iptables 1.4.5

Позитивно

Ура.

боян

>Возможность указания нескольких IP-адресов или подсетей в параметрах -s и -d.

отлично

-rw-r--r-- 1 sylvia users 228188 Sep 15 19:06 iptables-1.4.5-i686-1.txz

уже три дня как )

а про nftables что нибудь слышно?

блин, только закончил собирать 1.4.4...

Чего его там собирать - пара минут =)

Обновился

Это та утилита которая в юзерспейсе?

> Это та утилита которая в юзерспейсе?

А что, бывают утилиты в ядре?

<troll>
не нужен!
жду когда студентка допилит ipfw для линупса
</troll>

Думаю, ей пора взяться за pf

толсто

Приятно. Нужная вещь.

как вариант, только я недолюбливаю как openbsd так и их фаерволовский выкак

кстати, чайниковский вопрос
как в ipfw натить pptp для разных сессий
для iptables однако модуль и я совершенно не в курсе, как он работает

Нда, главное, что оперативно новость запостили, недели не прошло)

> Возможность указания нескольких IP-адресов или подсетей в параметрах -s и -d.

да, это просто революция! еще 21 столетие не закончилось!

> Возможность указания нескольких IP-адресов или подсетей в параметрах -s и -d.

А кто мешал до этого указать несколько адресов???

я извините pptp не встречался и ваш вопрос не понял
вы имеете ввиду линуксовый вариант nat - MASQUERADE ?

Нет, там этого недостаточно, пройдетет только одно соединение.
Сам честно говоря не разбирался, как оно должно работать с gre-пакетами pptp-траика, просто есть модули типа nf_conntrack_pptp и оно само работает. А как под ipfw замутить?

Отличная новость, спасибо! Интересно, совместимость с iproute2 не поламалась ли? А то ж там iproute2 мог вызывать действия с iptables.

natd точно из коробки пропускает через себя любое кол-во gre , об этом намекает /etc/libalias.conf, а так как kernel nat построен на той же библиотеке, то и у него должно быть нормально

у меня клиенты не жалобились

В Fedora уже есть

>-rw-r--r-- 1 sylvia users 228188 Sep 15 19:06 iptables-1.4.5-i686-1.txz

>i686

Своя сборка или это что?

>Думаю, ей пора взяться за pf

Лучше за netgraph

Патрик не собирает с *i686*

>Патрик не собирает с *i686*

Это-то я знаю. Просто может быть какой-нибудь очередной неофициальный клон или форк на манер Zenwalk'а.

>А кто мешал до этого указать несколько адресов???

А как раньше это делалось? Теперь, если я правильно понял исходники, можно написать "iptables -s 127.0.0.1/8,10.0.0.0/8 -j ACCEPT" и в ядро добавится два правила:

-s 127.0.0.1/8 j ACCEPT
-s 10.0.0.0/8 -j ACCEPT

Видимо так удобнее добавлять правила...

>уже три дня как )

красноглазые гентушники такие красноглазые....

Оно ещё живо?

>Просто может быть какой-нибудь очередной ...

да, в ~/NAS/slackware/local

;)

><troll>
>не нужен!
>жду когда студентка допилит ipfw для линупса
></troll>

Какой-то уж больно светловолосый у вас троллинг ;)

>Теперь, если я правильно понял исходники, можно написать "iptables -s 127.0.0.1/8,10.0.0.0/8 -j ACCEPT" и в ядро добавится два правила:

Открою вам страшную тайну: даже раньше, если вы писали, скажем, -s ya.ru -j ACCEPT, то в ядро добавлялись правила для всех айпшников, в которые резольвится ya.ru.

В качестве познавательного упражнения рекомендую попробовать одновременно указать «многоайпишниковые» домены сразу в -s и -d ;)

А вообще Ъ-админы, когда нужно одно правило на много айпишников, юзают ipset.

>Нда, главное, что оперативно новость запостили, недели не прошло)

В sid до сих пор 1.4.4. Так что еще никто никуда не опоздал ;)

>а про nftables что нибудь слышно?

По моим наблюдениям, проект скорее мертв, чем жив :(

pf для линукса был бы гораздо уместнее.

у него по-крайней мере синтаксис интуитивнее при тех же возможностях.

> у него по-крайней мере синтаксис интуитивнее при тех же возможностях.

Сразу понятно, что слакварщики ничего не понимают в iptables

>Сразу понятно, что слакварщики ничего не понимают в iptables

Интуитивный синтаксис - это плюс.

Ну может это модули ядра, или патчи на ядро :)

>Перл для PC гораздо уместнее [чем ассемблер]
>У него по крайней мере синтаксис понятнее при тех же возможностях.

Обожаю подобные заявления!

Давайте подождем, пока какая-нибудь студентка создаст комп, у которого в качестве ассемблера будет перл! :D

>а про nftables что нибудь слышно?

Уточняю: автор походу на него забил. Последний коммит полтора месяца назад.
Все подробности этой драматичной истории здесь: http://git.netfilter.org/cgi-bin/gitweb.cgi?p=nftables.git;a=summary

>Интуитивный синтаксис - это shorewall, arno-iptables-firewall, etc.
fixd

>уже три дня как )

А как там насчет udplite? Порты уже указывать можно?
Беглый взгляд по сорцам показал отсутствие прогресса айпистолов в этом направлении, хотя в ядре (конкретно в нетфилтере) прогресс есть.

>Поддержка новых возможностей ядра 2.6.31

кто скажет - что именно имеется в виду?

а ченджлог-то недлинный... это свидетельство совершенства?

>Возможность указания нескольких IP-адресов или подсетей в параметрах -s и -d.

Хорошо. Ещё бы сделали возможность указания нескольких протоколов в параметре -p, было бы вообще замечательно, а то дублировать правила для tcp и udp например как-то не вставляет.

И в каких же это случаях необходимо именно _дублировать_ правила для TCP и UDP?

Например для DNS:
iptables -A INPUT -p tcp --dport 53 -j ACCEPT
iptables -A INPUT -p udp --dport 53 -j ACCEPT

ИМХО было бы удобнее:
iptables -A INPUT -p tcp,udp --dport 53 -j ACCEPT

> Уточняю: автор походу на него забил. Последний коммит полтора месяца назад. Все подробности этой драматичной истории здесь: http://git.netfilter.org/cgi-bin/gitweb.cgi?p=nftables.git;a=summary

Может за зиму наверстает упущенное )