Оптимизация правил межсетевого экрана PF

А на Linux портировано?

а ты как думаешь? если даже на Мастдай портировали?

Так какого черта не написали?

>а ты как думаешь? если даже на Мастдай портировали? ссылку плииз мечта просто поменять iptables на pf

>ссылку плииз мечта просто поменять iptables на pf

freebsd.org

>freebsd.org шутник?ок тогда прямую ссылку я может дурак не нашел там пакета например для дженты?или debiana:)

да, я помню, как народ писал кипятком, когда поставили pf на w2003

> ссылку плииз мечта просто поменять iptables на pf

Ох, не у вас одного :))

А под портом на винду подразумевается CoreForce или еще чего есть?

По-моему, портирование pf под Linux не самая простая задача. Ведь изначально этот фильтр писался под OpenBSD и ее сетевой стек. В OpenBSD, поправьте меня, если я ошибаюсь, используется KAME. А у Linux своя архитектура и не самя очевидная.

У меня на фряшке прикручен pf. Вот все фтп-клиенты наружу пускает, кроме gftp!

....
PWD

257 "/"
Loading directory listing / from server (LC_TIME=ru_RU.KOI8-R)
PORT 192,168,1,130,164,236

200 PORT command successful. Consider using PASV.
LIST -a

На сём виснет.

Позже выдаёт:

425 Failed to establish connection.
Отключение от сервера 81.222.134.14

А всё остальное меня в нём вполне устраивает! ;)

> Вот все фтп-клиенты наружу пускает, кроме gftp!

попробуй пассивный режим в gftp запретить.

Убрал галочку с пассивного режима в настройках фтп.

200 PORT command successful. Consider using PASV.
LIST -aL

И всё, то же молчание :(

> ссылку плииз мечта просто поменять iptables на pf

Скажите, чем pf лучше iptables + iproute2 ?

может быть имеется ввиду все-таки ipfw?

попробуй pftpx из портов - это новая реализация из OpenBSD

use pftpx

Н-да.. Просмотрел статью.. В инглише не силён... Можно как-нить запретить конкретному ip в локалке использовать какой-то порт с помощью pf? Типа:

block from 10.1.2.3 port icq

или как?

pftpx это что? Синтаксис конфига тот же? и вообще.. Чем оно отличается от pf?

Лучше так :) block out proto tcp from 10.1.2.3 to any port icq

Спасибо! ;)

> block out proto tcp from 10.1.2.3 to any port icq

Гы :) А я до сих пор свято думал, что ICQ работает по UDP.

>Скажите, чем pf лучше iptables + iproute2 ? удобство синтаксис возможности

так по чём же оно всё-таки работает-то? ;)

> так по чём же оно всё-таки работает-то? ;)

Воспользуйся ethereal (wireshark) да глянь. У меня на работе венда. :(

пофиг ;)Сделал уже:

block out proto { tcp, udp } from 192.168.2.18 to any port 5190

ЗЫ сочувствуютебе ;) мы вот контору на линух переводим. А я сколько работаютут, так у меня ни разу венды не стояло ;) Теперь вотлюдей приобщаю ;)

Спасибо, почитаем как-нибудь на досуге..

>block out proto { tcp, udp } from 192.168.2.18 to any port 5190
Хм.. на сколько помню в аське можно указывать к какому порту цепляться, так что не спасет.

Те, кто заявляет про удобство, возможности и тп pf по сравнению с iptables могут мне ответить на простой вопрос? pf умеет трекать фтп? Если нет, то разговор закрыт.

Аськин сервер слушает вообще на всех портах.
вообще. то есть блокировка 5190 погоды не сделает ;)

block in quick on $ExtIf inet proto tcp from { 205.188.0.0/16, 64.12.0.0/16 } to any flags S/SA
block in quick on $IntIf inet proto tcp from any to { 205.188.0.0/16, 64.12. 0.0/16 } flags S/SA

Чиво-чиво? =)

iptables модульный,легко расширяемый (pom, etc), гибкий. при большом трафике медленее pf намного

pf быстрее iptables,синтаксис от ipf,таблицы адресов,etc

PS прикрутить pf к netfilter не так уж и сложно..тока это нафиг никому не надо, когда есть iptables

> Те, кто заявляет про удобство, возможности и тп pf по сравнению с
> iptables могут мне ответить на простой вопрос? pf умеет трекать фтп? 

pf как и нормальный фильтр пакетов не работает выше транспортного
уровня стека. поэтому -- разумеется нет. но никто не мешает для
поддержки прикладного уровня использовать отдельные прокси сервера.
для pf стандартным является вышеупомянутый pftpx (сейчас он заменил
старый ftp-proxy в OpenBSD). еще вариант: ftpsesame.

>iptables модульный,легко расширяемый (pom, etc), гибкий. при большом трафике медленее pf намного

если медленность заключается в прохождении каждого правила в цепочке, то:

1) http://www.netfilter.org/projects/ipset/index.html
2) http://www.hipac.org/

> >iptables модульный,легко расширяемый (pom, etc), гибкий. при большом > трафике медленее pf намного
>
> если медленность заключается в прохождении каждого правила в цепочке, > то:
> 
> 1) http://www.netfilter.org/projects/ipset/index.html
> 2) http://www.hipac.org/

вот как раз по этому админы OpenBSD и не понимают админов Linux:
в OpenBSD не надо систему собирать с миру-по-нитке, накладывая
мало-вменяемые патчи.

разница в подходе: у openbsd подход Just Works, или "всё включено".
у линукс: а не собрать ли нам велосипед.

однако, иногда сборка велосипеда (ну или хотя бы наличие нескольких
путей сделать что-то) в Linux дает горааааздо лучший результат: например
при выборе файловой системы.

однозначности нету, быть не может и это замечательно: используй молоток
когда нужно забивать гвозди и топор когда рубишь дрова...

под каждую задачу можно всегда найти более адекватный инструмент.

>используй молоток когда нужно забивать гвозди и топор когда рубишь дрова...

помню, как-то в молодости забивал гвозди топором (обратной стороной, ессно). Интересно, меня за это расстреляют? :)))

по теме: linux гибче. Но за это приходится платить временем настройки. И это - мой путь (я лучше лишние два дня провожусь - но потом все будет работать как часы).

>помню, как-то в молодости забивал гвозди топором

А потому что ламерок и топор у тебя был - гавно, настоящий плотник за такие дела сразу руки и яйца оторвал бы.

Эх, как же я мечтаю сменить pf на iptables....

а молотком рубить дрова не пробовали?

на самом деле, в Линуксе для каждой задачи - свой инструмент: для забивания гвоздей - молоток, для того, чтобы рубить дрова - топор, и т.д.

>на самом деле, в Линуксе для каждой задачи - свой инструмент: для забивания гвоздей - молоток, для того, чтобы рубить дрова - топор, и т.д

А для администрирования - бубен и волшебная палочка.

бубен - вообще универсальный инструмент, не только для линукса :)) помню пляски с данным орудием вокруг FBSD серваков в далекой молодости :)