ipfw и over 9000 правил

Простые/общие вопросы по UNIX системам. Спросите здесь, если вы новичок

Модераторы: vadim64, terminus

Правила форума
Убедительная просьба юзать теги [cоde] при оформлении листингов.
Сообщения не оформленные должным образом имеют все шансы быть незамеченными.
AlexZagr
проходил мимо
Сообщения: 9
Зарегистрирован: 2012-08-21 9:11:02

ipfw и over 9000 правил

Непрочитанное сообщение AlexZagr » 2013-04-02 12:31:06

Перечитал разную документацию, но что-то непойму саму суть как сделать что-то типа древовидного файрвола, если такое вообще можно сделать.

Корень проблемы: нужно в ipfw (или другой FreeBSD firewall) добавить около 16000 правил, например

Код: Выделить всё

ipfw add 1000 allow ip from 192.168.0.1 to any
ipfw add 1001 allow ip from 192.168.0.2 to any
ipfw add 1002 deny ip from 192.168.0.3 to any
и т.д. Никакой закономерности в ip нет.

Если добавить такое на ненагруженый сервер то сразу съедается 5% CPU, но если его пригрузить трафиком то CPU ложится уже при 2000 правилах.

Вот я и ломаю голову как сделать, напимер, если сеть 192.168.0.0/24 то перейти к последовательному перебору правил по этой подсети, если нет то проверяем подходит ли ip под следующую подсеть.
Последний раз редактировалось f_andrey 2013-04-02 13:09:54, всего редактировалось 1 раз.
Причина: Автору. пожалуйста, выбирайте соответствующий раздел форума, оформляйте сообщение по человечески.

Хостинговая компания Host-Food.ru
Хостинг HostFood.ru
 

Услуги хостинговой компании Host-Food.ru

Хостинг HostFood.ru

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

Аватара пользователя
dmtr
ст. прапорщик
Сообщения: 545
Зарегистрирован: 2009-11-06 22:01:34
Откуда: с Ростова

Re: ipfw и over 9000 правил

Непрочитанное сообщение dmtr » 2013-04-02 12:55:53

Код: Выделить всё

ipfw table

не поможет?
This game has no name. It will never be the same.

Аватара пользователя
skeletor
майор
Сообщения: 2508
Зарегистрирован: 2007-11-16 18:22:04
Откуда: Kiev
Контактная информация:

Re: ipfw и over 9000 правил

Непрочитанное сообщение skeletor » 2013-04-02 13:54:56

Нагружается именно в момент добавления правил или в процессе работы? Если в момент добавления, то можете добавлять пачками, например, по 1000 правил.
"Винда съела дрова и резет здесь не фурычит."
"Все говорят, что у меня /dev/hands криво и я всё делаю через /dev/ass. А у меня этих фалов вообще нет!"

AlexZagr
проходил мимо
Сообщения: 9
Зарегистрирован: 2012-08-21 9:11:02

Re: ipfw и over 9000 правил

Непрочитанное сообщение AlexZagr » 2013-04-02 13:59:58

dmtr писал(а):

Код: Выделить всё

ipfw table

не поможет?
Стоит написать на форуме как сразу приходит прозрение, да table кажется то что нужно, вот собираюсь проверить под нагрузкой. Незнаю почему вначале откинул это решение.