nftables

[amarao]

nftables - это чудо инженерной мысли. Каждый раз, когда я сталкиваюсь с новой неприятной или сложной проблемой, о ней уже кто-то подумал.

* независимые сниппеты в конфигурации, которые мержатся самым очевидным и удобным образом.
* Возможность сбрасывать конфигурацию не целиком, а только для интересной части.
* Именованные счётчики с раздельным сбросом значений счётчиков, не зависящим от сброса правил.
* возможность логгировать события.
* ... дописывая к событию префикс.
* ... с индивидуальным рейтлимитом.

Пока что остаётся не решённой только одна проблема - сравнение дискового конфига и in-memory конфига.

Comments

[kondybas]

"..Является проектом по замене пакетов iptables, ip6tables, arptables[en], ebtables.."

Перефразируя старый анекдот, "Чего только люди не делают, чтобы только netgraph не юзать".

[amarao]

Расскажи про именованные счётчики в netgraph.

[kondybas]

Там жы ж нетфлоу прикручен.

[amarao]

netflow/sflow совершенно другой класс проблем решает. Если я хочу счётчики на дропы (причём я хочу различать дропы от одного правила и от другого правила), то как это сделать? Или, например, у меня ratelimit и я хочу счётчик на трафик, который был отброшен из-за ratelimit.