Newsgroup: it.comp.os.linux.sys
Titolo: firewall cluster

Ciao,
spero di non essere OT (non ho capito se dovrei postare su sys,sw o
iniziare), vorrei realizzare una configurazione HA (tutti i nodi attivi in
load balancing con sincronizzazione degli "states" e del ruleset), di
solito uso OpenBSD ma mi sono stancato di alcuni IMHO "difetti" e vorrei
provare Linux (ho un mese sabatico).
Grazie a tutti.

Seba ha scritto:

IMHO, con Linux, NO WAY !
E purtroppo non si vede nulla di serio all'orizzonte (ct_sync fa cagare, 
ucarp così com'è serve a poco, c'è poco interesse... mi fermo qui....).

 solito uso OpenBSD ma mi sono stancato di alcuni IMHO "difetti" e vorrei
Mi diresti per cortesia quali sono i "difetti", cosa non ti piace?
Grazie.
Ciao,
Paolo

se...@libero.it
 wrote:

Su  linux  non  c'č  nulla   di  anche  solo  vagamente  paragonabile  a
OpenBSD+pfsync+carp.
Quali difetti hai trovato?
-- 
lg, You love GNUS: you'll be assimilated.



ma l'unica cosa bella di BSD non e' proprio il firewall?
Mi pare che sia un'opinione abbastanza condivisa che ipfilter e`
quantomeno ... non so come dire, dico: migliore ;)
Daje, ho provato ipfilter su un HP-UX e i file di configurazione di
ipfilter hanno almeno un senso. Le regole di iptables (quelle salvate con
iptables-save) sono una via di mezzo tra pezzi di codice assembler e lo
screen-saver di Matrix.
Per quanto riguarda la riga di comando di iptables.... oddio, lasciamo
perdere questa discussione.
-- 
echo onailimissaM | awk 'BEGIN { FS = "" }
{ for (i = NF; i >= 1; i-- )
  printf $i }'; echo



dai... avra` anche i suoi difetti.
Il punto e` che tra questi difetti non rientra sicuramente il firewall :)


 Il punto e` che tra questi difetti non rientra sicuramente il firewall :)
Non mi fraintendete, non penso che OpenBSD sia perfetto, vorrei 
_veramente_ sapere cosa è migliorabile per Seba.
Se mi leggi, Seba, mi toglieresti questa reale curiosità?
Grazie,
Paolo

 perdere questa discussione.
Ecco, lascia perdere quello che non riesci a capire ed a dominare.
pf è un bel firewall e pfsync è una grande cosa.
Netfilter, a parte il lack di HA stateful, è immenso.

 Ecco, lascia perdere quello che non riesci a capire ed a dominare.
Non e` questione di non saper dominare o di voler ostentare il fatto di
essere un geek a tutti i costi. Paragonato ad altri fa oggettivamente
schifo.


 schifo.
Direi proprio che non sai di che parli...

 Netfilter, a parte il lack di HA stateful, è immenso.
Perchè dici immenso? Quali feature lo rendono tale secondo te?


 Buongiorno: non ricordo cosa ho testato HP-UX circa un anno fa.
Eccolo qua:
http://h20293.www2.hp.com/portal/swdepot/displayProductInfo.do?productNumber=B9901AA




Direi proprio che non hai niente da rispondere...
Io non conosco tutti i firewall di BSD (e me ne frega molto meno di un
ca$$o di conoscerli).
Ho fatto il paragone con quel porting per hp-ux che io stesso ho provato
su alcune macchine tempo addietro.
Mi sono solo fermato al formato dei file di configurazione.
iptables non si puo` dire che ne ha uno e l'unica cosa che mi e` venuta in
mente e il file generato da iptables-save.
La linea di comando per funzionare funziona, ma fai un append, togline un
altro, metti questo e l'altro e non si capisce piu` un cazzo.
fra l'altro, il firewall di BSD ha un sistema per ottimizzare e
comprendere il senso logico di tutte le rule messe in append.
con iptables uno come te rischia solo di fare cazzate.


 load balancing con sincronizzazione degli "states" e del ruleset)
Dovresti usare il modulo ct_sync di netfilter unitamente a carp.
Non si tratta però di una soluzione indicata per un ambiente di
produzione, dato che lo sviluppo del modulo ct_sync procede piuttosto
lentamente.
Maggiori info:
https://lists.netfilter.org/mailman/listinfo/netfilter-failover
Molto interessante per il prossimo futuro anche il progetto conntrack
(
http://www.netfilter.org/projects/conntrack/index.html
) che attualmente
è una librearia ed un tool a riga di comando, ma che può diventare
un'ottima base di partenza per creare un demone che sincronizzi le
tabelle su due o più macchine.
-- 
Flavio Visentin
Membro del CICAP
Comitato Italiano per il Controllo delle Affermazioni di P4

 stessi risultati ottenibili con iptables.
Allora prova shorewall.


 Allora prova shorewall.
ho letto un tuo messaggio di alcuni giorni fa e ho deciso di installarlo.
L'approccio e` a file di configurazione, ed e` questo quello che ci vuole.
poi, mai provato, pero`, in Gentoo, ehm, c'e' pure questo:
 esearch -F sys-freebsd/freebsd-pf
[ Results for search key : sys-freebsd/freebsd-pf ]
[ Applications found : 1 ]
*  sys-freebsd/freebsd-pf [ Masked ]
      Latest version available: 6.1
      Latest version installed: [ Not Installed ]
      Size of downloaded files: 118,066 kB
      Homepage:    
http://www.freebsd.org/
      Description: FreeBSD's base system libraries
      License:     BSD


 con iptables uno come te rischia solo di fare cazzate.
Rotfl, il delirio di onnipotenza allo stato brado.
-- 
Mi arrivano giornalmente almeno 20 messaggi
che tentano di vendermi prodotti per ingrossare il pene.
Come referenze sono ottime: mi hanno gia' fatto 2 palle cosi'!
http://www.neodigital2k.com

 esearch -F sys-freebsd/freebsd-pf
Vedo difficile provarlo, su una normale gentoo. E a questo punto tanto
vale usare una vera FreeBSD.

 schifo.
Certo, Adamo, certo.

 Perchè dici immenso? Quali feature lo rendono tale secondo te?
Granularità estrema, controllo totale del destino di un pacchetto,
struttura modulare, un numero elevatissimo di nat helper, capacità
di inspection notevolissime, fino a layer 7.
Può bastare, direi.
Mi rendo conto che molti preferiscano il "lingaggio naturale"
di ipfilter o pf (c'è chi usa ancora ipfw, se è per questo), ma
quel che non accetto è che si venga a dire che netfilter fa schifo
semplicemente perchè non ci si riesce a raccapezzare tra tabelle e catene
di iptables.

  esearch -F sys-freebsd/freebsd-pf
Rotfl.
Sì, vatti a guardare le dipendenze.
(lo sai che portage è multiOS, vero?)

 con iptables uno come te rischia solo di fare cazzate.
Google pullula delle tue immense figure da peracottaro; prima
di sparare certe sentenze, fatti un bell'esame di coscienza e magari
informati sulle persone con cui ti confronti.

 vale usare una vera FreeBSD.
(beh, gentoo-freebsd è imho più gestibile di una freebsd plain...:->)



e` un mio limite il fatto che iptables e` facilmente incasinabile o e` un
limite di iptables il non avere un'ottimizzazione per le regole in append?
anche per te: pensaci su un attimo ... non da linuxaro, con gli amici del
NG che ti danno le pacche sulle spalle.
e dai rispondi....


 Certo, Adamo, certo.
dai amici, dategli tutti la pacchetta sulla spalla. 


 colpa di iptables, ma un tuo limite.
e` un mio limite se non metto i commenti?
o e` un limite di iptables il non avere un'ottimizzazione per le regole in
append?
Pensaci su un attimo ... non da linuxaro, con gli amici del NG che ti
danno le pacche sulle spalle.


 catene di iptables.
Questo lo quoto.
Ripeto, se si può parlare di difetto, il difetto di iptables (rispetto a
pf) consiste nel fatto che netfilter non riesce ad ottimizzare le regole
che vengono messe in append. Molto onestamente ti dico che non ho mai
lavorato con pf (perché *non* lavoro su BSD) ma ho letto qualche
documentazione e so che pf ha un sistema di ottimizzazione delle regole.
da un'altra parte, il fatto che non si possano avere delle ottimizzazioni,
forse dipende proprio dal fatto che iptables funzionerebbe proprio a riga
di comando.


 append?
È indubbiamente un tuo limite il non riuscire ad organizzare le regole
in maniera opportuna. iptables ti da tutti gli strumenti per farlo, se
non lo fai[1] è solo un problema tuo.
[1]per pigrizia, ignoranza o incapacità, il motivo è irrilevante.

 limite di iptables il non avere un'ottimizzazione per le regole in append?
E' un tuo limite.




metto le mani avanti sul fatto che potrei anche essere ignorante, ma sei
sicuro che iptables faccia lo stesso ==>
Transparent rule set evaluation optimization
pf automatically optimizes the evaluation of the rule set. If a group of
consecutive rules all contain the same parameter, e.g., ``source address
equals 10.1.2.3,'' and a packet does not match this parameter when the
first rule of the group is evaluated, the whole group of rules is skipped,
as the packet can not possibly match any of the rules in the group.


 E' un tuo limite.
Non e` questione di limite. 
E` questione del fatto che non mi risulta che iptables abbia un sistema
per ottimizzare le "rule" messe in append.
Considera anche il fatto che "ottimizzazione" non vuol dire tanto/solo
prevenzione di errori, ma miglioramento delle prestazioni, in quanto 10
regole possono avere parti che si sovrappongono. Con pf le parti
uguali vengono scartate e vengono fuse e ottimizzate e non vengono lette
10 regole tutte uguali.
Ditemi che mi sbaglio... in tal caso fornitemi anche un link con la
documentazione.
Da quel che mi risulta se tu a iptables dici cazzate, lui fa cazzate.
Se a pf tu dici cazzate, lui si accorge che sono cazzate e le scarta e
ottimizza.


 danno le pacche sulle spalle.
Ok non sei un cazzaro, sei un cretino.
-- 
L'universita' americana di Berkeley
ha prodotto due importanti invezioni: l'LSD e Unix.
Credo non sia una coincidenza.
                                          Jeremy S. Anderson

 ottimizza.
Se non sai cosa fai è un problema tuo non del prodotto. Avere 10 regole
uguali, anche se non è particolarmente utile, non è comunque errato. Sta
a te non farlo.


 di comando.
Dipende dal fatto che iptables è stateless nel suo meccanismo di
funzionamento. Ovvero per fare un esempio, che non puoi scrivere una regola
che si basi sul _numero_ di regole che sono state attraversate fino a quel
momento. Non puoi fare molte altre cose, come ad esempio usare nomi
simbolici nelle regole, quindi ti serve uno script del tipo 
ADDR=1.2.3.4
iptables ... -<parametro> $ADDR
il che è poco integrato nella logica di iptables, visto che la regola viene
salvata come iptables ... -<parametro> 1.2.3.4, tanto che esistono NAT e
MASQ come target :)
-- 
Per rispondermi, togli il nome del poeta

 consecutive rules all contain the same parameter, e.g., ``source address
[...]
Netfilter non ha alcun bisogno di fare ottimizzazioni automatiche, se
chi scrive le regole usa un monimo di buon senso (uso intelligente di
chain aggiuntive e del target RETURN, tanto per dire). In caso contrario
ne verrà fuori una schifezza, ma non vedo proprio come questo possa
essere imputato ad iptables.

 a te non farlo.
per carita`... certo.
pf comunque carica in memoria cio` che e` corretto ed e` corretto che sia
cosi. Esempio super-stupido:
tu hai un grosso firewall con centinaia e centinaia di regole. Tu hai gia`
da qualche parte una regola che blocca in ingresso la rete 193.194.195.0
sulla porta 1234
Aggiungi una nuova regola che blocca l'indirizzo 193.194.195.196 sulla
porta 1234
iptables carichera, secondo le sequenza che tu hai stabilito, sia la
prima regola, sia la seconda.
con pf quando carichi le regole in memoria la regole gia` compresa in
un'altra sara' scartata.
... ma tanto per dire una cazzata.
Non e` che avere un sistema del genere sia una cosa malvagia.




Premetto che non sono un amministratore di firewall, mi chiedo pero` di
che dimensioni sono i firewall che gestite voi?
sono dei grossi firewall con centinaia di regole?
spiegati meglio.


 sostanzialmente un cazzaro.
cosa ti devo rispondere? Che hai rotto il ca$$o?
E` la seconda volta che esci alla stessa maniera.
Il fatto che pf ottimizzi le regole e` un dato di fatto e il fatto che tu
risponda in alcun modo costruttivo:
a) non aumenta le possibilita` che tu venga soccorso dagli amici linuxari
a pacchettine sulle spalle
b) non ri rende piu` credibile.




quoto ... aggiungo un pensierino che mi passava per la testa da
profano del firewall di *BSD (come ho detto ho provato solo ipfilter su
hp-ux) e puo` essere un'idea completamente strampalata visto che quel
firewall *non* lo conosco:
1) in iptables tu aggiungi e rimuovi regole e la configurazione cambia
dinamicamente. Chiaro come il giorno.
2) in pf (e ipfilter che conosco un po`) tu scrivi le regole in file di
configurazione. La mia impressione, il mio ricordo vago, e` che la
configurazione di ipfilter (e pf) potrebbe non essere aggiornabile
dinamicamente ma che deve essere ricaricato *tutto* il firewall in
memoria. A quel punto, quando il firewall viene ricaricato, il file di
configurazione viene letto da cima a fondo ed e` qui che avviene
l'ottimizzazione e il riordino delle regole.
tutto cio` potrebbe anche essere sbagliato, parzialmente o completamente :)


 sono dei grossi firewall con centinaia di regole?
firewall1:~# iptables -L -n | wc -l
1808
firewall1:~# iptables -t nat -L -n | wc -l
104
firewall1:~# iptables -t mangle -L -n | wc -l
30
firewall1:~# iptables -L -n | grep -c Chain
202
firewall1:~# iptables -t nat -L -n | grep -c Chain
20
firewall1:~# iptables -t mangle -L -n | grep -c Chain
9


 1808
1) tu bari perche` hai detto che usi shorewall. Il che cambia tutto ;)
Facciamo finta che io non so che tu usi shorewall.....
ok massimo rispetto per te e per le tue 1808 regole :)
ma non suderai un po' freddo quando arrivera` il momento di aggiungere la
milleottocentonovesima regola? ;)
Dove incastrarla? E' gia`contenuta in un altra? che fo`?
Capisci che e` piu una questione pratica che non una questione di
dimostrare la tua supremazia sulla macchina?


 Non e` che avere un sistema del genere sia una cosa malvagia.
Non è malvagio, è superfluo. Ci sono altre priorità. Per esempio prima
di una cosa così sarebbe utile che terminassero ct_sync.


 simbolici nelle regole, quindi ti serve uno script del tipo 
Cerca ipset. Potrebbe fare al caso tuo.


 linuxari a pacchettine sulle spalle
Vedi, Adamo, il fatto che al mondo esistano persone che intervengono 
quando c'e' qualcosa di sensato da dire e che parlano con cognizione di 
causa, e' un dato di fatto, fattene una ragione.
Se continui a usare come metro di giudizio la tua insulsa esistenza, 
non farai mai progressi.
Che tu ci creda o no, esiste gente che non ha bisogno di nascondersi 
dietro al branco o al nome di una grande azienda...
f/up impostato
-- 
*** Hi! I'm a .signature Virus ! Copy me
    to your signature to help me spreading! ***
http://www.neodigital2k.com

 linuxari a pacchettine sulle spalle
Vedi, Adamo, il fatto che al mondo esistano persone che intervengono
quando c'e' qualcosa di sensato da dire e che parlano con cognizione di
causa, e' un dato di fatto, fattene una ragione.
Se continui a usare come metro di giudizio la tua insulsa esistenza,
non farai mai progressi.
Che tu ci creda o no, esiste gente che non ha bisogno di nascondersi
dietro al *branco* o al nome di una grande azienda...


 limite di iptables il non avere un'ottimizzazione per le regole in append?
Stai mischiando argomenti che non c'entrano una mazza.
Prima ti lamenti della _sintassi_ di iptables, poi parli di ottimizzazioni.
Ad oni buon conto, magari non l'hai notato, ma netfilter sta cambiando
profondamente.
E se servono otimizzazioni spinte per grandi firewall, c'è nf-hipac (solo
per il filtering, per ora)

 dimostrare la tua supremazia sulla macchina?
M E T O D O. Solo quello.


 Prima ti lamenti della _sintassi_ di iptables, poi parli di ottimizzazioni.
no e la stessa cosa:
la sintassi cazzuta ti induce in "errori" che per di piu`, in netfilter,
non sono ottimizzati/corretti.


 1) tu bari perche` hai detto che usi shorewall. Il che cambia tutto ;)
Non cambia nulla, solo l'interfaccia utente.



Ovvero i file di configurazione.
Questo quello che dico.
Shorewall ha dei file che assomigliano a quelli di ipfilter (si ok
ipfilter e vecchio ma questo ho provato)


 M E T O D O. Solo quello.
si ok ... sono d'accordo, pero`... permettimi, mi sembra proprio come se
un emanuense negasse l'utilita` di cio` che ha fatto Gutenberg.


 di una cosa così sarebbe utile che terminassero ct_sync.
boh.... adesso gli amici qui mi picchiano, pero` quel che ho da dire lo
dico.
mi sembra una delle tante discussioni che, PURTROPPO, di sovente si
hanno con i linuxari (che pur essendo gente capace sono un po` caparbi e
testoni).
Ho aperto una feature request per Pan (il news-reader) lamentando il fatto
che non e` possibile (come avviene in thunderbird) chiedere quanti
messaggio voglio scaricare. Questa richiesta avviene solo la prima volta
che si sottoscrive un ng. Le volte successive funziona solo se fai
right-click.
Io gli ho detto che per colpa di cio` mi succedere di ritrovarmi con NG
con piu` di 50mila headers con messaggi che mai leggero` e che mi
appesantiscono inutilmente il programma.
Sai qual'e` stata la risposta?
"hai provato la nuova versione beta? Questa versione puo` tranquillamente
gestire 100mila messaggi senza problemi".
dico io: chi ca$$o se ne frega se puo` gestire 100mila messaggi. Io
semplicemente non ho bisogno di scaricare tutta quella mole di messaggi.
Per me possono anche aggiungere il supporto per un DB relazionale e dare
a Pan la possibilita` di gestire fino a un milione di header, ma a me non
me ne frega niente.
Tipica risposta da linuxaro... pero` ho protestato un po` (perche` con voi
bisogna fare cosi`) e la richiesta e` stata accettata.
p.s.: ah, anche io sono un "linuxaro", non e` che sono un marziano.


 Ho aperto una feature request per Pan 
For your reference:
http://bugzilla.gnome.org/show_bug.cgi?id=346864


 p.s.: ah, anche io sono un "linuxaro", non e` che sono un marziano.
E' offensivo per la categoria dei linuxari :-P


 possibilita` di fare casini.
Diversamente da te (lo dici tu, non lo dico io...) amministro tutti i
giorni firewall cisco, firewall linux e anche qualche  BSD.
Il numero di regole dei "cosi" varia dalle poche decine alle "alcune
migliaia" dell'infrastruttura più complessa (no, non si usa shorewall,
direttamente iptables).
Molti dei più complessi sono amministrati "a più mani", per via del
fatto che a gestirli è un gruppo (di persone di più aziende, peraltro) e
non un singolo, quindi ci trovi dentro situazioni che variano in tutto
lo spettro possibile, a seconda di chi ci ha messo le mani.
Ti assicuro che un cazzaro alla guida di un PIX può rendere un ruleset
tanto incomprensibile quanto può farlo un cazzaro con in mano iptables.
Checchè tu ne dica, non esiste firewall, nella mia esperienza, a prova
di imbecille. Al limite, ci sono imbecilli a prova di firewall.
Saper scrivere un ruleset decentemente comprensibile *fa parte* dei
requisiti per non essere dei cazzari. Non è un optional.

 messaggio voglio scaricare.
Tasto destro sul newsgroup che ti interessa->More Download options->
Download recent headers e metti il numerino.
Siamo alle solite, direi.

 
http://bugzilla.gnome.org/show_bug.cgi?id=346864
Penso che dovresti evitare di far perdere tempo agli sviluppatori: quella
feature c'è *già*.

 tanto incomprensibile quanto può farlo un cazzaro con in mano iptables.
(anche perchè se becco qualcuno che mi racconta che la sintassi di un pix
è user friendly, lo voglio a cena. Come main course, ovviamente. <g>)

 è user friendly, lo voglio a cena. Come main course, ovviamente. <g>)
Fosse solo per la sintassi...
-- 
Luca Corti
PGP Key ID 1F38C091
Adesso dico: "Bello."

 OpenBSD+pfsync+carp.
aggiungerei +sasyncd+ifstated.
-- 
Luca Corti
PGP Key ID 1F38C091
Adesso dico: "Fede."

 tabelle su due o più macchine.
Speriamo.
Intanto ci sarebbe da provare questo coso che e' stato presentato di
recente su netfilter-devel:
 
http://people.netfilter.org/pablo/conntrackd/
 
(io non l'ho ancora testato).
Fabio

 _veramente_ sapere cosa è migliorabile
Il logging e' penoso.
Il filtraggio e' meno granulare e potente di netfilter [1].
Non e' possibile alterare il ruleset attivo senza ricaricarlo per
intero (AFAIK) [2].
Non e' possibile supportare protocolli o gestire funzionalita' di
filtraggio che richiedano l'ispezione del layer applicativo.
In rigoroso ordine inverso di lunghezza della frase, questi sono,
IMHO, i primi aspetti negativi di pf che mi vengono in mente.
Fabio
[1]  leggere su icol.S che netfilter e' "meno buono" perche' piu'
     complesso da configurare, fa venire i brividi (gia' mi suona
     male detto dagli zeloti di openbsd).
[2]  salvo quello che si puo' fare lavorando sulle tabelle.

 Può bastare, direi.
Aggiungerei la versatilita' del logging.
Fabio



Giustissima osservazione: quel che si può fare con ulog è impareggiabile.
(io è un bel pezzo che non ci metto le mani, mi pareva che tu lo usassi
correntemente: sbaglio o ulog è stato dichiarato obsoleto?)

 filtraggio che richiedano l'ispezione del layer applicativo.
http://marc.theaimsgroup.com/?l=openbsd-pf&m=108846519101164&w=2
ciao
Luca

 
http://marc.theaimsgroup.com/?l=openbsd-pf&m=108846519101164&w=2
E` un punto di vista (sul quale, peraltro, mi trovo parzialmente
d'accordo), non una verità assoluta.

 mysql...insomma, si puà loggare per benino...:-)
Ops, letto malissimo e risposto in maniera assolutamente non coerente alla
tua domanda, sorry.

 d'accordo), non una verità assoluta.
E non dico che sia tale. Volevo semplicemente alimentare il dibattito
con un po' di sano contradditorio, altrimenti e' il solito flame... sono
interessato al tuo punto di vista in merito se hai voglia di illustrare.
ciao
-- 
Luca Corti
PGP Key ID 1F38C091
Adesso dico: "Ed essi dissero: «Signore, ecco qui due spade». Ma egli
rispose «Basta!»." Lc 22,14-38



saro' un po' flammante, pero' la parola adatta non e' "complesso", ma
"stupido/idiota".
Idiota non tanto il firewall, quanto il metodo di configurazione.
Se parlo di complessita' lo faccio riferendomi alla gestione di una
grosse mole di dati, regole.... qui si parlava di firewall con 2mila
rules... non con il firewall domestico per fare il nat.


 rules... non con il firewall domestico per fare il nat.
# iptables-save | wc -l
12194
Quale e' esattamente il problema?
Il metodo di configurazione a linea di comando di netfilter, e l'uso di
chain per suddividere il ruleset, e' nella mia esperienza proprio quello
che *agevola* la gestione di grossi ruleset.
Il comando di cui sopra e' eseguito su una macchina che utilizza liste
di IP *esterne* al ruleset vero e proprio, dai quali appositi script
estraggono le variazioni e aggiornano il ruleset.
Il vantaggio, ad esempio, e' che chi amministra switch e deve mettere
mano alla lista di ip per cui e' consentito SNMP, deve solo avere il
permesso di aggiornare il file con la lista di IP degli switch.
Se voglio e se posso, poi, li vado a pescare direttamente dal DB del SW di
monitoraggio, e non do' alcun permesso a nessuno.
Il limite e' la fantasia e l'opportunita'.
Quindi, permetti, ma "stupido/idiota" un corno: chi ha un *minimo* di
capacita' fa fare ad iptables letteralmente quello che vuole, con una
flessibilita' che nella mia esperienza ha ben pochi rivali in giro.

 flessibilita' che nella mia esperienza ha ben pochi rivali in giro.
Eh mai tu sei quello che cosi' "rischia di fa cazzate" ;)
-- 
Senti, se abbiamo un culo, non significa che qualcuno deve per forza 
metterci qualcosa dentro.
                                                   Bodhi

 Eh mai tu sei quello che cosi' "rischia di fa cazzate" ;)
ti piacerebbe amministrare apache, bind tutto a botte di command line?


 >rendere il sistema non utilizzabile ma in modo sottile ?
Se NT puo' installarsi via FTP, e' la tua risposta.
 
Leonardo Serni

 ti piacerebbe amministrare apache, bind tutto a botte di command line?
Perche', come altro si fa? :-D

 ti piacerebbe amministrare apache, bind tutto a botte di command line?
A dire il vero, e` quello che faccio normalmente. Oppure intendi anche
"senza editor"? (non sto parlando di webmin, ma senza joe io sono
perso :)
Bye.
-- 
Alessandro Pellizzari

 "senza editor"?
solo con ed
<g>

 "stupido/idiota".
Ok, si è capito, non riesci ad usare iptables. Pazienza, non muore
nessuno.



cioe` il tuo apache non hga un httpd.conf?
o il tuo bind non ha un named.conf o file di zona?
tu definisci tutto da command line?


 
certo intendo senza editor. Come iptables.
senza file di configurazione, senza named.conf, senza file di zona, senza
httpd.conf ..... niente di niente.


 Mi spieghi quale sarebbe il problema?
mi spiego meglio: httpd.conf non esiste piu', named.conf non esiste piu',
i file di zona non esistono piu'. Devi fare tutte le modifiche in modo
dinamico, tramite linea di comando.... sai magari potrebbe diventare piu`
granulare. Che fai scherzi!




io preferirei se ciascuno di voi si qualificasse prima di parlare.
Esempio:
-> io amministro un firewall con migliaia di regole e quindi ho titolo per
parlare.
-> io amministro un firewall per 3 picci quindi mi sto zitto.
-> io amministro grandi firewall e ho esperienza sia su pf sia su
netfilter, quindi statevi zitti.
Forse la discussione potrebbe anche diventare un po` migliore.
Per quel che mi riguarda non sono un amministratore di firewall... ma io
avanzo solo ipotesi... che, credimi, stupide non sono.


 feature c'è *già*.
Ma certo che sei veramente forte.
Se cosi' fosse perche' lo sviluppatore mi avrebbe risposto: "usa la beta
che non ha problemi a gestire migliaia di headers"
Ma poi tu rispondi usando le cose che ho detto io allo sviluppatore.
Io ho messo le mani avanti e ho detto che un "workaround" c'e' ma non e'
una soluzione ottimale, come quella che c'e' in thunderbird.




ma che 'ed'? Magari!
Io non ho detto di fare apachectl stop.
ho detto che non esistono piu' file di configurazione :P .... sai com'e',
per la granularita', facciamo questo e altro.


 avanzo solo ipotesi... che, credimi, stupide non sono.
In base proprio a quanto affermi sopra, non dovresti starti zitto?

 diventare piu` granulare. Che fai scherzi!
Sei di coccio Adamo.
Quale malattia mentale ti impedisce di creare uno script, adeguatamente 
commentato, con eventuali variabili da modificare per stabilire 
interfacce, comandi, chain e quant'altro, e modificare quello?
-- 
Devi sapere che l'Universo puo' essere visto come una battaglia fra i
sistemisti, che cercano di realizzare sistemi a prova d'idiota, e Dio
che crea idioti sempre piu' sofisticati. Inutile dire che, per ora, Dio 
sta vincendo.                                           Leonardo Serni

 per la granularita', facciamo questo e altro.
Sai, penso tu che tu abbia grossi problemi di turbe psichiche...

 io avanzo solo ipotesi... che, credimi, stupide non sono.
In tre righe l'apoteosi della contraddizione, Adamo:
Non sei un amministratore, non conosci iptables e sei convinto che le 
tue considerazioni non siano stupide, nonostante tutti te lo stiano 
facendo notare.
Senti un po', non e' che per caso abiti ad Arcore?


 Senti un po', non e' che per caso abiti ad Arcore?
ma manco po` cazzo. E non mi piace la Lombardia.




Non sto nemmeno dicendo di essere un geek dei firewall, sto dicendo che,
avendo provato ipfilter, ho trovato che quel sistema di configurazione
sia, NON TANTO PIU` SEMPLICE QUANTO PIU` FACILE DA GESTIRE.
Ed e` cosi`. Punto. E chi lo nega dimostra indirettamente di essere
stato in vita sua niente id piu che un amministratore di 3 picci'.


 interfacce, comandi, chain e quant'altro, e modificare quello?
A te quale malattia mentale di impedisce di usare sistemi un tantino piu`
professionali, che abbiano quantomeno dei file di configurazione?


 avanzo solo ipotesi... che, credimi, stupide non sono.
È proprio qui che sbagli.

 interfacce, comandi, chain e quant'altro, e modificare quello?
ma si lo ammetto. Preferisco amministrare bind, postfix, apache tramite
file di configurazione e per questo sono di coccio.


 strumenti attualmente in circolazione.
Hai provato ipfilter? Hai letto uno straccio di documentazione?
Io ho lavoricchiato su ipfilter e mi sono documentato su pf.
Come fai altrimenti a definire iptables come "uno dei piu' potenti" se, da
quel che capisco, forse e' l'unica cosa che conosci.


 stato in vita sua niente id piu che un amministratore di 3 picci'.
Per essere uno che amministra firewall di 3 picci', direi che ti
dimostri un po' saccente.
In questo momento sto da un cliente, dove amministro i firewall di cui
sopra (sono 28 firewall) con alcune migliaia di regole ciascuno, in una
rete piuttosto grossetta (non ho idea del numero di client, ma posso
dirti che ci sono in questo momento 963 switch *monitorati*, quindi
fatti tu una stima).
Questi 28 sono tutti netfilter.
Ci sono anche una dozzina di PIX 535, se proprio vogliamo fare il pelo...
Insomma, penso di non essere esattamente un novellino, e di non
amministrare esattamente reti da 3 PC.
Francamente, non ho alcun problema a gestirli, quindi torniamo alla
osservazione iniziale: perche' additi a netfilter quello che e' un
limite tuo, ovvero la mancanza di capacita' di scriverti uno script?

 tramite file di configurazione e per questo sono di coccio.
Non hai capito un cazzo, e la cosa non mi stupisce.
-- 
c:\winnt> secure_nt.exe
  Securing NT.  Insert Linux boot disk to continue......
http://www.neodigital2k.com

 configurazione?
Rotfl


 
http://marc.theaimsgroup.com/?l=openbsd-pf&m=108846519101164&w=2
Conosco quel post, e trovo che la trattazione della problematica sia 
abbastanza confusa, oltre che limitata e, in certi passi, incoerente
con altre scelte fatte in pf. Alcune oservazioni sono sicuramente da
condividere ma dovrebbero essere (IMHO) meglio contestualizzate. Per 
esempio, non viene minimamente preso in considerazione uno degli usi 
principali dell'ispezione del payload: il poter gestire i protocolli
che negoziano tra i peer una nuova connessione da eseguirsi su porte
diverse da quelle in uso. Comunque, se identifichi su quali opinioni
o punti esposti nel post ti trovi in accordo si puo', eventualmente,
parlare di quelli.
Fabio