Forum Debian Users Gang

iptables save i restore nie zapisują ustawień ipseta, tylko same reguły firewalla.
Tablice ipseta musisz po każdym restarcie założyć od nowa.
możesz sobie zrzuć adresy z ipseta do pliku i potem je wczytać przy starcie.

Ja rozumiem że są lepsze/aktualne rzeczy lecz jakoś mi utkwiło w głowie te iptables oraz ipset i postanowiłem sie tym bardziej zająć z czystej ciekawości oraz jak to mówią "żeby wiedzieć z czym to sie je".
Czyli lepiej będzie jak przejdę na nftables i nim się zajmę? Wiecie szukam czegoś co mi da w jakimś stopniu kontrole nad tym co chce sie wbić do kompa.

morfik napisał(-a):

A nie lepiej zacząć się uczyć na aktualnych narzędziach, tj. nftables? xD  Przykład:

Kod:

table netdev traffic-control {
    set meter-tcp {
        type ipv4_addr
        size 128000
        flags dynamic,timeout
        timeout 1m
    }

    set meter-tcp6 {
        type ipv6_addr
        size 128000
        flags dynamic,timeout
        timeout 1m
    }

    set meter-icmp {
        type ipv4_addr
        size 128000
        flags dynamic,timeout
        timeout 1m
    }

    set meter-icmp6 {
        type ipv6_addr
        size 128000
        flags dynamic,timeout
        timeout 1m
    }

#    set autoban {
#        type ipv4_addr
#        size 128000
#        flags dynamic,timeout
#        timeout 1h
#    }

#    set autoban6 {
#        type ipv6_addr
#        size 128000
#        flags dynamic,timeout
#        timeout 1h
#    }

    chain INGRESS {
        # priority -500=before prerouting
        type filter hook ingress device "bond0" priority -500; policy accept;
#        ip saddr @autoban update @autoban { ip saddr timeout 1d } counter drop
#        ip6 saddr @autoban6 update @autoban6 { ip6 saddr timeout 1d } counter drop
#        tcp dport 22 add @autoban { ip saddr } counter drop
        ip protocol vmap { icmp : jump chain-icmp, tcp : jump chain-tcp }
        ip6 nexthdr vmap { tcp : jump chain-tcp6, ipv6-icmp : jump chain-icmp6 }
    }

    chain chain-tcp {
        tcp flags syn / fin,syn,rst,ack add @meter-tcp { ip saddr timeout 1m limit rate over 20/second } counter drop
        tcp flags syn / fin,syn,rst,ack counter accept
    }

    chain chain-tcp6 {
        tcp flags syn / fin,syn,rst,ack add @meter-tcp6 { ip6 saddr timeout 1m limit rate over 20/second } counter drop
        tcp flags syn / fin,syn,rst,ack counter accept
    }

    chain chain-icmp {
        add @meter-icmp { ip saddr limit rate over 20/second } counter drop
        limit rate over 1 mbytes/second counter drop
        counter accept
    }

    chain chain-icmp6 {
        add @meter-icmp6 { ip6 saddr limit rate over 20/second } counter drop
        limit rate over 1 mbytes/second counter drop
        counter accept
    }
}

Nftables ma te przewagę, że ma tablicę netdev, gdzie można podpiąć się pod hook ingress, który jest prawie na samym początku łańcucha przetwarzania pakietów (zaraz po odebraniu ich od karty sieciowej, grubo przed tablicą raw), co wpływa na wydajność całego procesu blokowania niechcianych pakietów (sporo mniejsze obciążenie procka i zużycie RAM).

https://thermalcircle.de/lib/exe/fetch.php?media=li … cket-flow.png

https://wiki.nftables.org/wiki-nftables/index.php/Netfilter_hooks
https://wiki.nftables.org/wiki-nftables/index.php/N … milies#netdev