Jaderné noviny – 2. 1. 2014: Nový hypervizor Jailhouse (diskuse)

[petr_p]

Loader se tradičně překládá jako zavaděč.

[Luboš Doležel (Doli)]

Pravda, nějak jsem si nemohl vzpomenout na to správné slovo.

[Michal Kubeček]

No end host should have rp_filter on. It unnecessarily makes our routing lookups much more expensive for zero gain on an end host. But people convinced the distributions that turning it on everywhere by default was a good idea and it stuck.

…a i na routerech to nezřídka nadělá víc škody než užitku.

[Sten]

Na multi-homed a default-free routerech to je nepoužitelné, ale na ostatních je reverse-path filter docela užitečný.

Ale mám dojem, že hlavní důvod je, že reverse-path filter by měl řešit firewall a ne síťový subsystém. Firewall totiž kromě jiného funguje na pakety s IPSec nebo IPv6 a umí logovat.

[Jendа]

ale na ostatních je reverse-path filter docela užitečný

Nějak mě nenapadá moc případů, kde by se to hodilo (a nešly by snadněji řešit obyčejným firewallem, jako např. filtrace paketů zvenku do sítě za maškarádou). Nápady?

[Sten]

Nějak mě nenapadá moc případů, kde by se to hodilo (a nešly by snadněji řešit obyčejným firewallem, jako např. filtrace paketů zvenku do sítě za maškarádou). Nápady?

Třeba že to rozdělení sítí je uvedeno jenom jednou? I firewall umí používat reverse-path filter.

[Ondrej 'SanTiago' Zajicek]

Na multi-homed a default-free routerech to je nepoužitelné, ale na ostatních je reverse-path filter docela užitečný.

Reverse-path filtering muze zlobit i u vnitrniho routeru v podnikove siti ci siti ISP, pokud tam jsou redundandni cesty (ostatni routery mohou zvolit cestu k tobe jinou, nez ty volis cestu k nim).

Obecne je tu ale problem - zatimco routovaci tabulka urcuje kam maji jit pakety (a bez ECMP typicky jen jeden z moznych smeru), u reverse path filtering by takova tabulka mela specifikovat odkud *mohou* ci *smeji* prijit ty pakety.

Ale mám dojem, že hlavní důvod je, že reverse-path filter by měl řešit firewall a ne síťový subsystém.

Ono je otazka, co z toho je efektivnejsi, pokud bys takovych pravidel mel treba pul milionu. Routovaci tabulka s takovou zatezi pocita.

[Sten]

Ono je otazka, co z toho je efektivnejsi, pokud bys takovych pravidel mel treba pul milionu. Routovaci tabulka s takovou zatezi pocita.

No vzhledem k tomu, že iptables používají routovací tabulku (pro -t rpfilter), tak je to celkem jedno.

[asdacsac]

"Pokud nemáte ke svému firmwaru kompletní zdrojové kódy, pak nemáte systém, kterému můžete věřit."

Ked ste si HW nevyrobili sami, tak nemate system, ktoremu mozete verit (http://people.umass.edu/gbecker/BeckerChes13.pdf)

[Bystroushaak]

Ked ste si HW nevyrobili sami, tak nemate system, ktoremu mozete verit

Pokud jste si sami nevyrobili HW, kterým vyrábíte váš HW, tak nemáte systém, kterému můžete věřit. Goto 1.

[Michal Kubeček]

A i pak je stejně ještě potřeba zkusit roztočit setrvačník (*) a pro jistotu dávat pozor i na deja vu (*). :-)

[Mti.]

Jak moc se da verit pazourkovemu kamenomlatu? At vim, jak daleko musim zajit, nez se do toho pustim.

[student]

"Backdoornuty pazourek :D"

[frr]

Ten citát od Iana Jacksona se týká volby defaultního "init" démona pro Debian Jessie (systemd vs. upstart), tzn. "naše nelinuxové porty" mluvi o Debianu s kernelem jiným než linuxovým (Hurd, BSD). A výraz "honest system" bych přeložil spíš jako systém čestný nebo poctivý. Já vím, je tu pár lidí, kterým tohle pozadí dojde (na rozdíl ode mne), aniž by četli celý ten mail...