URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 21825
[ Назад ]

Исходное сообщение
"OpenNews: Впечатление создателей  iptables от пакетного фильтра pf"

Отправлено opennews , 18-Авг-06 11:54 
Rusty Russel - один из основных участников проекта netfilter, кратко описал (http://ozlabs.org/~rusty/index.cgi/tech/2006-08-15.html) свои впечатления от пакетного фильтра pf, разработанного в рамках проекта OpenBSD.

URL: http://ozlabs.org/~rusty/index.cgi/tech/2006-08-15.html
Новость: http://www.opennet.me/opennews/art.shtml?num=8133


Содержание

Сообщения в этом обсуждении
"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено Аноним , 18-Авг-06 11:54 
Заголовок новости звучит как "Создатели Запорожца узнали, что у всех машин двигатель находится спереди"

зы: ничего не имею проитв. всю жизнь пользуюсь iptables, просто настроение веселое :)


"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено thedix , 18-Авг-06 12:06 
У хороших спортивных машин, кстати, двигатель сзади. :)

"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено Валера , 18-Авг-06 12:08 
Среднее расположение еще лучше :-)

"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено CDigger , 18-Авг-06 12:21 
Это тот, что с педалями...

"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено pavlinux , 18-Авг-06 12:42 
Так он ещё и двухколесный, или четырёх, ещё два маленьких чтоб не падал?

"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено Jelis , 18-Авг-06 12:59 
Вообщем-то и в файрволах разница такая же как и по всей системе - BSD сделан в основном красивее, где-то элегантнее, где-то удобнее, зато у Линукса больше возможностей.

"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено chas , 18-Авг-06 13:53 
>Вообщем-то и в файрволах разница такая же как и по всей системе - BSD сделан
>в основном красивее, где-то элегантнее, где-то удобнее, зато у Линукса больше возможностей.

Но некоторые полезне фичи, как всегда, отсутсвуют:

"There's one place where pf would make Linux users green with envy, it's rate limiting and queueing"


"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено _Nick_ , 18-Авг-06 18:09 
нафига козе бАян, када у нее гармонь есть?
Линуховый QoS - лучше всяких трубочек.
те кто пытается на них строить
рабочую систему - получает полный П в фаерволе и далекое подобие человеческой работы

"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено Анонимоус , 23-Авг-06 22:35 
>>Вообщем-то и в файрволах разница такая же как и по всей системе - BSD сделан
>>в основном красивее, где-то элегантнее, где-то удобнее, зато у Линукса больше возможностей.
>
>Но некоторые полезне фичи, как всегда, отсутсвуют:
>
>"There's one place where pf would make Linux users green with envy,
>it's rate limiting and queueing"
А еще iptables и какой-нить QoS умещаются в железках типа ADSL модемов и soho router-ов и это еще и работает даже.В девайсах с пару сигаретных пачек размером.А bsd где?Гусары, молчать!

"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено Аноним , 18-Авг-06 15:51 
ну и наскока востребованы большинством админов эти фичи?
на 2% ?

"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено ZANSWER , 18-Авг-06 16:55 
МяФ!:) снова холи вар балбесов... едите iptables и едите дальше, мне нравиться pf, но он нарвиться мне, а rate limit и queue любой пров пользует который использует pf на рутере... тока не кречим про киски...;)

"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено pavlinux , 18-Авг-06 19:40 
Вах, вах, вах .... да тут не Opennet, тут сборище провайдеров...
(я конечно понимаю, тут каждый админ в душе инженер сети городского или регионального провайдера)

"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено Nick , 19-Авг-06 04:27 
Тот, кто активно использует именно Опенка на рутере, тот уж точно использует богатейшие возможности управления трафиком в pf.  Те, кто говорит, что такая функциональность не нужна просто никогда ничего серьезного и/или по-серьезному не настраивали. Pf - прекрасный пример хорошего продукта.

"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено кук , 19-Авг-06 08:50 
я что-то проспал и дисциплины в линусе отменили ?

"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено _Nick_ , 19-Авг-06 14:32 
Ниче ты не пропустил

просто Создатели iptables нашли костыль в pf и были рады отметить, что в iptables такого нет.
в линухе: котлеты - отдельно, мухи - отдельно. если нужно убрать/поправить шейпер траффика - пжалста. фаерволл же остаетсо при этом нетронутым.
и наоборот.


"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено MK , 20-Авг-06 18:18 
>Ниче ты не пропустил
>
>просто Создатели iptables нашли костыль в pf и были рады отметить, что
>в iptables такого нет.
>в линухе: котлеты - отдельно, мухи - отдельно. если нужно убрать/поправить шейпер
>траффика - пжалста. фаерволл же остаетсо при этом нетронутым.
>и наоборот.


gygygy. _Nick_, ty na svoi-to shapery posmotri. Tam vse tak nameshano, chto dazhe kommentirovat' ne hochetsya. Takoe oshushenie, chto tvoi muhi/kotlety melko nashinkovali, potom zapihnuli v myasorubku, a potom eshe i na terke propustili - tak chto vot ne nado vot. Ty b prezhde chem kidat'sya, u sebya b v hozyajstve poryadok navel (ya ponimayu, chto tam ne tol'ko ty ruki prilozhil, no vse odno).

Da, mozhno cherez tc tol'ko managit' bw (obrashajsya za primerom - cherez htb - no vot tol'ko chitabel'nymi nazvat' output tc tyazhelo), mozhno, no pochemu-to vse vidennye mnoyu do etogo linux-based shapery s managementom queues/etc razmerom bol'she 10ka pravil lepilis' v takyu zhutkuyu svyzaku s tc/ip/iptables markup, chto mne kak-to maloponyatny shutki pro kostyli (nu, mozhet adminy krivorukie - im tak udobnee s etim iproute2 - a mozhet, arhitektura predpolagaet takie svyazki).

A chto do udobstva eshe - vot vam pozhalujsta - umel'tzy, kotorye smogut otflushit' tablitzy rulesov cherez ip CLI - v studiyu. Ya videl uzhe chetyre skripta (dva ili tri - v mailliste netfiltera), kazhdyj iz kotoryh flushit chast' - no ni odin polnost'yu.


"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено cryptoson , 19-Авг-06 14:37 
Думаю что до такого функционала какой в линуксе дает стандартная связка iptables + iproute pf да и вообще любому *nix-овому фаерволу далеко.
Помню как пытался на фришном роутере два 2-хмегабитных канала с множеством правил настроить -- ужжас, 2 defaultrout-а ipfw без извратов не умеет, да и пакеты теряет если настроить через fwd.
Пришлость перетащить на линукс, в нем все проерасно настроил и заработало.

"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено Lenin , 19-Авг-06 20:02 
>Помню как пытался на фришном роутере два 2-хмегабитных канала с множеством правил настроить -- ужжас

И где ужас?? Хоть 2 сотни - никаких проблем. У меня реально всего 8 правил(!) для задания типа ограничения + 8 правил на то, что должно подпадать под ограничения, для того чтобы нарезать 8 вида ограничений (в моем случае 4 разные одинаковые в обе стороны полосы пропускания)

>2 defaultrout-а ipfw без извратов не умеет

Пояни что имел вв виду. default на то и default чтобы быть одним. Условная маршрутизация настраивается тоже без проблем.

P.S.  Сдается мне ты ни статью эту не читал, ни доки на файры не смотрел (уж точно не до конца)


"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено Lenin , 19-Авг-06 20:13 
P.P.S. 4 категории симетричных полос пропускания, т.е. в моем случае каждому  IP ставится своя полоса, т.е. Реальных "трубочек"  на порядок больше где-то около 500 шт. И все это 16 правилами в ipfw ;-)

"Впечатление создателейiptables от пакетного фильтра pf"
Отправлено cryptoson , 19-Авг-06 21:30 
Так проблема то не в сложности настройки и количестве правил, а в том как все это настроенное работает. ipfw + pipes на юзеров и разделением трафика на ua-ix и мир с помощью  таблиц куда забит аггрегированный список сетей  с динамической маршутизацией при трафике в 4 мегабита теряет пакеты на celeron 450 мгц. Гуглением нашел выход -- советовалось пересобрать ядро с увеличенной частотой опроса чего-то там. Но в каком-то хауту прочел что ipfw не выдерживает трафик в 10мегабит и решил что лучше все-таки все перенастроить на линуксе где все это решается без проблем с производительностью и масштабированием. Кстати статью я прочел и документацию тоже почитываю, только вот не всегда гладко по бумажке можно и настроить, такие глюки во фре бывают, лучше уж линукс использовать - его больше народу тестит и область применения у него шире.

"Впечатление создателейiptables от пакетного фильтра pf"
Отправлено неаноним , 20-Авг-06 05:23 
>при трафике в 4 мегабита теряет пакеты на celeron 450 мгц

>в каком-то хауту прочел что ipfw не выдерживает трафик в 10мегабит

Давно такой ахинеи не читал


"Впечатление создателейiptables от пакетного фильтра pf"
Отправлено Dyr , 12-Сен-06 21:24 
>>при трафике в 4 мегабита теряет пакеты на celeron 450 мгц
>
>>в каком-то хауту прочел что ipfw не выдерживает трафик в 10мегабит
>
>Давно такой ахинеи не читал
+1.
А в ядре он, очевидно, не догадался включить DEVICE_POLLING

"Впечатление создателейiptables от пакетного фильтра pf"
Отправлено Lenin , 20-Авг-06 08:29 
Если Вы смогли настроить что-то на системе А, но у Вас не получилось на системе Б, это не значит, что это на системе Б не возможно. Про пайпы и очереди надо было почитать по подробней.
Если через водопроводную трубу в 4 литра в сек попробовать прокачать 5, то пролезет только 4, а остальное будет хлестать в обратку.

"Впечатление создателейiptables от пакетного фильтра pf"
Отправлено _Nick_ , 20-Авг-06 08:49 
>Если Вы смогли настроить что-то на системе А, но у Вас не
>получилось на системе Б, это не значит, что это на системе
>Б не возможно. Про пайпы и очереди надо было почитать по
>подробней.
>Если через водопроводную трубу в 4 литра в сек попробовать прокачать 5,
>то пролезет только 4, а остальное будет хлестать в обратку.

ваша теория либо доказывает, что ipfw - содержит ограничение в 4 л/с.
Либо если "это все сервер тормозит" - то это его Линух так разгоняет,
роутер успевает все отработать? :)


"Впечатление создателейiptables от пакетного фильтра pf"
Отправлено Lenin , 20-Авг-06 10:08 
Я хотел сказать, что если чел настроил 4 Мбит/с то больше роутер не прокачает и будут потери, если пытаться засунуть более не снижая скорости и cel 450 для 4 Мбит/с хватает под любой ОСкой. Сильно сомневаюсь, что именно Фряхи + ipfw человеку не хватало, и что именно Линь решил его проблемы. Здается, что под Линь он настроил "правильней", что не означает, что ipfw плох. Кстати, для фряхи есть еще pf с altq.
"Линух разгоняет" - это прям "Pentium 3 ускоряющий Интернет". ;-)

"Впечатление создателейiptables от пакетного фильтра pf"
Отправлено _Nick_ , 20-Авг-06 10:10 
>"Линух разгоняет" - это прям "Pentium 3 ускоряющий Интернет". ;-)

чисто выводы по Вашим словам ;)


"Впечатление создателейiptables от пакетного фильтра pf"
Отправлено Free , 21-Авг-06 22:59 
>Если Вы смогли настроить что-то на системе А, но у Вас не
>получилось на системе Б, это не значит, что это на системе
>Б не возможно. Про пайпы и очереди надо было почитать по
>подробней.
>Если через водопроводную трубу в 4 литра в сек попробовать прокачать 5,
>то пролезет только 4, а остальное будет хлестать в обратку.

Труба 4 литра в секунду - это круто!!! Это высокоинтеллектуальная труба!


"Впечатление создателейiptables от пакетного фильтра pf"
Отправлено unplaced , 20-Авг-06 15:55 
>Так проблема то не в сложности настройки и количестве правил, а в
>том как все это настроенное работает. ipfw + pipes на юзеров
>и разделением трафика на ua-ix и мир с помощью  таблиц
>куда забит аггрегированный список сетей  с динамической маршутизацией при трафике
>в 4 мегабита теряет пакеты на celeron 450 мгц. Гуглением нашел
>выход -- советовалось пересобрать ядро с увеличенной частотой опроса чего-то там.


Хм. На 90% уверен что "пересобрать ядро с увеличенной частотой опроса чего-там" это значило собрать ядро с options HZ=1000, что указано даже в man dummynet как Strongly recommended. Похоже все возвращается к непрочитанной документации :)

Вообще сликшмо много "в каком-то хауту", "чего-то там" -- никакой конкретики.


"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено cryptoson , 20-Авг-06 15:49 
Информацию о производительности ipfw я взял из хэндбука, раздел "Накладные расходы и оптимизация IPFW". Хотя там на 486-м тестировали. Настраивал все по документации с опеннета. Все равно получил сильные задержки и потери пакетов. С линуксом сразу запахало. Ну что же, будем фришку еще пытать, раз должно работать.

"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено cryptoson , 20-Авг-06 20:41 
Действительно скорость работы ipfw тут вроде не причем, потеря пакетов связана скорее всего с нерабочим fwd http://www.opennet.me/openforum/vsluhforumID1/50946.html#3

"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено Sem , 21-Авг-06 16:55 
Думаю, что не знание предмета тут на лицо. Потеря покетов тут не причем.

"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено Sem , 21-Авг-06 16:57 
Да, и "нерабочесть" fwd опять же связана с не прочтением документации и не отслеживанием списков рассылок, что бы быть в курсе, что же там изменилось.

"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено OnlySlon , 22-Авг-06 13:07 
К слову о 4х мегабитах, прокачиваем через Linux QoS более 100 мегабит инета. Жужжит. и загрузка проца 3-4 процента(p4-2Ghz). аптайм к году стремится.

"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено hvv , 27-Авг-06 12:50 
>К слову о 4х мегабитах, прокачиваем через Linux QoS более 100 мегабит
>инета. Жужжит. и загрузка проца 3-4 процента(p4-2Ghz). аптайм к году стремится.
>

Да не вопрос, сотней мегабит нынче никого не удивишь. Я, правда после перехода на гигабит, на фре отказался от шейпера (сначала был ipfw + altq, а потом pf портировали), но тут ситуация другая - с винтов отдаётся до 300+ мбит/с и машинке и так не очень хорошо, на I/O много уходит с таким железом (p4-2G + ata/sata побрякушки). Попробовать, что ли, шейпер включить и порезать кого-нибудь для интереса..


"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено bakake , 29-Авг-06 12:00 
Кстати, на втором уровне pf (фрюшный порт) работать не умеет. Надо было как то по MAC'ам  отфильровать, в итоге пришлось на ipfw пересобирать систему.

"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено brag , 28-Май-07 19:44 
Че вы ругаетесь то?
pf отличный firewall,сам пересел с ipfw..главное,что не тормозит. А вот ipfw+natd у меня тормозил,что проц хавал,что время отклика сильно увеличивалось.
К ста о гиговых сетках.. Кому-то удалось на FreeBSD получить хотябы 500-600мбит?
у меня даже по lo0 всего 200мбит

"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено Dyr , 28-Май-07 20:22 
>Че вы ругаетесь то?
>pf отличный firewall,сам пересел с ipfw..главное,что не тормозит. А вот ipfw+natd у
>меня тормозил,что проц хавал,что время отклика сильно увеличивалось.
>К ста о гиговых сетках.. Кому-то удалось на FreeBSD получить хотябы 500-600мбит?
>
>у меня даже по lo0 всего 200мбит
У меня на FreeBSD 6.2 500 Мбит было (больше просто канал не позволил). Правда, и загрузка проца была ого-го, причём самое интересно - включенный polling уменьшал нагрузку в разы, однако дропал пакеты напропалую, оставалось буквально 200Мбит.
Мать какая-то Asus, сетевухи bge, P4 3,3GHz.

"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено RootOfEvil , 02-Мрт-08 20:31 
Получалось вытянуть 959 Мбит.

>pciconf -lv

    vendor     = 'Intel Corporation'
    device     = '82546EB Dual Port Gigabit Ethernet Controller'

>uname -sr

FreeBSD 6.3-PRERELEASE

>sysctl hw.model

hw.model: AMD Athlon(tm) 64 Processor 3000+

Поллинг выключен.
Фаэрвол ipfw (2240 правил)


"Впечатление создателей  iptables от пакетного фильтра pf"
Отправлено NIck , 02-Мрт-08 22:37 
>Фаэрвол ipfw (2240 правил)

и первое правило гласит:
allow all from any to any

%)

(шутко)