 |
|
|
ru.linux- RU.LINUX --------------------------------------------------------------------- From : Vladimir V. Ivanov 2:5020/400 23 Dec 2003 20:13:39 To : Aleksey Barabanov Subject : Re: так ли необходим сетевой экран? точнее где он необходим и какой? -------------------------------------------------------------------------------- ru> From: "Vladimir V. Ivanov" <vivanov@tmsoft-ltd.kiev.ua> Hi, Aleksey! On Tue, 23 Dec 2003 15:35:58 +0000 (UTC) Aleksey Barabanov <abb@wessen.ru> wrote: > > Hасколько я помню, в iptables на уровне ядра, можно заменить > > атомарно целую таблицу, чем и пользуется iptables-restore. То есть > > в iptables при изменении конфигурации штатными утилитами > > таких сюрпризов быть не должно. > Hикогда таким тулом не пользовался. Imho при динамическом изменении > это и невозможно. Разве что только как упрощенный вариант. В каком смысле при динамическом изменении? Я вот как вижу "динамику": (1) реконфигурация администратором во время работы (2) добавление/удаление одиночных правил автоматически или полуавтоматически (коммандамми вроде: myfwctl allow port 110 for ip 1.2.3.4 during 15 minutes :), (3) правила фильтрации для динамически создаваемых интерфейсов (pppN, с непредсказуемым N) Для (1) стандартных утилит хватает [ hint: сколь угодно сложный самописный скрипт должен не вызывать iptables N раз а геренировать (через echo, например) входной поток для iptables-restore, что ещё, как бонус, защитит админа от случайных ошибок, прерывающих работу скрипта посередине :) ] Для (2) iptables-restore и его потабличная атомарность и нe нужна так как не перестраивается таблица в целом, а лишь единичные правила. Случай (3) при помощи -J (или более элегантно: двойных -J) легко сводится к (2) с прописыванием всех правил в статически в базовом конфиге и нескольким усложнением скрипта в (1) > >> затем строим фильтровую цепочку, а только потом добавляем переход > >на> созданный фильтр ? > > При правильном следовании правил в цепочке это тоже не обязательно. > Спорно. Может быть deny,allow или allow,deny. При пошаговом построении > будет создаваться разная дырявость на каждом этапе. Я малость оговорился, имелось в виду: "при правильном следовании комманд добавления правил в цепочку" :) -- Regards, Vladimir Ivanov --- ifmail v.2.15dev5.1 * Origin: Digital Generation (2:5020/400) Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор Архивное /ru.linux/14587bcd20a78.html, оценка из 5, голосов 10
|
|
|