Форум русскоязычного сообщества Ubuntu


Следите за новостями русскоязычного сообщества Ubuntu в Twitter-ленте @ubuntu_ru_loco

Автор Тема: Автозагрузка правил iptables (Lazymode)  (Прочитано 71929 раз)

0 Пользователей и 1 Гость просматривают эту тему.

Оффлайн AnrDaemon

  • Автор темы
  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 28358
    • Просмотр профиля
Re: Автозагрузка правил iptables (Lazymode)
« Ответ #30 : 24 Сентября 2010, 11:14:01 »
Тебе тоже сочувствую.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн shaulyn

  • Участник
  • *
  • Сообщений: 163
  • Новый Компьютерный Сервис - NewCompService.ru
    • Просмотр профиля
    • Новый Компьютерный Сервис в Санкт-Петербурге и Всеволожском районе
Re: Автозагрузка правил iptables (Lazymode)
« Ответ #31 : 24 Сентября 2010, 14:14:13 »
Тебе тоже сочувствую.

а чем это чревато, почему это не правильно?
Новый Компьютерный Сервис в Санкт-Петербурге и Всеволожском районе

Оффлайн AnrDaemon

  • Автор темы
  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 28358
    • Просмотр профиля
Re: Автозагрузка правил iptables (Lazymode)
« Ответ #32 : 24 Сентября 2010, 22:14:28 »
Ну например тем, что очередное обновление системы заменит твой rc.local чистенькой дистрибутивной копией. Это, скажем так, наиболее общая проблема подобных способов "настройки".
Неправильности уже дискутировали в топике без меня - лишь вкратце напомню, что правила iptables - это настройка сети, не самостоятельный сервис (init.d), и тем более не костыль (rc.local).
В отрыве от сети они не многого стоят.
А если его правильно поставить и запустить - получается изящный и смертоносный инструмент.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн AnrDaemon

  • Автор темы
  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 28358
    • Просмотр профиля
Re: Автозагрузка правил iptables (Lazymode)
« Ответ #33 : 25 Ноября 2010, 14:19:39 »
В первый пост добавлен маленький бонус.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн leha7hostel

  • Любитель
  • *
  • Сообщений: 79
    • Просмотр профиля
Re: Автозагрузка правил iptables (Lazymode)
« Ответ #34 : 17 Декабря 2010, 23:00:11 »
Ну например тем, что очередное обновление системы заменит твой rc.local чистенькой дистрибутивной копией. Это, скажем так, наиболее общая проблема подобных способов "настройки".
Неправильности уже дискутировали в топике без меня - лишь вкратце напомню, что правила iptables - это настройка сети, не самостоятельный сервис (init.d), и тем более не костыль (rc.local).
В отрыве от сети они не многого стоят.
А если его правильно поставить и запустить - получается изящный и смертоносный инструмент.

У меня тоже в rc.local. На убунте с версии 8.04 и не разу при обновлении дистрибутива файл не затирался!!!
и вообще не важно как запускать правила главное чтоб они запускались и делали то что от них требуется!!!

Оффлайн AnrDaemon

  • Автор темы
  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 28358
    • Просмотр профиля
Re: Автозагрузка правил iptables (Lazymode)
« Ответ #35 : 17 Декабря 2010, 23:16:35 »
У меня тоже в rc.local. На убунте с версии 8.04 и не разу при обновлении дистрибутива файл не затирался!!!
и вообще не важно как запускать правила главное чтоб они запускались и делали то что от них требуется!!!

Я вас чем-то обидел? Что вы с такой силой долбите по восклицательному знаку.
То, что у вас ничего подобного не случалось, не говорит о том, что такого в принципе быть не может.
А синдром "и так работает" вообще должен расцениваться как тяжелый случай невежества и лечиться принудительной изоляцией объекта от общества.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн Malamut

  • Ubuntu Member
  • Администратор
  • Старожил
  • *
  • Сообщений: 3337
  • Я добрый, честно!
    • Просмотр профиля
    • Моя страница на Launchpad
Re: Автозагрузка правил iptables (Lazymode)
« Ответ #36 : 20 Января 2011, 22:40:56 »
О, жесть! Случайно прочитал этот топик и прифигел. Столько абсолютно бесполезных букав, каких-то скриптов и прочей ереси вместо простого добавление двух строчек в единый файл конфигурации всей сети /etc/network/interfaces:

pre-up iptables-restore -c < /etc/network/firewall.conf
pre-down iptables-save -c > /etc/network/firewall.conf

а потом ещё удивляются - откуда столько горе-админов, которые всё делают через такое тёмное место, что темней некуда. Начитаются новички подобных инструкций и пойдут для банальнейшего сохранения правил iptables строчить скрипты направо-налево, вместо того, чтобы воспользоваться специально предназначенными для этих целей инструкциями up и down файла interfaces.
"Носителем суверенитета и единственным источником власти в Российской Федерации является ее многонациональный народ" Конституция РФ

Оффлайн AnrDaemon

  • Автор темы
  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 28358
    • Просмотр профиля
Re: Автозагрузка правил iptables (Lazymode)
« Ответ #37 : 20 Января 2011, 23:02:00 »
О, жесть! Случайно прочитал этот топик и прифигел. Столько абсолютно бесполезных букав, каких-то скриптов и прочей ереси вместо простого добавление двух строчек в единый файл конфигурации всей сети /etc/network/interfaces:

pre-up iptables-restore -c < /etc/network/firewall.conf
pre-down iptables-save -c > /etc/network/firewall.conf

а потом ещё удивляются - откуда столько горе-админов, которые всё делают через такое тёмное место, что темней некуда. Начитаются новички подобных инструкций и пойдут для банальнейшего сохранения правил iptables строчить скрипты направо-налево, вместо того, чтобы воспользоваться специально предназначенными для этих целей инструкциями up и down файла interfaces.
Топик ты не читал...
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн Malamut

  • Ubuntu Member
  • Администратор
  • Старожил
  • *
  • Сообщений: 3337
  • Я добрый, честно!
    • Просмотр профиля
    • Моя страница на Launchpad
Re: Автозагрузка правил iptables (Lazymode)
« Ответ #38 : 20 Января 2011, 23:07:12 »
Уже прочёл. И изменил первый пост. Нефиг запутывать бедных новичков такими жуткими извращениями.
"Носителем суверенитета и единственным источником власти в Российской Федерации является ее многонациональный народ" Конституция РФ

Оффлайн AnrDaemon

  • Автор темы
  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 28358
    • Просмотр профиля
Re: Автозагрузка правил iptables (Lazymode)
« Ответ #39 : 20 Января 2011, 23:13:03 »
Пожалуйста, приведи первый пост в исходное состояние.
И прочти топик. Полностью.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн fisher74

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 13756
    • Просмотр профиля
Re: Автозагрузка правил iptables (Lazymode)
« Ответ #40 : 20 Января 2011, 23:16:59 »
2Malamut
Мне, конечно, с Вами трудно будет спорить, но, ИМХО, автоматическое сохранение правил - есть ЗЛО.
Стартовые скрипты, включая применение сэйвов правил, должны генерироваться админом, а не самой системой.

Оффлайн Malamut

  • Ubuntu Member
  • Администратор
  • Старожил
  • *
  • Сообщений: 3337
  • Я добрый, честно!
    • Просмотр профиля
    • Моя страница на Launchpad
Re: Автозагрузка правил iptables (Lazymode)
« Ответ #41 : 20 Января 2011, 23:27:34 »
прочитал. Мало того, я сначала внимательно прочитал первый пост. Сходу не понял (!), почему оно будет работать, выполнил всё - понял, что я правильно не понял и оно и вправду не работает, и именно поэтому добавил нормальный способ. Правила надо сохранять при отключении интерфейса и восстанавливать при включении. Вопрос: как это можно сделать? Ответ: можно создать два дополнительных файла-скрипта, один из которых будет перезаписывать постоянно второй (а в топике сказано только про один скрипт). А можно изменить единый файл конфигурации сети, добавив в него две строчки. Результат - идентичный.

Теперь представим - приходит админ поддерживать сеть. Куда он заглядывает для того, чтобы ознакомиться с настройкой сети? В if-up.d? Да никогда! Это служебная директория для управления сервисами, работа которых зависит от активности интерфейсов. Админ заглянет в файл interfaces, а потом помянёт добрым словом прошлого админа, когда после трёх чашек кофе, перелопачивания rc.local и прочих стандартных мест обнаружит в if-up.d скрипт восстановления правил iptables.

Не надо создавать с умным видом головную боль тем, кто с трудом составляет простейшие правила iptables, и приучать их к заведомо некорректным и вредным методам администрирования.

fisher74,
Спорный вопрос. Наваять лишних вредных правил на рабочей системе очень сложно - потому что что-то лишнее просто положит нафиг сеть. А вот забыть сохранить - это легко. Особенно когда какие-то нештатные ситуации. Тем более если не сохранять - то просто надо убрать одну строчку из конфига.

P.S. А, и да. rc.local - однозначно не то место, откуда надо рулить iptables, но этот файл никогда не перетирается при обновлениях, иначе бы рабочие системы падали бы просто на раз.
« Последнее редактирование: 20 Января 2011, 23:33:06 от Malamut »
"Носителем суверенитета и единственным источником власти в Российской Федерации является ее многонациональный народ" Конституция РФ

Оффлайн fisher74

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 13756
    • Просмотр профиля
Re: Автозагрузка правил iptables (Lazymode)
« Ответ #42 : 20 Января 2011, 23:35:45 »
И то и другое одинаково легко и сложно.
Добавление новых правил должно провоцироваться какими-либо работами и сохранение правил - должно быть одним из последних шагов ПЛАНОВЫХ работ.
Нештатные ситуации, на то и нештатные, чтобы после вывода системы из них делать анализ того, что сделано и, что надо поправить для приведения системы к первоначальному виду, и/или повышения надёжности. Дабы не привести к той нештатке, что была. А значит и анализ правил в системе, а значит, после их проверки, и сохранение.
Но это всё зависит от организованности и привычки построения работы администратора.
« Последнее редактирование: 20 Января 2011, 23:40:36 от fisher74 »

Оффлайн Malamut

  • Ubuntu Member
  • Администратор
  • Старожил
  • *
  • Сообщений: 3337
  • Я добрый, честно!
    • Просмотр профиля
    • Моя страница на Launchpad
Re: Автозагрузка правил iptables (Lazymode)
« Ответ #43 : 20 Января 2011, 23:42:49 »
Ну, если уж на то пошло, я предпочитаю вообще не пользоваться связкой iptables-save - iptables-restore, поскольку когда в системе много правил, то вывод iptables-save просто нечитаем.

Я просто пишу свой скрипт, который вешаю на поднятие интерфейса, а в него - вручную правила с нужными комментариями. Но в контексте оперирования с iptables-save/restore использование каталогов if-up.d и if-down.d кажется гораздо более запутанным. И в прикреплённой теме в разделе сети, которую конечно читает куча новичков, писать такое, не упоминая про классический прозрачный способ - это немного не айс. Я не против, что моё исправление AnrDaemon отредактирует, если он таки оставит в начале топика простой способ, а потом уже перейдёт к описанию своих махинаций.
"Носителем суверенитета и единственным источником власти в Российской Федерации является ее многонациональный народ" Конституция РФ

Оффлайн AnrDaemon

  • Автор темы
  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 28358
    • Просмотр профиля
Re: Автозагрузка правил iptables (Lazymode)
« Ответ #44 : 20 Января 2011, 23:43:22 »
@Malamut, то, что кто-то навесил на тебя значок супермодератора, не даёт тебе права оскорблять участников форума.
То, что ты не в состоянии аргументировать свою позицию чем-то кроме своих модераторских привилегий, только ухудшает твою позицию.
Сохранение правил должно выполняться админом, а не системой.
Хуже автоматического сохранения правил только их автоматическая генерация без участия головного мозга.
Я уже молчу, что, как ты изволил выразиться, "прочая ересь" явно и недвусмысленно указана как дополнительная. (Опциональная, бонусная)

P.S.
Спасибо, что продемонстрировал мне мою худшую сторону в зеркале своих постов. Отличие между тобой и мной в том, что я стараюсь не выпускать её наружу, особенно на форумах, где я являюсь модератором и/или владельцем. Желаю тебе стремиться к тому же.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

 

Страница сгенерирована за 0.048 секунд. Запросов: 25.