abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×
    dnes 13:55 | Komunita

    V Amsterdamu probíhá Open Source Summit Europe. Organizace Linux Foundation představuje novinky. Pod svá křídla převzala open source dokumentovou databázi DocumentDB.

    Ladislav Hagara | Komentářů: 0
    dnes 02:22 | Komunita

    Přesně před 34 lety, 25. srpna 1991, oznámil Linus Benedict Torvalds v diskusní skupině comp.os.minix, že vyvíjí (svobodný) operační systém (jako koníček, nebude tak velký a profesionální jako GNU) pro klony 386 (486), že začal v dubnu a během několika měsíců by mohl mít něco použitelného.

    Ladislav Hagara | Komentářů: 13
    dnes 01:55 | Nová verze

    86Box, tj. emulátor retro počítačů založených na x86, byl vydán ve verzi 5.0. S integrovaným správcem VM. Na GitHubu jsou vedle zdrojových kódů ke stažení také připravené balíčky ve formátu AppImage.

    Ladislav Hagara | Komentářů: 0
    23.8. 17:44 | IT novinky

    Vláda Spojených států získala desetiprocentní podíl v americkém výrobci čipů Intel. Oznámili to podle agentur americký prezident Donald Trump a ministr obchodu Howard Lutnick. Společnost Intel uvedla, že výměnou za desetiprocentní podíl obdrží státní dotace v hodnotě 8,9 miliardy dolarů (zhruba 186 miliard Kč). Částka podle Intelu zahrnuje dříve přislíbené subvence 5,7 miliardy dolarů z programu CHIPS na podporu výroby čipů v USA,

    … více »
    Ladislav Hagara | Komentářů: 16
    23.8. 17:33 | Nová verze

    Organizace Apache Software Foundation (ASF) vydala verzi 27 integrovaného vývojového prostředí a vývojové platformy napsané v Javě NetBeans (Wikipedie). Přehled novinek na GitHubu. Instalovat lze také ze Snapcraftu a Flathubu.

    Ladislav Hagara | Komentářů: 0
    23.8. 04:22 | Nová verze

    Knihovna FFmpeg byla vydána ve verzi 8.0 „Huffman“. Přibyla mj. podpora hardwarově akcelerovaného kódování s využitím API Vulcan, viz seznam změn.

    Fluttershy, yay! | Komentářů: 0
    22.8. 17:44 | IT novinky

    Národní úřad pro kybernetickou a informační bezpečnost (NÚKIB) vydal Zprávu o stavu kybernetické bezpečnosti ČR za rok 2024 (pdf). V loňském roce NÚKIB evidoval dosud nejvíce kybernetických bezpečnostních incidentů s celkovým počtem 268. Oproti roku 2023 se však jedná pouze o drobný nárůst a závažnost dopadů evidovaných incidentů klesá již třetím rokem v řadě. V minulém roce NÚKIB evidoval pouze jeden velmi významný incident a významných incidentů bylo zaznamenáno 18, což oproti roku 2023 představuje pokles o více než polovinu.

    Ladislav Hagara | Komentářů: 4
    22.8. 13:55 | Komunita

    Byl publikován aktuální přehled vývoje renderovacího jádra webového prohlížeče Servo (Wikipedie). Servo mimo jiné nově zvládne animované obrázky APNG a WebP.

    Ladislav Hagara | Komentářů: 0
    22.8. 13:11 | IT novinky

    Na chytré telefony a počítačové tablety v Rusku bude od začátku příštího měsíce povinné předinstalovávat státem podporovanou komunikační aplikaci MAX, která konkuruje aplikaci WhatsApp americké společnosti Meta Platforms. Oznámila to dnes ruská vláda. Ta by podle kritiků mohla aplikaci MAX používat ke sledování uživatelů. Ruská státní média obvinění ze špehování pomocí aplikace MAX popírají. Tvrdí, že MAX má méně oprávnění k přístupu k údajům o uživatelích než konkurenční aplikace WhatsApp a Telegram.

    Ladislav Hagara | Komentářů: 55
    22.8. 04:22 | IT novinky

    Společnost PINE64 stojící za telefony PinePhone nebo notebooky Pinebook publikovala na svém blogu srpnový souhrn novinek. Kvůli nedostatečnému zájmu byla ukončena výroba telefonů PinePhone Pro.

    Ladislav Hagara | Komentářů: 2
    Pro otevření více webových stránek ve webovém prohlížečí používám
     (79%)
     (7%)
     (4%)
     (4%)
     (6%)
     (0%)
    Celkem 72 hlasů
     Komentářů: 6, poslední 21.8. 13:35
    Rozcestník

    Dotaz: správa velkého množství iptables pravidel

    13.11.2016 13:31 fish | skóre: 22
    správa velkého množství iptables pravidel
    Přečteno: 385×
    Zdravím,

    jakým způsobem byste spravovali velké množství pravidel v iptables? Nejde o pravidla, na která jde aplikovat ipset, ale o rozvětvenou konfiguraci routeru. Rozhraní je momentálně 60+, pravidel okolo 1000. Výchozí pravidlo DROP a následně se pro každou službu explicitně povoluje komunikace jen pro konkrétní kombinaci if+src+dst+proto+port, plus odpovídající match v opačném směru. Ponechme stranou, proč to tak je.

    iptables volám skriptem a samozřejmě to v takovém množství už poměrně trvá (řádově vteřiny), což vede k narušení provozu. Nechci používat iptables-save / restore, protože ve skriptu můžu pohodlně udržovat komentáře, měnit interface / subnety pomocí proměnných, generovat opakující se bloky podle seznamu IP (to by zrovna přes ipset asi nahradit šlo) a můžu si obecně organizovat jeho obsah tak, abych se v tom na první pohled vyznal.

    Ovšem iptables-restore má nespornou výhodu v tom, že všechny pravidla předá netfilteru jako blok, takže jejich načtení je téměř okamžité.

    Zkoušel jsem pátrat a UFW zřejmě umí z vlastní konfigurace generovat buď podobný sled volání iptables nebo přímo formát pro iptables-restore, takže jeho načtení by mělo být rychlé, při zachování možnosti definovat pravidla v lépe čitelném souboru. Jen nevím, nakolik je UFW ověřený a poradí si s komplikovanějšími pravidly (používání set-mark a podobně).

    Máte s něčím praktickou zkušenost? UFW, firewalld nebo něco dalšího na co jsem zatím nenarazil?

    díky

    Řešení dotazu:


    Odpovědi

    13.11.2016 13:42 NN
    Rozbalit Rozbalit vše Re: správa velkého množství iptables pravidel
    Neslo by vyuzit stare dobre pojmenovane chainy? Nemusel by jsi "prejizdet" cele iptables, ale konkretni bloky..
    13.11.2016 15:23 fish | skóre: 22
    Rozbalit Rozbalit vše Re: správa velkého množství iptables pravidel
    Tak to částečně mám. Nejčastěji upravovanou část mám jako chain v odděleném skriptu, takže ho můžu volat sólo. Ale přišlo mi to jako provizorium, na to abych tak rozkouskoval celý ten hlavní skript. Takže nejdřív zkouším najít elegantnější řešení.

    Popravdě jsem zvažoval něco si na to napsat, co projde strukturu adresářů s dílčími skripty, založí chainy podle jejich názvů atd. Po prvním spuštění už by se daly ty bloky volat podle potřeby. Ale přijde mi zbytečný se do toho pouštět, pokud už by něco obdobnýho existovalo.
    Josef Kufner avatar 13.11.2016 15:43 Josef Kufner | skóre: 70
    Rozbalit Rozbalit vše Re: správa velkého množství iptables pravidel
    Napadají mne tři možné přístupy.
    1. Omezit počet pravidel. Asi k tomu máš nějaký důvod, ale asi by stálo za zamyšlení, zda není lepší cesta. Možná by obecnější pravidla mohla významně zredukovat počet pravidel při zachování srovnatelné bezpečnosti.
    2. Můžeš skriptem generovat soubor ve formátu pro iptables-restore. Pak využiješ výhod skriptu i výhod rychlého zpracování všech pravidel najednou.
    3. Můžeš skriptem pomalu vytvořit dočasný nepoužívaný chain. Pak jen upravit pravidlo, které ho volá a starý chain vyhodit. Úprava pravidel bude stále pomalá, ale nebude to vadit provozu.
    Hello world ! Segmentation fault (core dumped)
    13.11.2016 16:10 petzah | skóre: 1
    Rozbalit Rozbalit vše Re: správa velkého množství iptables pravidel
    nftables to rescue (nftables wiki

    nftables scripting
    13.11.2016 17:29 fish | skóre: 22
    Rozbalit Rozbalit vše Re: správa velkého množství iptables pravidel
    To vypadá dobře (a zároveň to dokazuje, že nejsem sám, kdo narazil na problém s možností skriptování pravidel). Bohužel v Debianu zatím jen jako backport. Aktuálně bych se potřeboval zaměřit na řešení pro stable a old-stable. Každopádně někde vyzkouším, díky.

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.