ipfw или pf

[airmax]

Единственное что я тебе скажу что увидев PF я влюбился в этот фаервол...
...но всеравно PF + pftop, pfstat и в конце tcpdump это отлично, по крайней мере во мне изучая PF зародились задатки параноидальности понимания текущих дел происходящих на маршрутезаторе. ....

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[Alex Keda]

ipfw - наше фсё

[cool-bmb]

да какая разница и это не повод для споров нет ничего идеального везде свои не достатки и преимушества так что народ учите все

[Саша Кравцов]

на толстых каналах pf сосёт причмокивая ^_^

Угу, 4 гигабита через pf на опёнке идёт ещё в добавок bgpd стоит, и сасёт так сасёт, аж причмокивает )

Шутник )

[ViktorichZ]

где-то читал что ipfw быстрее работает нежели pf... если учесть, что с недавних пор удачно реализована поддержка nat+ipfw в ядре, то я выбрал ipfw, хотя pf очень гибок в настройках...

[hizel]

на толстых каналах pf сосёт причмокивая ^_^

Угу, 4 гигабита через pf на опёнке идёт ещё в добавок bgpd стоит, и сасёт так сасёт, аж причмокивает )

Шутник )

тю, что такое 4 гигабита, pps какой? сказочник :]

[Саша Кравцов]

на толстых каналах pf сосёт причмокивая ^_^

Угу, 4 гигабита через pf на опёнке идёт ещё в добавок bgpd стоит, и сасёт так сасёт, аж причмокивает )

Шутник )

тю, что такое 4 гигабита, pps какой? сказочник :]

Скажи чем тебе обмерить pps ? сказочник :]

[Саша Кравцов]

где-то читал что ipfw быстрее работает нежели pf... если учесть, что с недавних пор удачно реализована поддержка nat+ipfw в ядре, то я выбрал ipfw, хотя pf очень гибок в настройках...

Спасибо, посмеялся.

[hizel]

все с тобой понятно тролюшко :]

[Саша Кравцов]

все с тобой понятно тролюшко :]

С тобой тоже, незнайко

[UStas]

Вот такой вопрос, можно ли на лету в pf добавлять правила нарезки и так-же на лету нужные выдергивать.

В холиваре не участвую, просто ищу решение для задачи:
Есть 3 сервера, 1. BGP в мир, 2. BGP к пирингам 3. MPD для клиентов, данный сервер имеет BGP сессии с двумя вышеперечисленными.

Задача: Порезать скорость абонентам по направлению к пирам до 10 метров а в направлении мира до тарифной скорости.

Возможное решение: Режем через ng_car на MPD всех до 10 метров и при if_up передаем на сервер который маршрутизирует мир IP-адрес абонента и скорость до которой надо нарезать.

Так вот, чем на этом сервере нарезать так чтоб на лету вставлять ограничения для определенных адресов и так же на лету их убирать.

[hizel]

в pf только через якоря:
http://house.hcn-strela.ru/BSDCert/BSDA ... pf-anchors\\

или ipfw
или ng_bpf+ng_car

[Laa]

Скажи чем тебе обмерить pps ? сказочник :]

те, кто админит каналы в 4гбит обычно такие вопросы не задают.

померять можно так, jfyi :

Код: Выделить всё

netstat -w1 -I em2

[UStas]

в pf только через якоря:
http://house.hcn-strela.ru/BSDCert/BSDA ... pf-anchors\\

или ipfw
или ng_bpf+ng_car

IPFW очень удобно конечно, но боюсь помрет

правила фильтрации действительно через якоря удобно вставляются. а вот в очередь можно ли как-то добавить на лету еще одну трубу ?

есть к примеру 1000 подписчиков на которых имеется 8 видов скоростей. мне получается в случае pf надо в каждом направлении в ALTQ положить 8000 труб чтоб потом в нужные якорями загонять трафик ?

[freeman]

родите на pf простую политику партии:
распределить ширину канала равномерно на всю подсеть за роутером
и ipfw будет не нужен вам

:]

+1
Использую PF с его встроенным NAT и ALTQ
Приведенные выше вопросы, единственные с чем я сталкивался, где IPFW, вернее dummynet умеет то, для чего ALTQ в PF не предназначен видимо изначально.
Итого для некоторых вопросов dummynet предпочтительнее altq и наоборот

Несмотря на схожесть в смысле разспеделения полосы, смысл разный.
ALTQ - реализовует QoS дисциплины.
DummyNet - это чистый шейпер трафика.
Да, используя ALTQ 5-10ти машинам можно "нарезать" трафик. Но когда больше - начинаются проблемы.
Ну не предназначено оно для этого...

Ну смысл не в количестве машин, а требований к динамической перестройке "полос пропускания"

Честно говоря, не очень понятно, зачем такая задача вообще стоит...

Городская пионернет с тарифами - половина анлимов с гарантированной скоростью, половина с помегабайтной оплатой. Так вот 2м надо равномерно раздавать всю свободную полосу, оставшуюся после х качающих анлимщиков. Задача с многими неизвестными, не предназначенная для ALTQ.
Правда таких задач скоро не останется т.к. все переходят на CISCO и анлимные тарифы онли.

Вот пример - за шлюзом в сети 10 человек, все поставили на закачку через NAT большие файлики (по 500 Мб) - через некоторое время у каждого будет примерно одинаковая скорость закачки...

Ни разу не видел, чтобы кто-то умудрился захавать большую часть полосы...

ALTQ используете с RED хотя бы ? Я без них отлично видел как один p2p клиент забивает канал остальным 9ти качальщикам.

[Гость]

Кстати красноглазие с NAT_BUF_LEN в ipfw в релизе 7.2 так и не поправили...
Суть проблемы:
http://www.bsdportal.ru/viewtopic.php?p=109755

В восьмерке хоть поправили?

[terminus]

В 7.2-STABLE поправили, значит и в 8.0 должно уже работать...

[mnz_home]

Кстати красноглазие с NAT_BUF_LEN в ipfw в релизе 7.2 так и не поправили...
Суть проблемы:
http://www.bsdportal.ru/viewtopic.php?p=109755

Сегодня устанавливал 8.0, а воз и ныне там. Когда же удастся отойти от красноглазия с пересборкой ядра и ipfw?

[Гость]

Кстати красноглазие с NAT_BUF_LEN в ipfw в релизе 7.2 так и не поправили...
Суть проблемы:
http://www.bsdportal.ru/viewtopic.php?p=109755

Сегодня устанавливал 8.0, а воз и ныне там. Когда же удастся отойти от красноглазия с пересборкой ядра и ipfw?

Ты че, ставь pf и не заморачивайся с этими ядрами вообще

[terminus]

У-у-у. А что ты сделал для хип-хопа в свои годы?!?

Сходил, поискал PRы с такой же бедой - не нашел.
Написал новый PR http://www.freebsd.org/cgi/query-pr.cgi?pr=143653

Подожем чего ответят.

[Гость]

Подожем чего ответят.

http://svn.freebsd.org/base/head/sys/netinet/ip_fw.h отвечает что воз и ныне там

[уже_линуксоид)]

У-у-у. А что ты сделал для хип-хопа в свои годы?!?

Сходил, поискал PRы с такой же бедой - не нашел.
Написал новый PR http://www.freebsd.org/cgi/query-pr.cgi?pr=143653

Так и не сделано ничего за полгода. Что-то фряшка совсем оплошала последнее время.

[terminus]

У-у-у. А что ты сделал для хип-хопа в свои годы?!?

Сходил, поискал PRы с такой же бедой - не нашел.
Написал новый PR http://www.freebsd.org/cgi/query-pr.cgi?pr=143653

Так и не сделано ничего за полгода. Что-то фряшка совсем оплошала последнее время.

Тихо! Чепай думает...
Тише едешь - дальше будешь.
Работа не волк - в лес не убежит.
Кто понял жизнь - тот не спешит.
А может оно само пройдет?

[_vadim64]

Мне тут как то по осени по моему терминус на форуме отвечал на вопрос типа сабж + SMP что PF всё же выходец из OpenBSD, разработчики которого не торопятся оптимизировать своё детище под многопроцессорные системы. Это ответ на частный случай вопроса.

[Гость]

Написал новый PR http://www.freebsd.org/cgi/query-pr.cgi?pr=143653

Подожем чего ответят.

"Оперативно" латают баги в фаерволе.