forum.opennet.ru - "Выпуск межсетевого экрана firewalld 2.3.0 " (21)

"Выпуск межсетевого экрана firewalld 2.3.0 "

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Изначальное сообщение		[ Отслеживать ]

"Выпуск межсетевого экрана firewalld 2.3.0 "	+/–
Сообщение от opennews (??), 05-Ноя-24, 23:11
Сформирован выпуск динамически управляемого межсетевого экрана firewalld 2.3, реализованного в форме обвязки над пакетными фильтрами nftables и iptables. Firewalld запускается в виде фонового процесса, позволяющего динамически изменять правила пакетного фильтра через D-Bus, без необходимости перезагрузки правил пакетного фильтра и без разрыва установленных соединений. Проект уже применяется во многих дистрибутивах Linux, включая RHEL 7+, Fedora 18+ и SUSE/openSUSE 15+. Код firewalld написан на языке Python и распространяется под лицензией GPLv2... Подробнее: https://www.opennet.ru/opennews/art.shtml?num=62183
Ответить \| Правка \| Cообщить модератору

Оглавление

Субъективно очень неудобная штука После ufw команды firewall-cmd, казалось, объ, Аноним (1), 23:11 , 05-Ноя-24, (1) +9

Я даже не понял, почему она в RedHat-based Distros нужна, с одной стороны не сил, Аноним (12), 01:19 , 06-Ноя-24, (12)

потому что там до определенного момента был iptables и fwd жизнь действительно у, мяв (?), 04:20 , 06-Ноя-24, (18)

Ага, хренакс firewall-cmd --remove --service ssh и не зайти на сервер даже из , 1001й глаз (?), 07:51 , 06-Ноя-24, (20)

Дайте угадаю, вы ведь ни разу не пользовались firewall-cmd Как бы, никто не за, Аноним (2), 23:18 , 05-Ноя-24, (2) +1
Необходимость создания упрощающих прослоек -- показатель непрофессионализма пр, Аноним (3), 23:33 , 05-Ноя-24, (3) –1

ну, справедливости ради, синтаксис iptables, Аноним (2), 00:01 , 06-Ноя-24, (6) +1

тоже с первого раза не всякий осилит А там, как мы помним, важны всякие чейны в , Аноним (2), 00:02 , 06-Ноя-24, (7) +1

во-первых императивное описание конфигурации это как бы лет 15 уже не рекомендов, WE (?), 02:38 , 06-Ноя-24, (13)

в чем упоротый вот в iptables - да, грусть, даже на дебиан fwd ставила когда nft, мяв (?), 04:01 , 06-Ноя-24, (15)

ну,вот не надо ля-ля, синтаксис nft после iptables просто мрак и тлен а что кач, anonim11 (?), 08:21 , 06-Ноя-24, (22)
Скрыто модератором, Вежливые белорусские фурри (-), 08:29 , 06-Ноя-24, (23)

праильно, даешь жирные парсеры, юзерское апи и сервисоонованные биндинги прям в , мяв (?), 04:08 , 06-Ноя-24, (17)

Безопасный фаерволл на python управляемый через D-Bus Что может пойти не так , Аноним (4), 23:54 , 05-Ноя-24, (4) –3

это не совсем файрволл - это скорее управляющая прослойка НАД файрволлом , Аноним (2), 00:00 , 06-Ноя-24, (5) +2

или же, если говорить правильней - просто еще один уровень абстракции Для чего о, Аноним (2), 00:05 , 06-Ноя-24, (8) +1

Почему ты все время отправляешь по два сообщения вместо одного , Аноним (9), 00:34 , 06-Ноя-24, (9) +1

мту маленький, не влезает, тпаываы (?), 02:42 , 06-Ноя-24, (14) +2

и для предоставления адекватного апи в современном мире никто бинари дергать не , мяв (?), 04:03 , 06-Ноя-24, (16)

API есть - libnftnl, только это не то что curl-ом дергают HTTP API это лишь одн, Алексей (??), 07:23 , 06-Ноя-24, (19)

Для тех кто не понимает зачем нужна эта прослойка iptables и nftables работают, Аноним (21), 07:59 , 06-Ноя-24, (21)

Сообщения [Сортировка по времени | RSS]

1. "Выпуск межсетевого экрана firewalld 2.3.0 " +9 +/–

Сообщение от Аноним (1), 05-Ноя-24, 23:11

Субъективно очень неудобная штука. После ufw команды firewall-cmd, казалось, объявили принципу наименьшего удивления войну

Ответить | Правка | Наверх | Cообщить модератору

12. "Выпуск межсетевого экрана firewalld 2.3.0 " +/–

Сообщение от Аноним (12), 06-Ноя-24, 01:19

Я даже не понял, почему она в RedHat-based Distros нужна, с одной стороны не сильно упрощает, с другой стороны на серверах вызывает инциденты в неожиданных местах.

Ответить | Правка | Наверх | Cообщить модератору

18. "Выпуск межсетевого экрана firewalld 2.3.0 " +/–

Сообщение от мяв (?), 06-Ноя-24, 04:20

потому что там до определенного момента был iptables и fwd жизнь действительно упрощал, при том, предоставляя чуть больше возможностей, чем "открыть/закрыить портек", в отличии oт ufw.
а если сейчас его выкинуть - перестанет наполную мощность работать nm и прочий дистрибутивный стек, у админов сломаются конфиги и они расхотят платить за подписку.

Ответить | Правка | Наверх | Cообщить модератору

20. "Выпуск межсетевого экрана firewalld 2.3.0 " +/–

Сообщение от 1001й глаз (?), 06-Ноя-24, 07:51

Ага, хренакс "firewall-cmd --remove --service=ssh" и не зайти на сервер даже из локальной сети.

Ответить | Правка | К родителю #1 | Наверх | Cообщить модератору

2. "Выпуск межсетевого экрана firewalld 2.3.0 " +1 +/–

Сообщение от Аноним (2), 05-Ноя-24, 23:18

>при создании правил отталкивается не от IP-адресов, сетевых интерфейсов и номеров портов, а от названий служб
Дайте угадаю, вы ведь ни разу не пользовались "firewall-cmd"?
Как бы, никто не запрещает вам создавать правила\открывать порты tcp\udp напрямую.
И даже больше - можно создавать "рич правла", прямо в формате iptables\nftables.
Просто для упрощения, есть некий предустановленный список сервисов(с умолчательными портами), а вы в новости вывели это прям как некую аксиому.

Ответить | Правка | Наверх | Cообщить модератору

3. "Выпуск межсетевого экрана firewalld 2.3.0 " –1 +/–

Сообщение от Аноним (3), 05-Ноя-24, 23:33

Необходимость создания "упрощающих прослоек" -- показатель непрофессионализма проектирования nftables. Или их правильнее называть narcotables?

Ответить | Правка | Наверх | Cообщить модератору

6. "Выпуск межсетевого экрана firewalld 2.3.0 " +1 +/–

Сообщение от Аноним (2), 06-Ноя-24, 00:01

ну, справедливости ради, синтаксис iptables

Ответить | Правка | Наверх | Cообщить модератору

7. "Выпуск межсетевого экрана firewalld 2.3.0 " +1 +/–

Сообщение от Аноним (2), 06-Ноя-24, 00:02

тоже с первого раза не всякий осилит.
А там, как мы помним, важны всякие чейны в определенной последовательности, иначе работать не будет.

Ответить | Правка | Наверх | Cообщить модератору

13. "Выпуск межсетевого экрана firewalld 2.3.0 " +/–

Сообщение от WE (?), 06-Ноя-24, 02:38

во-первых императивное описание конфигурации это как бы лет 15 уже не рекомендованный метод, поэтому для систем оркестрации желателен демон. И он достаточно не простой, по сравнению с утилиткой ufw.
во-вторых синтаксис у nftables действительно упоротый, как-то читаемо там только в json.

Ответить | Правка | К родителю #3 | Наверх | Cообщить модератору

15. "Выпуск межсетевого экрана firewalld 2.3.0 " +/–

Сообщение от мяв (?), 06-Ноя-24, 04:01

в чем упоротый?
вот в iptables - да, грусть, даже на дебиан fwd ставила.
когда nftables появился - начала руками конфиги писать, проблем нет.
читается, можно сказкть, как текст, за исключением некоторых моментов.

Ответить | Правка | Наверх | Cообщить модератору

22. "Выпуск межсетевого экрана firewalld 2.3.0 " +/–

Сообщение от anonim11 (?), 06-Ноя-24, 08:21

ну,вот не надо ля-ля, синтаксис nft после iptables просто мрак и тлен. а что качаемо firewalld - ненужно оно, вот от слова совсем.

Ответить | Правка | Наверх | Cообщить модератору

23. Скрыто модератором +/–

Сообщение от Вежливые белорусские фурри (-), 06-Ноя-24, 08:29

Не руками, а лапами.

Ответить | Правка | К родителю #15 | Наверх | Cообщить модератору

17. "Выпуск межсетевого экрана firewalld 2.3.0 " +/–

Сообщение от мяв (?), 06-Ноя-24, 04:08

праильно, даешь жирные парсеры, юзерское апи и сервисоонованные биндинги прям в ядро!
мало нам lpe в nftable'вском апи, даешь исполнение на уровне ядра через дырявый парсер конфигов!!

Ответить | Правка | К родителю #3 | Наверх | Cообщить модератору

4. "Выпуск межсетевого экрана firewalld 2.3.0 " –3 +/–

Сообщение от Аноним (4), 05-Ноя-24, 23:54

Безопасный фаерволл на python управляемый через D-Bus? Что может пойти не так..

Ответить | Правка | Наверх | Cообщить модератору

5. "Выпуск межсетевого экрана firewalld 2.3.0 " +2 +/–

Сообщение от Аноним (2), 06-Ноя-24, 00:00

это не совсем файрволл - это скорее управляющая прослойка НАД файрволлом.

Ответить | Правка | Наверх | Cообщить модератору

8. "Выпуск межсетевого экрана firewalld 2.3.0 " +1 +/–

Сообщение от Аноним (2), 06-Ноя-24, 00:05

или же, если говорить правильней - просто еще один уровень абстракции.
Для чего он создан? Для упрощения.
Никто вам не запрещает писать напрямую правила iptables\nftables!

Ответить | Правка | Наверх | Cообщить модератору

9. "Выпуск межсетевого экрана firewalld 2.3.0 " +1 +/–

Сообщение от Аноним (9), 06-Ноя-24, 00:34

Почему ты все время отправляешь по два сообщения вместо одного?

Ответить | Правка | Наверх | Cообщить модератору

14. "Выпуск межсетевого экрана firewalld 2.3.0 " +2 +/–

Сообщение от тпаываы (?), 06-Ноя-24, 02:42

мту маленький, не влезает

Ответить | Правка | Наверх | Cообщить модератору

16. "Выпуск межсетевого экрана firewalld 2.3.0 " +/–

Сообщение от мяв (?), 06-Ноя-24, 04:03

и для предоставления адекватного апи.
в современном мире никто бинари дергать не будет, чтобы правила посмотреть/добавить/убрать.
к ним зачастую даже доступа не будет, будет к пиру на шине.

Ответить | Правка | К родителю #8 | Наверх | Cообщить модератору

19. "Выпуск межсетевого экрана firewalld 2.3.0 " +/–

Сообщение от Алексей (??), 06-Ноя-24, 07:23

API есть - libnftnl, только это не то что curl-ом дергают. HTTP API это лишь одна из разновидностей.
Бинари дергать - а в современном мире и не такую дичь творят - запускают curl из python. Зато не на bash!?!

Ответить | Правка | Наверх | Cообщить модератору

21. "Выпуск межсетевого экрана firewalld 2.3.0 " +/–

Сообщение от Аноним (21), 06-Ноя-24, 07:59

Для тех кто не понимает зачем нужна эта прослойка...
iptables и nftables работают с цепочками обработки пакетов в модуле netfilter, а этот файрволл порождает гуманитарную абстракцию работающую в сочетании с NetworkManager, которая смотрит на:
- сервисы,
- зоны,
- интерфейсы и соединения NM
В сочетании с возможностью задавать конфигурацию через D-Bus и полностью декларативным форматом конфигурации он является рабочим решением для организации файрволла на конечном сервере, на котором не меняются сетевые параметры.
Мы жертвуем гибкостью netfilter в угоду удобства оркестрации под конкретный набор задач. Ну, то есть, если вам нужно сделать виртуальный файрволл+роутер то firewalld нужно будет удалить, потому что он будем мешать.
UFW, кстати, - это то же самое, только сильно упрощенное и более подходящее для рабочих станций и виртуальных серверов с одним сетевым интерфейсом.

Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

1. "Выпуск межсетевого экрана firewalld 2.3.0 "	+9 +/–
Сообщение от Аноним (1), 05-Ноя-24, 23:11
Субъективно очень неудобная штука. После ufw команды firewall-cmd, казалось, объявили принципу наименьшего удивления войну
Ответить \| Правка \| Наверх \| Cообщить модератору


	12. "Выпуск межсетевого экрана firewalld 2.3.0 "	+/–
	Сообщение от Аноним (12), 06-Ноя-24, 01:19
	Я даже не понял, почему она в RedHat-based Distros нужна, с одной стороны не сильно упрощает, с другой стороны на серверах вызывает инциденты в неожиданных местах.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	18. "Выпуск межсетевого экрана firewalld 2.3.0 "	+/–
	Сообщение от мяв (?), 06-Ноя-24, 04:20
	потому что там до определенного момента был iptables и fwd жизнь действительно упрощал, при том, предоставляя чуть больше возможностей, чем "открыть/закрыить портек", в отличии oт ufw. а если сейчас его выкинуть - перестанет наполную мощность работать nm и прочий дистрибутивный стек, у админов сломаются конфиги и они расхотят платить за подписку.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	20. "Выпуск межсетевого экрана firewalld 2.3.0 "	+/–
	Сообщение от 1001й глаз (?), 06-Ноя-24, 07:51
	Ага, хренакс "firewall-cmd --remove --service=ssh" и не зайти на сервер даже из локальной сети.
	Ответить \| Правка \| К родителю #1 \| Наверх \| Cообщить модератору

2. "Выпуск межсетевого экрана firewalld 2.3.0 "	+1 +/–
Сообщение от Аноним (2), 05-Ноя-24, 23:18
>при создании правил отталкивается не от IP-адресов, сетевых интерфейсов и номеров портов, а от названий служб Дайте угадаю, вы ведь ни разу не пользовались "firewall-cmd"? Как бы, никто не запрещает вам создавать правила\открывать порты tcp\udp напрямую. И даже больше - можно создавать "рич правла", прямо в формате iptables\nftables. Просто для упрощения, есть некий предустановленный список сервисов(с умолчательными портами), а вы в новости вывели это прям как некую аксиому.
Ответить \| Правка \| Наверх \| Cообщить модератору

3. "Выпуск межсетевого экрана firewalld 2.3.0 "	–1 +/–
Сообщение от Аноним (3), 05-Ноя-24, 23:33
Необходимость создания "упрощающих прослоек" -- показатель непрофессионализма проектирования nftables. Или их правильнее называть narcotables?
Ответить \| Правка \| Наверх \| Cообщить модератору


	6. "Выпуск межсетевого экрана firewalld 2.3.0 "	+1 +/–
	Сообщение от Аноним (2), 06-Ноя-24, 00:01
	ну, справедливости ради, синтаксис iptables
	Ответить \| Правка \| Наверх \| Cообщить модератору


	7. "Выпуск межсетевого экрана firewalld 2.3.0 "	+1 +/–
	Сообщение от Аноним (2), 06-Ноя-24, 00:02
	тоже с первого раза не всякий осилит. А там, как мы помним, важны всякие чейны в определенной последовательности, иначе работать не будет.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	13. "Выпуск межсетевого экрана firewalld 2.3.0 "	+/–
	Сообщение от WE (?), 06-Ноя-24, 02:38
	во-первых императивное описание конфигурации это как бы лет 15 уже не рекомендованный метод, поэтому для систем оркестрации желателен демон. И он достаточно не простой, по сравнению с утилиткой ufw. во-вторых синтаксис у nftables действительно упоротый, как-то читаемо там только в json.
	Ответить \| Правка \| К родителю #3 \| Наверх \| Cообщить модератору


	15. "Выпуск межсетевого экрана firewalld 2.3.0 "	+/–
	Сообщение от мяв (?), 06-Ноя-24, 04:01
	в чем упоротый? вот в iptables - да, грусть, даже на дебиан fwd ставила. когда nftables появился - начала руками конфиги писать, проблем нет. читается, можно сказкть, как текст, за исключением некоторых моментов.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	22. "Выпуск межсетевого экрана firewalld 2.3.0 "	+/–
	Сообщение от anonim11 (?), 06-Ноя-24, 08:21
	ну,вот не надо ля-ля, синтаксис nft после iptables просто мрак и тлен. а что качаемо firewalld - ненужно оно, вот от слова совсем.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	23. Скрыто модератором	+/–
	Сообщение от Вежливые белорусские фурри (-), 06-Ноя-24, 08:29
	Не руками, а лапами.
	Ответить \| Правка \| К родителю #15 \| Наверх \| Cообщить модератору


	17. "Выпуск межсетевого экрана firewalld 2.3.0 "	+/–
	Сообщение от мяв (?), 06-Ноя-24, 04:08
	праильно, даешь жирные парсеры, юзерское апи и сервисоонованные биндинги прям в ядро! мало нам lpe в nftable'вском апи, даешь исполнение на уровне ядра через дырявый парсер конфигов!!
	Ответить \| Правка \| К родителю #3 \| Наверх \| Cообщить модератору

4. "Выпуск межсетевого экрана firewalld 2.3.0 "	–3 +/–
Сообщение от Аноним (4), 05-Ноя-24, 23:54
Безопасный фаерволл на python управляемый через D-Bus? Что может пойти не так..
Ответить \| Правка \| Наверх \| Cообщить модератору


	5. "Выпуск межсетевого экрана firewalld 2.3.0 "	+2 +/–
	Сообщение от Аноним (2), 06-Ноя-24, 00:00
	это не совсем файрволл - это скорее управляющая прослойка НАД файрволлом.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	8. "Выпуск межсетевого экрана firewalld 2.3.0 "	+1 +/–
	Сообщение от Аноним (2), 06-Ноя-24, 00:05
	или же, если говорить правильней - просто еще один уровень абстракции. Для чего он создан? Для упрощения. Никто вам не запрещает писать напрямую правила iptables\nftables!
	Ответить \| Правка \| Наверх \| Cообщить модератору


	9. "Выпуск межсетевого экрана firewalld 2.3.0 "	+1 +/–
	Сообщение от Аноним (9), 06-Ноя-24, 00:34
	Почему ты все время отправляешь по два сообщения вместо одного?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	14. "Выпуск межсетевого экрана firewalld 2.3.0 "	+2 +/–
	Сообщение от тпаываы (?), 06-Ноя-24, 02:42
	мту маленький, не влезает
	Ответить \| Правка \| Наверх \| Cообщить модератору


	16. "Выпуск межсетевого экрана firewalld 2.3.0 "	+/–
	Сообщение от мяв (?), 06-Ноя-24, 04:03
	и для предоставления адекватного апи. в современном мире никто бинари дергать не будет, чтобы правила посмотреть/добавить/убрать. к ним зачастую даже доступа не будет, будет к пиру на шине.
	Ответить \| Правка \| К родителю #8 \| Наверх \| Cообщить модератору


	19. "Выпуск межсетевого экрана firewalld 2.3.0 "	+/–
	Сообщение от Алексей (??), 06-Ноя-24, 07:23
	API есть - libnftnl, только это не то что curl-ом дергают. HTTP API это лишь одна из разновидностей. Бинари дергать - а в современном мире и не такую дичь творят - запускают curl из python. Зато не на bash!?!
	Ответить \| Правка \| Наверх \| Cообщить модератору

21. "Выпуск межсетевого экрана firewalld 2.3.0 "	+/–
Сообщение от Аноним (21), 06-Ноя-24, 07:59
Для тех кто не понимает зачем нужна эта прослойка... iptables и nftables работают с цепочками обработки пакетов в модуле netfilter, а этот файрволл порождает гуманитарную абстракцию работающую в сочетании с NetworkManager, которая смотрит на: - сервисы, - зоны, - интерфейсы и соединения NM В сочетании с возможностью задавать конфигурацию через D-Bus и полностью декларативным форматом конфигурации он является рабочим решением для организации файрволла на конечном сервере, на котором не меняются сетевые параметры. Мы жертвуем гибкостью netfilter в угоду удобства оркестрации под конкретный набор задач. Ну, то есть, если вам нужно сделать виртуальный файрволл+роутер то firewalld нужно будет удалить, потому что он будем мешать. UFW, кстати, - это то же самое, только сильно упрощенное и более подходящее для рабочих станций и виртуальных серверов с одним сетевым интерфейсом.
Ответить \| Правка \| Наверх \| Cообщить модератору