ipfw или pf

[terminus]

Три года не прошло еще.

Там какая-то замутка с людьми кто сейчас отвечает за IPFW. Вроде как это Луиджи и его бригада. В прошлый раз был багатон, так я специально к ним в чат зашел и на этот ПР ткнул - вот мол, даже патч есть, типа все работает. Так энтузиастов разбирающихся в современном состоянии IPFW че-то не нашлось - закоммитить никто не взялся... Правда пообещали утрести вопрос о рассмотрении PRов связанных с IPFW - типа пусть Луиджи назначит кого-нить из своей бригады, а то почти никто ими не занимается.

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[Гость]

Три года не прошло еще.

Там какая-то замутка с людьми кто сейчас отвечает за IPFW. Вроде как это Луиджи и его бригада. В прошлый раз был багатон, так я специально к ним в чат зашел и на этот ПР ткнул - вот мол, даже патч есть, типа все работает. Так энтузиастов разбирающихся в современном состоянии IPFW че-то не нашлось - закоммитить никто не взялся... Правда пообещали утрести вопрос о рассмотрении PRов связанных с IPFW - типа пусть Луиджи назначит кого-нить из своей бригады, а то почти никто ими не занимается.

[Гость]

релиз 8.2
1. NAT_BUF_LEN не поправили (тянется из 7.0, прошло 3 года? )
2. ipfw не научился натить сетка в сетку

пичаль

[hizel]

нытики такие нытики

[Гость]

Нытики - не нытики, но заметил, что почти все nix серваки как-то незаметно перевелись на люникс. Виртуализация, то, сё. Фряха осталась на почтовике, работает не трожь, и netbsd на dns'е (взамен freebsd 4 на древнющем сервере).

Казалось бы, куда уж проще, есть проблема с NAT_BUF_LEN, есть воркэраунд. Что сиськи мять годами? Неужели разработчикам трудно поменять константу в сорце.

[hizel]

давай уж пруфлинк простой ты наш :-)

[hizel]

http://www.freebsd.org/cgi/query-pr.cgi?pr=143653 это?

похоже увеличение переменной не решение проблемы, надо бы переписать эту штку на связанный список и сделать, что то типа

Код: Выделить всё

ipfw nat 1 config add redirect_port tcp 127.0.0.1:14405

в юзерлевеле и не плодить партянки ни в ядре ни в юзерлевеле :-|

[Гость]

чётко-дерзкий-ровно-сложный Дядя, протяните патч в апстрим, пажалста.
На прошлой странице :

Код: Выделить всё

terminus писал(а):У-у-у. :x А что ты сделал для хип-хопа в свои годы?!?

Сходил, поискал PRы с такой же бедой - не нашел.
Написал новый PR http://www.freebsd.org/cgi/query-pr.cgi?pr=143653

[Гость]

http://www.freebsd.org/cgi/query-pr.cgi?pr=143653 это?

похоже увеличение переменной не решение проблемы

Оно самое. Ну пусть это некрасивое решение, но как временное вполне допустимое. Кампелять ядро после каждого патча pXX еще менее удобно и красиво.

[vadim64]

подписка. тема охуенна

[hizel]

я не проталкиваю в апстрим, это вам к bu7cher, тем более что у него фаервол в инетресах

[icb]

http://www.freebsd.org/cgi/query-pr.cgi?pr=143653 это?
похоже увеличение переменной не решение проблемы, надо бы переписать эту штку на связанный список и сделать, что то типа

Код: Выделить всё

ipfw nat 1 config add redirect_port tcp 127.0.0.1:14405

в юзерлевеле и не плодить партянки ни в ядре ни в юзерлевеле

А что делать все это время пользователям ipfw?
То one_pass сломают, то больше 10 редиректов нельзя... вот и приходится (именно приходится) уходить от использования ipfw

[hizel]

я не вижу тут драмы, в FreeBSD натыкали вагон фаерволов и есть инструкция как они могут работать одновременно :-)
согласитесь что те изменения которые привели к этим ошибкам были необходимо, а то ipfw был похож на засохшую какшку мамонта

[icb]

в FreeBSD натыкали вагон фаерволов и есть инструкция как они могут работать одновременно :-)

Зачем плодить зоопарк? Лучше ведь использовать 1 средство. Вот у меня на сервере больше 20 редиректов, и приходится ставить pf. Зачем мне оставлять ipfw (и осуществлять поддержку 2-х фаерволов), если я все могу сделать на одном pf?

согласитесь что те изменения которые привели к этим ошибкам были необходимо

Возможно (тут мне сложно судить), но эти изменения сделали невозможным работу ipfw на многих серверах. Если нет возможности сделать рабочее средство, то зачем сначала ломать старое? Обычно (нормальные программисты) сначала делают новое средство, и только потом отключают старое.

[hizel]

Зачем плодить зоопарк? Лучше ведь использовать 1 средство. Вот у меня на сервере больше 20 редиректов, и приходится ставить pf. Зачем мне оставлять ipfw (и осуществлять поддержку 2-х фаерволов), если я все могу сделать на одном pf?

я вас и не заставляю, пользуйтесь как хотите

Возможно (тут мне сложно судить), но эти изменения сделали невозможным работу ipfw на многих серверах. Если нет возможности сделать рабочее средство, то зачем сначала ломать старое? Обычно (нормальные программисты) сначала делают новое средство, и только потом отключают старое.

это не всегда возможно

[vadim64]

согласитесь что те изменения которые привели к этим ошибкам были необходимо, а то ipfw был похож на засохшую какшку мамонта

а можно по подробнее? линки есть под рукой?

[hizel]

да какие линки :-)
добавление kernel nat не нужно было, например?

[vadim64]

всё))) вопросы сняты

[icb]

я вас и не заставляю, пользуйтесь как хотите

Я к тому, что сейчас многие в очередной раз задумываются о смене фаервола. И многие сменят. Постепенно количество пользователей ipfw будет уменьшаться. Разработчики будут видеть, что их фаервол уже мало кому нужен. У них будет желание развивать софт? Нет Вот так может постепенно и умереть хороший фаервол

добавление kernel nat не нужно было, например?

А какой толк это этого nat без нормально работающего проброса портов?

[Alpha]

К вопросу о доступности руководств.

Если сравнивать не переведённые руководства для IPFW (на FreeBSD.org) и IP (на OpenBSD), то последнее явно богаче!

Если сравнивать русские руководства, то в хендбуке описаны все фаерволы, но IPFW до сих пор не переведён. Это, в принципе, компенсируется сайтом lissyara.su, на котром много хороших руководств по ipfw и всего лишь два по pf. Где бы раздобыть такие же (на русском) по PF?

[LMik]

Таки не понял что мешает ручками пропатчить NAT_BUF_LEN и не ныть? В этом и проблема ушедших в линух, всё готовое, и ум перестает работать, к сожалению.

[терминус_]

Таки не понял что мешает ручками пропатчить NAT_BUF_LEN и не ныть? В этом и проблема ушедших в линух, всё готовое, и ум перестает работать, к сожалению.

NAT_BUF_LEN уже пропатчен
http://www.freebsd.org/cgi/query-pr.cgi?pr=143653

Number: 143653
Category: kern
Synopsis: [ipfw] [patch] ipfw nat redirect_port "buf is too small" error
Severity: serious
Priority: medium
Responsible: glebius
State: closed
Class: sw-bug
Arrival-Date: Sun Feb 07 19:40:02 UTC 2010
Closed-Date: Fri Jul 08 14:32:20 UTC 2011
Last-Modified: Fri Jul 8 14:40:00 UTC 2011

[vadim64]

блин, круто всё таки
ну вот читаешь ссылку от терминуса и понимаешь на сколько ты бесполезен для проекта и неграмотен
пользу могу принести только баблом, а бабла чёт нету и нету

[Alex Keda]

что, зарепортить ошибку неспособен, чтоли?

[vadim64]

а мне чё то ошибки не попадаются на стейбле
или я не способен их опознать
на карент нада садится, хотя бы парочку не очень ответственных серваков пересадить