Egy, az OpenBSD-sek által már 2011-ben javított pf hibát fixált most a FreeBSD

Az alábbi alapján az ipfilter az kb kuka , godolom semmilyen SMP fícsört nem kapott az elmúlt 1x évben.

https://github.com/ocochard/netbenches/blob/master/Xeon_E5-2697Av4_16Co…

Azért az se baj, ha az ember ránéz a szabályrendszerre, és el tudja olvasni. (Igen, az nftables is eszembe jutott, de az még túl új.)

Nyilván, ha egy funkciót nem implementáltak, akkor nem fogom tudni megcsinálni - a felhozott három példádra ezért értelemszerűen max másfél választ tudok adni:

ipfw add check-state

ipfw add deny tcp from any to any established

ipfw add allow tcp from any to 192.168.1.5 80 in setup keep-state # a setup helyett is lehet tcpflags syn,!ack, ha ez jobban tetszik

Értelemszerűen hiányzik a state timeout, amit írtál is. Ezt explicit le is írja a doksi, hogy globális sysctl-ekkel szabályozható.

A max-scr-conn -ra ezt találtam, nem tudom mennyire fedi le, szerintem ez ugyanaz:

     To limit the number of connections a user can open you can use the
     following type of rules:

           ipfw add allow tcp from my-net/24 to any setup limit src-addr 10
           ipfw add allow tcp from any to me setup limit src-addr 4

Cserébe lehet dst-addr vagy port is, nem csak IP. Ezt a max-src-conn-rate -et *talán* a dummynetbe bele lehet szuszakolni, azt baromi rég néztem - de kétlem.

Csak hogy egyértelmű legyen: nem kutalkodtam, hogy melyik funkció mikor került bele az ipfw-be, ez most a gépemen levő 14.0 (most már -p2) manjában volt benne.

Ugyanebben az általad idecitált Handbookban a PF rész ezzel kezdődik:

Azaz aki nem vak, az legalább kap egy figyelmeztetést - nem úgy, mint amikor a fél világ kevéssé biztonságosan használta a félrepeccselt a szoftvert :-P

Ja, ki mit használ? Rakj ki róla szavazást!

Mintha az ipchains előtt is lett volna valami, de ezen túlmenően nem szabad elfelejtkezni arról, hogy vannak az ilyen apróságok, mint at egyes disztrók által előszeretettel reszelt firewalld, meg ufw meg - régebben suse-firewall - meg még mit tudom én micsoda. És addig nincs baj, amíg te csak iptables parancsokkal operálsz, de ha bárki elkezdi bármiféle előtétprogramokkal baszogatni, akkor abból minden lesz, de főleg káosz. Én erre gondoltam leginkább.

Ja van iptables frontend az nft-hez (iptables-nft ), ami nft rulesetet generál a kernelbe ez a default általában az újabb disztrókban (Deianban pl 11 óta). Meg van az iptables-legacy ami iptables ruleokat generál a kernelbe bele, pl a Proxmox békésen ezt használja a 12-es Debian-on most is.

Aztán amikor olyan extensionra fut rá az iptables-nft rule generátor ami nftablesben nem létezik (vagy mert sz*rtak megírni a rule transzlátort) akkor berántja a megfelelő XT_ akármi modult aztán pillázol ki kivel van.

Az egészért jár egy virtuális tockos az egész bagázsnak aki ezt kitalálta.

És nem segít az nftables elterjedésén (végülis még csak 2014 óta van a 3.13-ban jelent meg , bár kb a  4.9-ben lett használható), hogy amúgy egészen "kis" projektek pl Proxmox, Docker, Libvirt nagy ívben sz*rnak megírni a natív nftables támogatást.

_újra_

De nyilván értetted. Amúgy értelemszerűen nem várom el, hogy egyetérts Bízom benne, hogy nem olyan környezetben dolgozol, ahol egyidejűleg kell ugyanazt a tűzfalszabályt 6 különböző nyelven is megírni.