin/nft -f
table mangle {
        chain output            { type route hook output priority -150; }
}

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #25

28. Сообщение от Аноним (32), 02-Апр-20, 11:26 +/–

> все он правильно сказал, на уровне файрвола никаких файлов нет.
А в man 3 errno нет варианта "таблица не найдена" :)
Из доступных вариантов действительно ближе всего
ENOENT No such file or directory (POSIX.1).

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #16 Ответы: #41

29. Сообщение от Аноним (32), 02-Апр-20, 11:27 +8 +/–

"Макаки, макаки!" — кричал высококвалифицированный специалист, никогда не слышавший про errno и perror.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #21 Ответы: #36

30. Сообщение от Аноним (32), 02-Апр-20, 11:29 +/–

И многие другие пока продолжат. Docker, Kubernetes, VirtualBox...
Потому что у iptables версии уже давно начинаются с единицы, а значит, есть гарантии стабильности интерфейса.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19 Ответы: #38

31. Сообщение от Аноним (32), 02-Апр-20, 11:31 +/–

> кто-нибудь, забейте этим улучшаторам их улучшизмы в задницу - раз они не понимают, что начинать улучшение надо с удаления нахрен слов про "файлы и directory", когда ни о каких файлах речь не идет вообще.
Боюсь, что авторы glibc не согласятся кромсать perror ради этого.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9 Ответы: #35

32. Сообщение от Аноним (32), 02-Апр-20, 11:35 +2 +/–

> Минорщина. Утилита не для обычного пользователя, а сисадмин поймет, что это ENOENT.
Сейчас пошли «стильно-модно-молодёжные» смузи-админы типа присутствующего здесь «нах», профессиональные занятия которых были слишком далеки от глубокого копания в системе, и поэтому возможности приобрести подобные знания у них не было.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13

33. Сообщение от Аноним (32), 02-Апр-20, 11:39 +/–

>  Оно умеет в постоянные правила без костылей?
Как и любая подсистема ядра с настраиваемыми правилами (sysctl, ipsec, routing, iscsi target, rfkill, alsa, etc), фаервол не занимается сохранением своего состояния сам. Для этого существуют userspace-программы, которые восстанавливают ядерные правила при загрузке (и, опционально, сохраняют их при выключении).

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #12 Ответы: #37

34. Сообщение от э2 (?), 02-Апр-20, 12:10 +/–

Один написан на perl, другой собран только для убунты и арча

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #4

35. Сообщение от нах. (?), 02-Апр-20, 14:25 +/–

авторов поделки по имени nft никто не заставлял его вызывать. За две строчки до кода, еще и вручную таки правильно разбирающегося с причинами ошибки. Могли потратиться на лишний printf.
Более того, поскольку ядерный интерфейс писали за соседним смузи - никто не заставлял вообще пользоваться не для того предназначенными кодами ошибок вместо своих, заточенных именно под файрвол, а не работу с файлами.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #31 Ответы: #43

36. Сообщение от нах. (?), 02-Апр-20, 14:27 +/–

> "Макаки, макаки!" — кричал высококвалифицированный специалист, никогда не слышавший
> про errno и perror.
вот такие м-ки как ты и пишут такой код.
Использующие errno и perror, предназначенные для работы с файлами и сокетами там, где нет никаких файлов.
да еще имеюще наглость что-то вякать про мою квалификацию - когда уже носом ткнули в нормально написанное до них.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #29 Ответы: #42

37. Сообщение от нах. (?), 02-Апр-20, 14:39 +/–

> Для этого существуют userspace-программы, которые восстанавливают ядерные правила при
> загрузке (и, опционально, сохраняют их при выключении).
и опционально - фейлятся при запуске, оставляя дыру открытой.
линyпсы такие линyпсы.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #33 Ответы: #44

38. Сообщение от нах. (?), 02-Апр-20, 14:42 +/–

> И многие другие пока продолжат. Docker, Kubernetes, VirtualBox...
> Потому что у iptables версии уже давно начинаются с единицы, а значит,
> есть гарантии стабильности интерфейса.
от того что макака начнет ляпать версии а-ля гугль - интерфейс лучше не сделается.
А вот iptables уже давно выпилен, включить обратно в современных системах непросто, и чем они там "пользуются", каким кривым враппером - лучше не знать.
P.S. а доскер ваш и вообще банкрот

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #30 Ответы: #45

39. Сообщение от нах. (?), 02-Апр-20, 14:44 +/–

> Чувствую что скоро люди будут в квм пробрасывать сетевуху, устанавливать РоутерОС и
> настраивать сеть там, в том числе и фаервол.
ты перепутал с asaV/juniper (кому на _нормальный_ файрвол денег не хватило - нормальный - это ни разу не пакетный фильтр)
а так да, сто лет уже так делаем.
Вот когда-то оооочень давно - в vmware пробрасывали сетевуху и устанавливали линукс. Но эти времена давным-давно прошли.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #22 Ответы: #46

40. Сообщение от нах. (?), 02-Апр-20, 14:45 +/–

> А в RouterOS тоже будет nftables, просто с нескучным фронтом от микротика
> :)
главное верьте, верьте, что макачье дерьмо кому-то нужно

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #26

41. Сообщение от нах. (?), 02-Апр-20, 15:09 +/–

>> все он правильно сказал, на уровне файрвола никаких файлов нет.
> А в man 3 errno нет варианта "таблица не найдена" :)
и что с того, тyпая макака?
> Из доступных вариантов действительно ближе всего
> ENOENT No such file or directory (POSIX.1).
а из недоступных макаке - от if(errno==ENOENT) { /* todo: добавить проверок по косвенным признакам, почему такое вернули */ printf("reasonable error description"); } - причем у них такой if двумя строками ниже дурацкого perror, и до отказа от использования файлового апи для работы с чем-то, совершенно на файлы непохожим, когда ты сам же и автор апи.
но ты же феерично туп, как любой модный смузиразработчик, и такие сложные идеи в обезьянкину головку не помещались?
сделайте одолжение все авторы подобных комментариев (я нимало не удивлен их количеством на опеннете) - не лезьте в опенсорс, а? Вас с нетерпением ждут в ентерпрайзной разработке, там все такие.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #28

42. Сообщение от Аноним (32), 02-Апр-20, 15:51 –1 +/–

> Использующие errno и perror, предназначенные для работы с файлами и сокетами там, где нет никаких файлов.
Ага, EAFNOSUPPORT, ECONNABORTED, ECHLD, EHOSTDOWN — ну точно про файлы.
Ещё раз отмечу, что вы потрясающий специалист!
> да еще имеюще наглость что-то вякать про мою квалификацию
Да пошутил я! Ни в коем случае не собирался всерьёз говорить о том, чего нет.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #36 Ответы: #57

43. Сообщение от Аноним (32), 02-Апр-20, 15:56 +/–

Использование местечковых кодов ошибки вместо стандартных, специально для "специалистов" вашего уровня, которые никогда не слышали про ENOENT, выглядит несколько неоправданно.
Ведь вас же к админству чего-то, кроме локалхоста, никто не подпустит :)
А ваш локалхост будет защищён роутером провайдера, настроенным куда более грамотными людьми, чем вы (на самом деле, даже мой кот более квалифицированный админ, чем вы), так что и здесь всё под контролем.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #35

44. Сообщение от Аноним (32), 02-Апр-20, 15:58 +/–

А у вас на винде типа всё идеально?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #37 Ответы: #47

45. Сообщение от Аноним (32), 02-Апр-20, 15:59 –1 +/–

> А вот iptables уже давно выпилен, включить обратно в современных системах непросто,
Вот это новость! У вас на десяточке был iptables?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #38

46. Сообщение от Аноним (32), 02-Апр-20, 16:01 –1 +/–

> а так да, сто лет уже так делаем.
Позвольте вам не поверить.
Выше вы уже наглядно продемонстрировали, что к IT вы можете иметь отношение разве что в качестве уборщика в датацентре. А им даже перетыкать кабели строго-настрого запрещено.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #39 Ответы: #50

47. Сообщение от нах. (?), 02-Апр-20, 16:28 +/–

внезапно-нестартовавшего файрвола, оставившего открытой маршрутизацию (даже не локальные порты, а форвардинг) - последние пятнадцать лет не наблюдали, знаете ли. Если знаете, как этого добиться - расскажите, иногда как раз бывает надо.
А у вас в б-жественной бубунточке и прекрасном де6иллиане - из коробки никакого файрвола вообще нет, даже номинального. Надо знать о том где он и как называется, и не забыть поставить - наперегонки с подбирающими эксплойты, если адрес в публичной сети. Судя по логам - успевают не все.
25 лет назад была, конечно, одна забавная история, но в винде тогда никакого файрвола не было, это был 3d party софт. Одной очень нынче уважаемой корпорации (я тогда поставил себе галочку - никогда с ее продуктами дел не иметь - ни разу не пожалел).

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #44

48. Сообщение от нах. (?), 02-Апр-20, 16:35 +1 +/–

> Минорщина. Утилита не для обычного пользователя, а сисадмин поймет, что это ENOENT.
да, у него ж встроенный хрустальный шар для гадания что тут на самом деле хотели сказать.
> Ох да, щас бы по шаблону обработки ошибок в С - передать код ошибки в strerror о качестве
> остального кода судить.
когда хрустального шара не завезли - вполне по таким признакам и судить. Если у макаки в голове подобные шаблоны - и она не видит даже уже полезши улучшать именно этот кусок, что сообщение об ошибке тут ни к селу, ни к городу, и что вместо волшебного strerror надо взять и написать свой обработчик - очевидно что такими же шаблонами слеплен и весь остальной код.
А скорее это и не в голове шаблон, а копипаста со стековерфлоу, "всегда ж так делали, фиг его знает почему там про файлы какие-то - нехай админы разбираются, они привычные, гадать на кофейной гуще".
P.S. если что - вторым образцом подобного дерьмокода, как вчера выяснилось, оказался btrfs.
Впрочем, я и не ожидал ничего другого.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #13 Ответы: #53, #55

49. Сообщение от size_t (?), 02-Апр-20, 20:38 +/–

kvm - это модуль ядра. как он может использовать userspace-приложение?

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #19

50. Сообщение от нах. (?), 03-Апр-20, 00:15 +/–

пока что это вы и вам подобные м-ки демонстрируете.
Тщась доказать, что no such file - это именно те слова, которые надо выводить, когда ни о каком файле речь в помине не идет. Извиняйте, но вы - м-к. Эталонный. И все кто разделяет эту прекрасную идею - тоже. Второе место на конкурсе - ваше.
Я бы вам, на всякий случай, пол в датацентре подметать тоже не доверил - м-к он везде м-к.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #46 Ответы: #52

51. Сообщение от Аноним (51), 03-Апр-20, 02:34 +/–

Там не BPF, а своя виртуальная машина. На BPF так и не переделали.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #6

52. Сообщение от Аноним (32), 03-Апр-20, 18:06 +/–

Не то, чтобы меня очень интересует мнение об мне какого-то уборщика, но ваш гнев весьма забавен.
Продолжайте :)

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #50

53. Сообщение от Аноним (32), 03-Апр-20, 18:09 +/–

> да, у него ж встроенный хрустальный шар для гадания что тут на самом деле хотели сказать.
Это называется "квалификация".
С точки зрения непрофессонала, и многие вещи в IT (да и в любой другой специализированной области) могут выглядеть не интуитивно. В этом вопросе стоит принимать в расчёт только мнение профессионалов, к коим вы, очевидно, не относитесь.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48

54. Сообщение от Старый одмин (?), 03-Апр-20, 19:57 +/–

Подожду немного и перейду сразу на bpfilter

Ответить | Правка | Наверх | Cообщить модератору

55. Сообщение от Вебмакака (?), 04-Апр-20, 05:28 +1 +/–

В хрустальную документацию пусть посмотрит, ага)
>очевидно
А мне почему-то очевидно, откуда сообщение про файлы, а вот про качество кода уже не совсем.
>нехай админы разбираются, они привычные
Работа такая - разбираться в тонкостях системы, не?
>гадать на кофейной гуще
О, нет. В новых утилитах как раз нормальные сообщения с подсказками, это от этих ваших олдовых тулов такого никогда не дождешься.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #48 Ответы: #56

56. Сообщение от нах. (?), 04-Апр-20, 13:26 +/–

> Работа такая - разбираться в тонкостях системы, не?
ЛОЖНОЕ сообщение о причинах ошибки - это не "тонкости системы", а м-дизм макаки разработчика. Я уж не знаю, каким упертым кретином надо быть, чтобы упорно не желать это признать. Работа копаться в макачьем г-не, различая его сорта на вкус - ну да, такая.
Сколько бы ты ни хвастался своим "мне очевидно".
Мне вот, получивши подобную херню от btrfs (причем, естественно, в таком месте, где руками не очень поотлаживаешь) было совсем неочевидно, чего именно она не нашла - то ли с точкой монтирования чего не так, то ли с модулем, то ли с mount backend.
Оказалось, нет, это она не нашла subvol. Что мешало разработчику вывести subvolume not found, а не заставлять гадать какого еще "файла" ему надо? То что он - макака, perror и всех дел. Они всегда так делают - задними банан чистят, пока передними дроч..ут, а хвостом пишут код.
Поэтому совершенно не удивляет, когда и в других, более критичных местах, этот код оказывается точно таким же макачьим г-ном. Хвост-то обос..ный.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #55

57. Сообщение от муу (?), 04-Апр-20, 21:03 +/–

> Ни в коем случае не собирался всерьёз говорить о том, чего нет.
Орнул и плюсанул

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #42

58. Сообщение от InuYasha (?), 06-Апр-20, 00:04 +/–

+1
на самом деле, загрёбывает регулярно тратить время на догадки "а о чём же может быть это сообщение?" "кто виноват?" "что делать?"
Чтоб не быть голословным, весь свой код проглядел, передокументировал и в тексты ошибок или usage info вставил примеры и указания, что делать. Потому что я хочу чтоб моим софтом пользовались люди.

Ответить | Правка | Наверх | Cообщить модератору
Родитель: #9

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2025 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. Сообщение от Аноним (1), 01-Апр-20, 22:51	+/–
Изменение TTL запилили?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #3

2. Сообщение от Аноним (-), 01-Апр-20, 23:00	+4 +/–
Я новичок в файрволах. Есть ли смысл учить iptables, или можно сразу nftables? Если что, пользуюсь Ubuntu.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #4, #5, #7, #8

3. Сообщение от Аноним (3), 01-Апр-20, 23:16	+3 +/–
# nft -f /etc/nftables/ipv4-mangle.nft # nft add rule ip mangle output oif eth0 ip ttl set 255
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #1 Ответы: #25

4. Сообщение от Fyjy (?), 01-Апр-20, 23:20	+13 +/–
Если новичок, то сразу учи nft или знакомься с надстройками типа firehol/shorewall. iptables жив и будет жить еще достаточно долго, но nft его заменяет и новичку нет смысла его изучать. Это нам тяжело переучиваться, все же с релиза ядра 2.4 живем с iptables, а тебе с нуля проще сразу учить то что будет жить дальше.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2 Ответы: #10, #20, #34

5. Сообщение от Анонюга (?), 01-Апр-20, 23:23	+1 +/–
Так iptables - deprecated. Смысл учить то, что мертво? :)
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2

6. Сообщение от Аноним (6), 01-Апр-20, 23:28	–1 +/–
Пожалуйста прекратите путать людей. Логика работает в BPF, а это ну ни как не пространство пользователя. Будьте уж поаккуратнее в том, что вы пишите публично
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #17, #18, #51

7. Сообщение от Аноним (-), 02-Апр-20, 00:16	–8 +/–
учитывая что nftables это абстракция над iptables - да
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2 Ответы: #11

8. Сообщение от нах. (?), 02-Апр-20, 00:23	–1 +/–
можно сразу учить где там галочки у гуевого интерфейса к systemd-firewalld А, не разглядел, бубунта... выброси на...й. Ну то есть можешь, конечно, потратить время на ее ufw, но не говори что тебя не предупреждали. По-моему, уже даже глядя на примеры в этой новости, вполне можно сообразить, что авторам nft в голову не приходит что кто-то будет эти правила старательно долбить руками. Этот бред абсолютно не человекочитаем и не человеконаписуем. Вся затея была в том чтобы сделать удобно - пейсателям на пихоне и игого. Если ты не собираешься к ним присоединяться, тебе не то что не потребуется, а вредно для себя и окружающих лезть туда руками. Потому что твоя самоделка, в результате, будет конфликтовать с штатными системными средствами. Вот их надо освоить, да - чтобы когда на чужой машине надо открыть порт - не ломать там существующую конфигурацию.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #2

9. Сообщение от нах. (?), 02-Апр-20, 00:27	–1 +/–
Улучшено информирование о месте ошибки в правилах. # nft delete rule ip y z handle 7 Error: Could not process rule: No such file or directory кто-нибудь, забейте этим улучшаторам их улучшизмы в задницу - раз они не понимают, что начинать улучшение надо с удаления нахрен слов про "файлы и directory", когда ни о каких файлах речь не идет вообще. Представляю, как там код в ядре написан, такими-то руками.
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #13, #14, #31, #58

10. Сообщение от нах. (?), 02-Апр-20, 00:38	+4 +/–
присоединяюсь к совету. Только нам не потому "тяжело переучиваться" что "с 2.4" живем. Я лично довольно давно живу. ipf пережил, fwadm пережил, ipchains пережил, и никого из них жалко совершенно не было (ну, правда, пока не выяснилось что нас нае..ли, и обещанных "прям в следующей версии" возможностей ipchains в iptables не будет никогда, потому что проталкивавшая в ядро новое-стильное-модное-молодежное макака уже унеслась в туманную даль, гордо неся обо.ный хвост, а оставшиеся неасиляторы тривиальные баги чинили по десять лет, видимо, не смогли разобраться в коде - но мы уже как-то привыкли без packet tracer'а и без нормального gre conntrack/nat) Но это потому что их писали - для людей. А эту хрень написали для макак, которые руками фильтры никогда не настраивали в принципе - им это было не по уму. Зато они умели г-нокодить, и понакодили порождений снов разума. И вот теперь получите инструмент - удобный уже им, а не нам. Ведь удобство труда горе-разработчиков в стотыщ раз важнее каких-то поганых пользователей.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4

11. Сообщение от Аноним (11), 02-Апр-20, 01:40	+6 +/–
Ты чёт перепутал.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #7

12. Сообщение от Аноним (12), 02-Апр-20, 03:06	+/–
Оно умеет в постоянные правила без костылей?
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #15, #33

13. Сообщение от Вебмакака (?), 02-Апр-20, 04:31	+1 +/–
Минорщина. Утилита не для обычного пользователя, а сисадмин поймет, что это ENOENT. >Представляю, как там код в ядре написан, такими-то руками. Ох да, щас бы по шаблону обработки ошибок в С - передать код ошибки в strerror о качестве остального кода судить.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #9 Ответы: #32, #48

14. Сообщение от Наноним (?), 02-Апр-20, 04:32	+/–
ты что живого кода никогда в глаза не видел? если enoent это no such file то при чем тут девелоперы нфт?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #9 Ответы: #16, #21

15. Сообщение от Аноним (15), 02-Апр-20, 06:03	+/–
постоянные умеет, без костылей не умеет.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #12

16. Сообщение от Аноним (16), 02-Апр-20, 07:24	+2 +/–
все он правильно сказал, на уровне файрвола никаких файлов нет. А то так можно дойти до того, что и виндовый бсод можно кидать.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #14 Ответы: #23, #24, #28

17. Сообщение от Аноним (17), 02-Апр-20, 08:20	–1 +/–
> Логика работает в BPF, а это ну ни как не пространство пользователя. Внимательно перечитайте новость, там написано, что в пространстве пользователя обрабатываются логика определения правил фильтрации и генерируется BPF-код, а сам BPF код как раз выполняется в ядре: "обработчики компилируются в байткод в пространстве пользователя, после чего данный байткод загружается в ядро при помощи интерфейса Netlink и выполняется в специальной виртуальной машине, напоминающей BPF".
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #6

18. Сообщение от Аноним (17), 02-Апр-20, 08:32	+/–
А по поводу логики работы с протоколами в user space, вот выдержка из документации: "Even worse, the capabilities and syntax tend to vary from one protocol to the next. By moving all of that knowledge out to user space, nftables greatly simplifies the in-kernel code and allows for much more consistent treatment of all protocols."
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #6

19. Сообщение от Anonimous (?), 02-Апр-20, 08:51	+/–
kvm к сожалению использует iptables
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #30, #49

20. Сообщение от СеменСеменыч777 (?), 02-Апр-20, 09:06	+3 +/–
удваиваю firehol. очередной собачий язык учить - так себе занятие.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #4

21. Сообщение от нах. (?), 02-Апр-20, 09:19	–4 +/–
при том что можно вместо perror проявить остатки разума и написать no such entry, например. А perror использовать только когда вернулось что-то, что программа просто не понимает. Или уж вообще не использовать стандартные коды ошибок там, где им очевидно не место и нужны специфические. А, да, откуда у пилящих nft макак разуму-то быть. Филе не найдено! Причем потом они все равно ошибку парсят руками чтобы разобраться, где ж нарисовать крышечку (и надо ли вообще, или это какая-то другая ошибка). Шедевр макачьей логики. Но они ничего неправильного в этом не видят. iptables -D FORWARD 654 iptables: Index of deletion too big. iptables -D FORWARD -i lo iptables: Bad rule (does a matching rule exist in that chain?). это вот еще не макака написала. Хотя и попахивало уже тогда. iptables -A FORWARD -j NONEXISTENT Couldn't load target `NONEXISTENT':No such file or directory тут действительно не нашелся и файл в том числе, но вообще-то можно было и предположить, что это название таблицы а не модуля, и что опечатки встречаются в тысячи раз чаще чем отсутствующий модуль. Тем не менее - и тут вполне понятно, что конкретно не так, без всяких "крышечек" Новые-модные молодежные - даже так не умели.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #14 Ответы: #29

22. Сообщение от Аноним (22), 02-Апр-20, 09:48	+3 +/–
Чувствую что скоро люди будут в квм пробрасывать сетевуху, устанавливать РоутерОС и настраивать сеть там, в том числе и фаервол. В следующей переписке под названием fckTables придется писать байткодом, это ведь удобно, для разработчиков :)
Ответить \| Правка \| Наверх \| Cообщить модератору
Ответы: #26, #39

23. Сообщение от КО (?), 02-Апр-20, 10:15	+/–
https://ru.qwe.wiki/wiki/Everything_is_a_file
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #16

24. Сообщение от КО (?), 02-Апр-20, 10:15	+/–
Ну собственно ошибка про это и говорит - файла-то нет. :)
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #16

25. Сообщение от Аноним (25), 02-Апр-20, 11:01	+/–
> mangle Это какой хук?
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #3 Ответы: #27

26. Сообщение от Аноним (32), 02-Апр-20, 11:23	+/–
А в RouterOS тоже будет nftables, просто с нескучным фронтом от микротика :)
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #22 Ответы: #40

27. Сообщение от Аноним (3), 02-Апр-20, 11:23	+1 +/–
# cat /etc/nftables/ipv4-mangle.nft #!/usr/sbin/nft -f table mangle { chain output { type route hook output priority -150; } }
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #25

28. Сообщение от Аноним (32), 02-Апр-20, 11:26	+/–
> все он правильно сказал, на уровне файрвола никаких файлов нет. А в man 3 errno нет варианта "таблица не найдена" :) Из доступных вариантов действительно ближе всего ENOENT No such file or directory (POSIX.1).
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #16 Ответы: #41

29. Сообщение от Аноним (32), 02-Апр-20, 11:27	+8 +/–
"Макаки, макаки!" — кричал высококвалифицированный специалист, никогда не слышавший про errno и perror.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #21 Ответы: #36

30. Сообщение от Аноним (32), 02-Апр-20, 11:29	+/–
И многие другие пока продолжат. Docker, Kubernetes, VirtualBox... Потому что у iptables версии уже давно начинаются с единицы, а значит, есть гарантии стабильности интерфейса.
Ответить \| Правка \| Наверх \| Cообщить модератору
Родитель: #19 Ответы: #38