forum.opennet.ru

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Оглавление

Выпуск межсетевого экрана firewalld 1.2, opennews (?), 02-Июл-22, (0) [смотреть все]

Чем это лучше ufw и удобного gufw , Alladin (?), 11:58 , 02-Июл-22, (1) –3 //

они обертки а он уровнем ниже и г-о , псевдоеимус (?), 14:22 , 02-Июл-22, (18) +1
Он лучше буквально во всём Попробуй и сам поймёшь Разработчикам респект и уваж, Anonim (??), 15:44 , 02-Июл-22, (34) +3
Ничем Как видишь суффикс d - выпиливай под корень , Аноним (56), 23:27 , 02-Июл-22, (56) –2 //

Начни с ntpd , Аноним (63), 14:12 , 03-Июл-22, (63) +2 //

В centos он выпилен в пользу chrony , Минона (ok), 15:59 , 04-Июл-22, (85)

Так chronyd же Придется выпиливать 1691 S 0 00 usr sbin ch, Аноним (90), 10:18 , 05-Июл-22, (90)

Ну httpd заменим на nginx atd, crond - выкинуть заменив systemd-timers smbd - , Аноним (90), 10:20 , 05-Июл-22, (91)

iptables и так надстройка над netfilter зачем дополнительная надстройка над надс, Аноним (2), 11:59 , 02-Июл-22, (2) +9 //

Когда иптаблесы заменяют на нфтаблесы, не все успевают или горят желанием погруж, DeerFriend (?), 12:17 , 02-Июл-22, (7) +3 //

так при смене бинарнечек и делает все поправки что то типа iptables-old пихаеш, Аноним (2), 13:27 , 02-Июл-22, (12) +3 //

чтобы было непонятно, как обрабатывается пакет магия, ололо , псевдоеимус (?), 14:23 , 02-Июл-22, (19) +4

не надстройка, а пользовательский интерфейс для управления Желаю удачи юзать ne, anonymouse (?), 13:25 , 02-Июл-22, (11) +1 //

пасибо уже юзаю без надстроек, чего и всем желаю, Аноним (2), 13:27 , 02-Июл-22, (13) +1

Ждём в Debian , Олежа (?), 12:02 , 02-Июл-22, (3) –1 //

Не жди, просто поставь из репозиториев Не знаю, как в Debian, но в Ubuntu 20 04 , Аноним (14), 13:38 , 02-Июл-22, (14) –1

прям ngfw какой-то, Sw00p aka Jerom (?), 12:02 , 02-Июл-22, (4) //

И в каком месте , QwertyReg (ok), 14:40 , 02-Июл-22, (23) –2 //

в том, что при создании правил отталкивается от сервисов аппликейшенов именн, Sw00p aka Jerom (?), 14:51 , 02-Июл-22, (24) +2 //

Разве данная программа разбирает какието протоколы Она отталкивается от алиасов, ыы (?), 15:24 , 02-Июл-22, (29)

вот и написал прям ngfw какой-то , то есть - не разбирает протоколы, но оперир, Sw00p aka Jerom (?), 15:30 , 02-Июл-22, (31) +2

Релиз обёртки над фаерволлами Называйте вещи своими именами , Аноним (5), 12:05 , 02-Июл-22, (5) +5 //

Что не является оберткой и как этим управлять , Ку (?), 19:36 , 02-Июл-22, (48) //

ну дык истинный бог который онные атомы для оберток и наштамповал управлять, , pfg21 (ok), 14:56 , 04-Июл-22, (81)

И насколько роняет производительность эта безопасность В ядре безопасности роня, Аноним (9), 13:16 , 02-Июл-22, (9) –5
Динамически изменять правила пакетного фильтра через D-Bus - это так важно для с, ixpert (?), 13:56 , 02-Июл-22, (15) //

Кроме твоего локалхоста существует ещё столько всего 8212 целый мир Подрасте, Аноним (63), 14:32 , 02-Июл-22, (22) //

ваша убогая шутка про localhost настолько в тему, что это убожество только и зап, ixpert (?), 15:16 , 02-Июл-22, (27) //

здесь это самая уместная шутка, ведь уровень комментаторов ей полностью соответс, Аноним (67), 18:59 , 03-Июл-22, (67)

вообще все настройки делаютя на фаерволах инфраструктуры циски жуниперы брокейд, Aninim (?), 17:44 , 02-Июл-22, (38) //

А вот и мамкины ибэшники подъехали, у которых внутри домашнего ланчика фаерволлы, Аноним (71), 20:29 , 03-Июл-22, (71)

V ланчика, 1 (??), 11:39 , 04-Июл-22, (75)

Это точно, поголовно лезут в IT даже те кто ничерта в этом не понимает и в целом, bOOster (ok), 11:29 , 04-Июл-22, (74) +1

Если ссх не на 22 порту, оно сработает , ананоша (?), 14:14 , 02-Июл-22, (16) //

конечно, откроет вам тупо 22 порт, тут список usr lib firewalld services xml , Sw00p aka Jerom (?), 14:57 , 02-Июл-22, (25) +1 //

а выражения в элементах поддерживает что-то вроде port protocol select proto f, ыы (?), 15:13 , 02-Июл-22, (26) //

должен если ngwf, Sw00p aka Jerom (?), 15:31 , 02-Июл-22, (32)

Так для этого поддерживается добавление своего сервиса sshd-my-cool-port , Аноним (90), 10:22 , 05-Июл-22, (92)

мало того, что убогое, так еще завязано на дбус и после этого линуксоиды смеются, псевдоеимус (?), 14:14 , 02-Июл-22, (17) –1 //

я кайфую от PF особено его таблички искаропки, и не надо, что то типа ipset горо, Anonimussh (?), 17:48 , 02-Июл-22, (39)
твою биографию тут все уже наизусть знают, Аноним (67), 19:00 , 03-Июл-22, (68) +1
В БЗДе нет Дбус , Аноним (78), 14:07 , 04-Июл-22, (78) //

В базовой системе конечно нет, нахрена там этот дерибас Уязвимости собирать Ес, BorichL (ok), 15:52 , 04-Июл-22, (83) +1
штатно конечно нет омнопроги тянут по зависимостям , псевдоеимус (?), 19:27 , 05-Июл-22, (96)

https play google com store apps details id app greyshirts firewallтакое надо , Брандмауэр без Root (?), 14:30 , 02-Июл-22, (21)
Это же классно Можно описать сервисы своими именами потом выдавать команды fire, ыы (?), 15:21 , 02-Июл-22, (28) //

залетаешь такой и начинает исслудование и раскопки что и где накручено наверчено, нига (?), 17:49 , 02-Июл-22, (40) +1 //

так для того же и сделано разве нет , ыы (?), 19:22 , 02-Июл-22, (43)

Это фигня Куда важнее фича что можно открыть порт на минуту или на 10 минут, ти, Аноним (90), 10:24 , 05-Июл-22, (93) //

Вот наивные - думают, что это некий эксклюзив firewalld и что только благодаря f, gapsf2 (ok), 11:26 , 05-Июл-22, (94) //

Брр Почему только Это очевидно делается руками или через крон Просто firewa, Аноним (90), 12:36 , 05-Июл-22, (95) +1

Прекрасно Главное не узнать что пользоваться алиасами вовсе не обязательно это, ыы (?), 15:28 , 02-Июл-22, (30) //

у микроскопов тоже есть такая опция как забивать гвозди , Sw00p aka Jerom (?), 15:32 , 02-Июл-22, (33) +1

iptables nftables и так обновляют правила в ядре без разрыва соединений nftables, Аноним (36), 17:23 , 02-Июл-22, (36) +4 //

И, да, firewalld это просто обертка, которая генерит набор правил iptables nftab, Аноним (36), 18:03 , 02-Июл-22, (41) +1 //

Изучал что эта обертка генерит на выходе - ужаснулся и после этого на норм проек, An0nim0us (?), 20:15 , 02-Июл-22, (51) –2 //

давай конкретный воспроизводимый пример, трепло, Аноним (67), 19:05 , 03-Июл-22, (69) +1

Более того, при попытке сделать конфигурацию отличную от локалхост хомячка - т, ыы (?), 19:26 , 02-Июл-22, (45) +1

Э то есть там для каждого приложения нужна своя поддержка Ужас какой , BrainFucker (ok), 18:17 , 02-Июл-22, (42) //

Речь просто про более фичастый вариант бывшего etc services который некорректе, Аноним (90), 22:30 , 06-Июл-22, (98)

Когда сделают фильтр по имени процесса, просящего доступ в сеть Чтобы я себе мо, Аноним (44), 19:25 , 02-Июл-22, (44) //

Когда доля линукса на десктопе станет больше погрешности измерения - сразу же по, ыы (?), 19:27 , 02-Июл-22, (46) //

Иными словами - никогда , Аноним (49), 19:42 , 02-Июл-22, (49)

сделали, примерно в 2005-м году И даже как всегда,более чем одним способом , slepnoga (??), 19:44 , 02-Июл-22, (50)
С этим все непросто Когда-то можно было фильтровать по pid, но это убрали И прям, gapsf2 (??), 21:27 , 02-Июл-22, (52) //

мониторит прок судя по коду вообще лютое г, Аноним (-), 23:03 , 02-Июл-22, (54)

на винде это уже проходили через несколько итерций пришли к подписанным бинарник, john_erohin (?), 07:43 , 03-Июл-22, (58) –1
Вы хотите аналог Windows Filtering Platform В Windows много файрволов, но один п, Аноним (59), 09:44 , 03-Июл-22, (59)
Уже давно сделали, давно юзаю и вам желаю https github com evilsocket opensnit, Qanon (?), 12:56 , 03-Июл-22, (61)
Давно сделали, но ты не осилил Называется SELinux , Аноним (63), 14:17 , 03-Июл-22, (64) +1
Когда ты опишешь надёжный, непротиворечивый и невзламываемый метод определения и, Аноним (71), 20:32 , 03-Июл-22, (72) //

Зачем его определять Он известен изначально Вы вероятно думаете, что процесс , ыы (?), 09:25 , 04-Июл-22, (73) //

Просто ты не отличаешь L4 файрвол от L7 файрвола , Аноним (99), 12:24 , 08-Июл-22, (99)

Башескритования не понимаешь Можно по PID А чтобы его получить, есть Bash , Аноним (78), 14:14 , 04-Июл-22, (79)
Вероятно ты вообще слабо понимаешь, что это, зачем это и как всё это работает Х, BorichL (ok), 15:57 , 04-Июл-22, (84) //

это в линухе так файрвол стоит гдето там на роутере и имеет пару правил А в , ыы (?), 20:34 , 04-Июл-22, (88) //

Насчёт адекватности такой ОС есть большие сомнения Ну для мамкиного хакера така, BorichL (ok), 21:07 , 04-Июл-22, (89)

Нужен systemd-firewalld, Аноним (53), 22:22 , 02-Июл-22, (53) +1 //

и systemd-firefox ну и иногда systemd-tuxracerd, Аноним (-), 23:04 , 02-Июл-22, (55) +2 //

Былоб так круто Разрешаю, реализовывайте , microsoft (?), 13:39 , 03-Июл-22, (62)

о, завсегдатаи с шутками за 100 опеннет стабилен, Аноним (67), 19:09 , 03-Июл-22, (70) +2

И тут они обнаружили фатальный недостаток , Аноним (57), 01:11 , 03-Июл-22, (57)
Спасибо, не знал, что интерфейсы есть , Аноним (-), 11:35 , 03-Июл-22, (60) +3 //

Какввенде , Аноним (78), 14:16 , 04-Июл-22, (80)

firewalld - пришло твое время p s этож все для неосиляторов nftables iptables n, Annno (?), 16:09 , 03-Июл-22, (65)
т е если я файл своей кривой поделки проименую ssh то получу все возможности ss, pfg21 (ok), 12:09 , 04-Июл-22, (76) //

Да Ну допустим Схуали Штирлиц подумал мысль Ему понравилось и он подумал ещ, ыы (?), 13:22 , 04-Июл-22, (77) //

срояли йопт, оно ж того именования сервисов читает, а эта вещчъ гвоздями не приб, pfg21 (ok), 14:59 , 04-Июл-22, (82) //

из простого текстового файла, который никакого отношения ни к реальным сервисам,, ыы (?), 20:31 , 04-Июл-22, (87)

когда уже появиться mycomputerd , Аноним (97), 11:11 , 06-Июл-22, (97)

Сообщения [Сортировка по времени | RSS]

44. "Выпуск межсетевого экрана firewalld 1.2" +/–

Сообщение от Аноним (44), 02-Июл-22, 19:25

Когда сделают фильтр по имени процесса, просящего доступ в сеть? Чтобы я себе мог просто белы список процессов составить.
Столько лет Линуксу, а такой базовой фичи нет для пользователя недоверенных программ. Может я чего не понимаю.

Ответить | Правка | Наверх | Cообщить модератору

46. "Выпуск межсетевого экрана firewalld 1.2" +/–

Сообщение от ыы (?), 02-Июл-22, 19:27

Когда доля линукса на десктопе станет больше погрешности измерения - сразу же появится... Наверное :)

Ответить | Правка | Наверх | Cообщить модератору

49. "Выпуск межсетевого экрана firewalld 1.2" +/–

Сообщение от Аноним (49), 02-Июл-22, 19:42

Иными словами - никогда)

Ответить | Правка | Наверх | Cообщить модератору

50. "Выпуск межсетевого экрана firewalld 1.2" +/–

Сообщение от slepnoga (??), 02-Июл-22, 19:44

>Когда сделают фильтр по имени процесса, просящего доступ в сеть..
сделали, примерно в 2005-м году.И даже как всегда,более чем одним способом.

Ответить | Правка | К родителю #44 | Наверх | Cообщить модератору

52. "Выпуск межсетевого экрана firewalld 1.2" +/–

Сообщение от gapsf2 (??), 02-Июл-22, 21:27

С этим все непросто.
Когда-то можно было фильтровать по pid, но это убрали.
И прям по имени процесса или файла скорее всего никто никогда в ядре уже делать не будет, т.к. с точки зрения ядерщиков, все что можно сделать в юзерспейс не надо тащить в ядро.
Кроме того имя процесса/команды неоднозначно: их может быть несколько.
Для входящих соединений определить процесс, который получит пакет в общем случае затруднительно.
В любом случае придется самому мастерить, сам я таким не занимался.
На данный момент с помощью iptables можно фильтровать по
-m cgroup --path...
По сути это  все, что доступно непосредственно по процессам.
1 Пробовать/смотреть куда системд пихает процесс в cgroups и использовать -m cgroup --path если получится
2 Пробовать по разному использовать network namespaces
https://unix.stackexchange.com/questions/68956/block-network...
Причем в каждом пространстве имен собственные интерфейсы, таблицы маршрутизации и набор правил фаервола.
Наверное это самый перспективный и гибкий вариант.
3 Запускать приложения под другим пользователем и использовать для фильтрации
-m owner...
4 Пробовать selinux, apparmor, ясно что это гемор, хотя...
https://askubuntu.com/questions/679474/how-to-block-internet...
Т.е. apparmor настроить не очень сложно и можно прям по путям в фс огрничения делать.
Тоже неплохой вариант.
5 Пробовать готовые проги, я нашел
https://github.com/evilsocket/opensnitch
https://douaneapp.com/
Эти проги gui и интерактивные, как именно они реализуют этот функционал - над смотреть исходники.
Как видно вариантов много, поэтому ждать реализации этого прямо в ядре+iptables/nftables нет смысла.

Ответить | Правка | К родителю #44 | Наверх | Cообщить модератору

54. "Выпуск межсетевого экрана firewalld 1.2" +/–

Сообщение от Аноним (-), 02-Июл-22, 23:03

мониторит прок судя по коду. вообще лютое г

Ответить | Правка | Наверх | Cообщить модератору

58. "Выпуск межсетевого экрана firewalld 1.2" –1 +/–

Сообщение от john_erohin (?), 03-Июл-22, 07:43

> фильтр по имени процесса
на винде это уже проходили.
через несколько итерций пришли к подписанным бинарникам или хэшам.
не надо так.

Ответить | Правка | К родителю #44 | Наверх | Cообщить модератору

59. "Выпуск межсетевого экрана firewalld 1.2" +/–

Сообщение от Аноним (59), 03-Июл-22, 09:44

Вы хотите аналог Windows Filtering Platform?
В Windows много файрволов, но один пласт API для написания собственного файрвола. В Linux, наоборот, один файрвол и куча разных несовместимых API для его настройки.
> Столько лет Линуксу, а такой базовой фичи нет для пользователя недоверенных программ. Может я чего не понимаю.
Да, вы не понимаете объем задачи: https://docs.microsoft.com/en-us/windows/win32/fwp/windows-f...
Даже если брать ту "мизерную" функцию с всплывающими окошками, разрешить процессу то-то и то-то, придётся реализовать RPC. Тут две проблемы:
- ответственность и её перекладывание. Для разработчиков ядра userspace как бы "вне зоны ответственности". Вечная игра в горячую картошку.
- драматизм вокруг RPC. На стороне ядра и в юзерспейсе должно находиться единое RPC, манипулирующее сложными структурами данных. Помните эпопею про kdbus и то как его не приняли (по вполне техническим причинам) дальнейшие попытки переизобрести "нормальное" RPC вроде проекта bus1, не знаю насколько оно живое.
Далее прочитайте этот же тред выше и пронаблюдайте количество болезных истеричек у которых dbus воду в кране выпил и как это "не нужно на сервере". В Linux очень много RPC-подсистем с убогой архитектурой. Одна из них Netlink, которая есть в ядре, но отстаёт от требований юзерспейса. Вот её надо менять для решения целого ряда задач, но там же визгу будет...
D-Bus сам по себе при этом мягко говоря не эталон. Он слишком сложен и перегружен функционалом, потому что это универсальная шина IPC+RPC. Нужен аналог COM+/DCOM, работающий в клиент-серверном режиме без всякого Multicast-а и не зависящий от сетевой подсистемы. Но такого API в ядре нет.
> Чтобы я себе мог просто белы список процессов составить.
В Windows можно не только белый список составить, там можно еще и взять список и настроить так чтобы на определенные процессы траффик не проходил без аутентификации и шифрования ipsec. То есть файрвол пропустит входящий траффик к порту только если есть ipsec и пользователь такой-то и с компьютера такого-то. Но научить линуксоидов ipsec-у для создания демилитаризованных зон... они единственное своё юзерспейсное RPC выпиливают в порыве белой горячки. Всё это малореализуемо.

Ответить | Правка | К родителю #44 | Наверх | Cообщить модератору

61. "Выпуск межсетевого экрана firewalld 1.2" +/–

Сообщение от Qanon (?), 03-Июл-22, 12:56

Уже давно сделали, давно юзаю и вам желаю https://github.com/evilsocket/opensnitch

Ответить | Правка | К родителю #44 | Наверх | Cообщить модератору

64. "Выпуск межсетевого экрана firewalld 1.2" +1 +/–

Сообщение от Аноним (63), 03-Июл-22, 14:17

Давно сделали, но ты не осилил. Называется SELinux.

Ответить | Правка | К родителю #44 | Наверх | Cообщить модератору

72. "Выпуск межсетевого экрана firewalld 1.2" +/–

Сообщение от Аноним (71), 03-Июл-22, 20:32

> Когда сделают фильтр по имени процесса, просящего доступ в сеть?
Когда ты опишешь надёжный, непротиворечивый и невзламываемый метод определения имени процесса. В любой ОС на выбор.

Ответить | Правка | К родителю #44 | Наверх | Cообщить модератору

73. "Выпуск межсетевого экрана firewalld 1.2" +/–

Сообщение от ыы (?), 04-Июл-22, 09:25

Зачем его "определять"? Он известен изначально.
Вы вероятно думаете, что процесс инициируется в момент появления пакета на интерфейсе? Тоесть ничего небыло и вдруг:
Пакет на интерфейсе!!! ААААА!!! Что с ним делать !??!! ...ааааа..паника.. откуда взялся этот пакет !?? ... ааааа [стук головы об радиатор процессора]... что делать??
Такое да? :)
В момент появления пакета на интерфейсе -  за ним уже давно наблюдали, и откуда он взялся хорошо известно. Просто в винде файрвол писали для людей, а в линуксе - для маршрутизатора ...
Как только количество линуха на десктопе превысит погрешность измерения -  ктото озаботится и напишет обертку под механизмы которые в ядре были давным давно и которую гордо назовет НекстГенерейшенЮзерАппликейшенФайрвол...

Ответить | Правка | Наверх | Cообщить модератору

99. "Выпуск межсетевого экрана firewalld 1.2" +/–

Сообщение от Аноним (99), 08-Июл-22, 12:24

Просто ты не отличаешь L4 файрвол от L7 файрвола.

Ответить | Правка | Наверх | Cообщить модератору

79. "Выпуск межсетевого экрана firewalld 1.2" +/–

Сообщение от Аноним (78), 04-Июл-22, 14:14

>Может я чего не понимаю.
Башескритования не понимаешь. Можно по PID. А чтобы его получить, есть Bash.

Ответить | Правка | К родителю #44 | Наверх | Cообщить модератору

84. "Выпуск межсетевого экрана firewalld 1.2" +/–

Сообщение от BorichL (ok), 04-Июл-22, 15:57

Вероятно ты вообще слабо понимаешь, что это, зачем это и как всё это работает. Хомячковый фаерволл вобщем то занимает всего несколько строк правил и достаточен для одминов локалхоста и территориально расположен в его роутере.

Ответить | Правка | К родителю #44 | Наверх | Cообщить модератору

88. "Выпуск межсетевого экрана firewalld 1.2" +/–

Сообщение от ыы (?), 04-Июл-22, 20:34

это в линухе так. файрвол стоит "гдето там на роутере и имеет пару правил".
А в нормальной адекватной ОС- файрвол стоит на компе юзера, и педантично управляет допуском и блокированием работы с сетью каждого конкретного процесса в системе.

Ответить | Правка | Наверх | Cообщить модератору

89. "Выпуск межсетевого экрана firewalld 1.2" +/–

Сообщение от BorichL (ok), 04-Июл-22, 21:07

> это в линухе так. файрвол стоит "гдето там на роутере и имеет
> пару правил".
> А в нормальной адекватной ОС- файрвол стоит на компе юзера, и педантично
> управляет допуском и блокированием работы с сетью каждого конкретного процесса в
> системе.
Насчёт адекватности такой ОС есть большие сомнения. Ну для мамкиного хакера такая может и пойдёт. А обычному юзеру этот типа фаерволл нахрен не упёрся, юзеру надо, чтобы работало, а не пыталось блокировать то, что он хочет.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

44. "Выпуск межсетевого экрана firewalld 1.2"	+/–
Сообщение от Аноним (44), 02-Июл-22, 19:25
Когда сделают фильтр по имени процесса, просящего доступ в сеть? Чтобы я себе мог просто белы список процессов составить. Столько лет Линуксу, а такой базовой фичи нет для пользователя недоверенных программ. Может я чего не понимаю.
Ответить \| Правка \| Наверх \| Cообщить модератору


	46. "Выпуск межсетевого экрана firewalld 1.2"	+/–
	Сообщение от ыы (?), 02-Июл-22, 19:27
	Когда доля линукса на десктопе станет больше погрешности измерения - сразу же появится... Наверное :)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	49. "Выпуск межсетевого экрана firewalld 1.2"	+/–
	Сообщение от Аноним (49), 02-Июл-22, 19:42
	Иными словами - никогда)
	Ответить \| Правка \| Наверх \| Cообщить модератору


	50. "Выпуск межсетевого экрана firewalld 1.2"	+/–
	Сообщение от slepnoga (??), 02-Июл-22, 19:44
	>Когда сделают фильтр по имени процесса, просящего доступ в сеть.. сделали, примерно в 2005-м году.И даже как всегда,более чем одним способом.
	Ответить \| Правка \| К родителю #44 \| Наверх \| Cообщить модератору


	52. "Выпуск межсетевого экрана firewalld 1.2"	+/–
	Сообщение от gapsf2 (??), 02-Июл-22, 21:27
	С этим все непросто. Когда-то можно было фильтровать по pid, но это убрали. И прям по имени процесса или файла скорее всего никто никогда в ядре уже делать не будет, т.к. с точки зрения ядерщиков, все что можно сделать в юзерспейс не надо тащить в ядро. Кроме того имя процесса/команды неоднозначно: их может быть несколько. Для входящих соединений определить процесс, который получит пакет в общем случае затруднительно. В любом случае придется самому мастерить, сам я таким не занимался. На данный момент с помощью iptables можно фильтровать по -m cgroup --path... По сути это все, что доступно непосредственно по процессам. 1 Пробовать/смотреть куда системд пихает процесс в cgroups и использовать -m cgroup --path если получится 2 Пробовать по разному использовать network namespaces https://unix.stackexchange.com/questions/68956/block-network... Причем в каждом пространстве имен собственные интерфейсы, таблицы маршрутизации и набор правил фаервола. Наверное это самый перспективный и гибкий вариант. 3 Запускать приложения под другим пользователем и использовать для фильтрации -m owner... 4 Пробовать selinux, apparmor, ясно что это гемор, хотя... https://askubuntu.com/questions/679474/how-to-block-internet... Т.е. apparmor настроить не очень сложно и можно прям по путям в фс огрничения делать. Тоже неплохой вариант. 5 Пробовать готовые проги, я нашел https://github.com/evilsocket/opensnitch https://douaneapp.com/ Эти проги gui и интерактивные, как именно они реализуют этот функционал - над смотреть исходники. Как видно вариантов много, поэтому ждать реализации этого прямо в ядре+iptables/nftables нет смысла.
	Ответить \| Правка \| К родителю #44 \| Наверх \| Cообщить модератору


	54. "Выпуск межсетевого экрана firewalld 1.2"	+/–
	Сообщение от Аноним (-), 02-Июл-22, 23:03
	мониторит прок судя по коду. вообще лютое г
	Ответить \| Правка \| Наверх \| Cообщить модератору


	58. "Выпуск межсетевого экрана firewalld 1.2"	–1 +/–
	Сообщение от john_erohin (?), 03-Июл-22, 07:43
	> фильтр по имени процесса на винде это уже проходили. через несколько итерций пришли к подписанным бинарникам или хэшам. не надо так.
	Ответить \| Правка \| К родителю #44 \| Наверх \| Cообщить модератору


	59. "Выпуск межсетевого экрана firewalld 1.2"	+/–
	Сообщение от Аноним (59), 03-Июл-22, 09:44
	Вы хотите аналог Windows Filtering Platform? В Windows много файрволов, но один пласт API для написания собственного файрвола. В Linux, наоборот, один файрвол и куча разных несовместимых API для его настройки. > Столько лет Линуксу, а такой базовой фичи нет для пользователя недоверенных программ. Может я чего не понимаю. Да, вы не понимаете объем задачи: https://docs.microsoft.com/en-us/windows/win32/fwp/windows-f... Даже если брать ту "мизерную" функцию с всплывающими окошками, разрешить процессу то-то и то-то, придётся реализовать RPC. Тут две проблемы: - ответственность и её перекладывание. Для разработчиков ядра userspace как бы "вне зоны ответственности". Вечная игра в горячую картошку. - драматизм вокруг RPC. На стороне ядра и в юзерспейсе должно находиться единое RPC, манипулирующее сложными структурами данных. Помните эпопею про kdbus и то как его не приняли (по вполне техническим причинам) дальнейшие попытки переизобрести "нормальное" RPC вроде проекта bus1, не знаю насколько оно живое. Далее прочитайте этот же тред выше и пронаблюдайте количество болезных истеричек у которых dbus воду в кране выпил и как это "не нужно на сервере". В Linux очень много RPC-подсистем с убогой архитектурой. Одна из них Netlink, которая есть в ядре, но отстаёт от требований юзерспейса. Вот её надо менять для решения целого ряда задач, но там же визгу будет... D-Bus сам по себе при этом мягко говоря не эталон. Он слишком сложен и перегружен функционалом, потому что это универсальная шина IPC+RPC. Нужен аналог COM+/DCOM, работающий в клиент-серверном режиме без всякого Multicast-а и не зависящий от сетевой подсистемы. Но такого API в ядре нет. > Чтобы я себе мог просто белы список процессов составить. В Windows можно не только белый список составить, там можно еще и взять список и настроить так чтобы на определенные процессы траффик не проходил без аутентификации и шифрования ipsec. То есть файрвол пропустит входящий траффик к порту только если есть ipsec и пользователь такой-то и с компьютера такого-то. Но научить линуксоидов ipsec-у для создания демилитаризованных зон... они единственное своё юзерспейсное RPC выпиливают в порыве белой горячки. Всё это малореализуемо.
	Ответить \| Правка \| К родителю #44 \| Наверх \| Cообщить модератору


	61. "Выпуск межсетевого экрана firewalld 1.2"	+/–
	Сообщение от Qanon (?), 03-Июл-22, 12:56
	Уже давно сделали, давно юзаю и вам желаю https://github.com/evilsocket/opensnitch
	Ответить \| Правка \| К родителю #44 \| Наверх \| Cообщить модератору


	64. "Выпуск межсетевого экрана firewalld 1.2"	+1 +/–
	Сообщение от Аноним (63), 03-Июл-22, 14:17
	Давно сделали, но ты не осилил. Называется SELinux.
	Ответить \| Правка \| К родителю #44 \| Наверх \| Cообщить модератору


	72. "Выпуск межсетевого экрана firewalld 1.2"	+/–
	Сообщение от Аноним (71), 03-Июл-22, 20:32
	> Когда сделают фильтр по имени процесса, просящего доступ в сеть? Когда ты опишешь надёжный, непротиворечивый и невзламываемый метод определения имени процесса. В любой ОС на выбор.
	Ответить \| Правка \| К родителю #44 \| Наверх \| Cообщить модератору


	73. "Выпуск межсетевого экрана firewalld 1.2"	+/–
	Сообщение от ыы (?), 04-Июл-22, 09:25
	Зачем его "определять"? Он известен изначально. Вы вероятно думаете, что процесс инициируется в момент появления пакета на интерфейсе? Тоесть ничего небыло и вдруг: Пакет на интерфейсе!!! ААААА!!! Что с ним делать !??!! ...ааааа..паника.. откуда взялся этот пакет !?? ... ааааа [стук головы об радиатор процессора]... что делать?? Такое да? :) В момент появления пакета на интерфейсе - за ним уже давно наблюдали, и откуда он взялся хорошо известно. Просто в винде файрвол писали для людей, а в линуксе - для маршрутизатора ... Как только количество линуха на десктопе превысит погрешность измерения - ктото озаботится и напишет обертку под механизмы которые в ядре были давным давно и которую гордо назовет НекстГенерейшенЮзерАппликейшенФайрвол...
	Ответить \| Правка \| Наверх \| Cообщить модератору


	99. "Выпуск межсетевого экрана firewalld 1.2"	+/–
	Сообщение от Аноним (99), 08-Июл-22, 12:24
	Просто ты не отличаешь L4 файрвол от L7 файрвола.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	79. "Выпуск межсетевого экрана firewalld 1.2"	+/–
	Сообщение от Аноним (78), 04-Июл-22, 14:14
	>Может я чего не понимаю. Башескритования не понимаешь. Можно по PID. А чтобы его получить, есть Bash.
	Ответить \| Правка \| К родителю #44 \| Наверх \| Cообщить модератору


	84. "Выпуск межсетевого экрана firewalld 1.2"	+/–
	Сообщение от BorichL (ok), 04-Июл-22, 15:57
	Вероятно ты вообще слабо понимаешь, что это, зачем это и как всё это работает. Хомячковый фаерволл вобщем то занимает всего несколько строк правил и достаточен для одминов локалхоста и территориально расположен в его роутере.
	Ответить \| Правка \| К родителю #44 \| Наверх \| Cообщить модератору


	88. "Выпуск межсетевого экрана firewalld 1.2"	+/–
	Сообщение от ыы (?), 04-Июл-22, 20:34
	это в линухе так. файрвол стоит "гдето там на роутере и имеет пару правил". А в нормальной адекватной ОС- файрвол стоит на компе юзера, и педантично управляет допуском и блокированием работы с сетью каждого конкретного процесса в системе.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	89. "Выпуск межсетевого экрана firewalld 1.2"	+/–
	Сообщение от BorichL (ok), 04-Июл-22, 21:07
	> это в линухе так. файрвол стоит "гдето там на роутере и имеет > пару правил". > А в нормальной адекватной ОС- файрвол стоит на компе юзера, и педантично > управляет допуском и блокированием работы с сетью каждого конкретного процесса в > системе. Насчёт адекватности такой ОС есть большие сомнения. Ну для мамкиного хакера такая может и пойдёт. А обычному юзеру этот типа фаерволл нахрен не упёрся, юзеру надо, чтобы работало, а не пыталось блокировать то, что он хочет.
	Ответить \| Правка \| Наверх \| Cообщить модератору