Компьютерный форум OSzone.net  

Компьютерный форум OSzone.net (http://forum.oszone.net/index.php)
-   Новости и флейм из мира *nix (http://forum.oszone.net/forumdisplay.php?f=33)
-   -   firewall-ы что лучше и почему (плюсы и минусы) /cut from Каким дистрибутивом с веб.. (http://forum.oszone.net/showthread.php?t=51651)

SantaXP 08-07-2005 22:43 339603
firewall-ы что лучше и почему (плюсы и минусы) /cut from Каким дистрибутивом с веб..
 
mar
Насчёт безопастности. Вообще, на мой взгляд, человечество ещё ничего более удобного, простого и эффективного, кроме как ipfw - не придумало. :)

mar 08-07-2005 23:52 339627
SantaXP
Если серьезно: ipfw все-таки, наверное, имеет отношение к безопасности firewall-а, а не web-сервера, который чаще всего лучше бы от греха подальше все-таки держать за этим самым firewall-ом. (NB - эта ветка вырезана в отдельный топик из обсуждения web-серверов) Для задач, решаемых ipfw лучше ipfw, наверное, может быть портированный из openBSD pf.
Плюcом BSD-ых pf/ipfw является скорость (поскольку работает все это на уровне ядра). Плюсом linux-ых firewall-ов является навороченность (iproute2), позволяющая делать очень сложные (и не всегда нужные для работы с web-сервером из нашей темы) пассажи. (Я не уверена, что это невозможно на ipfw, пусть специалисты меня поправят (у нас, помнится, Barracuda весьма сложные вещи на ipfw выделывал :)) (Примеры про Linux из нашего форума (чтобы далеко не ходить:) :
тема Linux vs. FreeBSD - стр.12
тема "сеть")
При разговоре про безопасность web-сервера скорее надо поминать jail, chroot и прочие вещи, защищающие ВЕСЬ серверот его части, выделенной под файловую систему apache. Но для того, чтобы это обсуждать, надо опять-таки решить, о каких вариантах web-сервера мы говорим :)

Минусом данной дискуссии является то, что опять придется ей хвост откусывать и перемещать в Linux vs. FreeBSD :(

bdancer 09-07-2005 17:39 339771
mar
>Плюcом BSD-ых pf/ipfw является скорость (поскольку работает все это на уровне ядра)
А вы думаете iptables не входят в ядро linux?

mar 09-07-2005 20:00 339794
bdancer
Цитата:
Цитата bdancer
mar
>Плюcом BSD-ых pf/ipfw является скорость (поскольку работает все это на уровне ядра)
А вы думаете iptables не входят в ядро linux?
чего тут думать, всегда же можно посмотреть? =). В ядро linux входит поддержка iptables, работающих по принципу парсера (то есть гоняют пакет по дереву правил). На неделе смогу попробовать уточнить в литературе (можно поковыряться в коде, но у меня туго со временем - предлагаю желающим заняться :). Пока посоветовалась с ihc (кстати, разработчиком минилинукса radlinux и вполне себе приверженца Linux :)) Он собственно вышесказанное и подтвердил, добавив
Цитата:
насколько я видел, фрёвый фв на самом деле меньше грузит машину
Народ, если мы хотим обсуждать firewall-ы (а не веб-сервера), может вырезать эту часть в отдельную ветку? Или если страсть, как охота пофлеймить на тему Linux vs FreeBSD - можно прикрепить туда?

bdancer 11-07-2005 12:44 340136

Belansky
Но, вспомним, что помимо FreeBSD есть еще Open, Net и прочие BSD-like системы. Так что, если тебе придется админить, например, openbsd, то ты уже не скажешь, что "где, что и каким конфигом настраивается, где расположены стартовые скрипты системы". К тому же, при установке системы на сервер с нуля твоя фраза легко преобразуется в "Поэтому, я предпочитаю везде, где есть такая возможность, разворачивать сервера под <мой любимый дистрибутив Linux>"
И вообще, почему "Linux vs. FreeBSD" давайте уж "Linux vs. *BSD"

mar 11-07-2005 16:07 340179
bdancer
Шуить изволите? Хорошо, делаю вид, что это стр-р-рашная тайна и прилюдно ее раскрываю: BSD-системы отличаются не только сборкой дистрибутива и отдельными библиотеками, как разные дистрибутивы Linux, но и такой мелочью, как ядром, ну и всеми остальными мелочами, естественно, тоже :) То есть я не могу, как это делала в Linux скачать ядро с kernel.org и и поставить на свою систему.
Свободные BSD системы - это эволюционные ветви BSD (то есть разрабатываемоой в небезизвестном :) университете Беркли) ОС Unix. А вот как раз многое в стартовых скриптах BSD-систем (по крайней мере в OpenBSD и FreeBSD) похоже и лежат в похожих местах. (Скорее всего сказываются общие корни и принципы разработки).
Поэтому "Linux vs. *BSD" - неправомочно. Хотя (сугубое имхо) неправомочно и само "vs", потому, что попытка пртивопоставления с обязательным желанием доказать, что у нас самое-самое гораздо менее конструктивна, чем попытка понять слабые стороны того, что нравится тебе, сильные стороны того, что имеется рядом и, соответственно, желания портировать. В первом случае имеем ряд высказываний на которые чаще всего не хочется отвечать, во втором - pf (из OpenBSD) во FreeBSD, порты в Gentoo, удобные (хотя и о ужас! внешне похожие на виндовые) window managers под *nix и наконец, бессмертный mc - не что иное, как (весьма удачная) реинкорнация незабвенного (для тех, кто застал :)) дос-овского nc (Norton Comander) и т.д.

FrIcE 13-07-2005 08:26 340571
Цитата:
Цитата mar
Если серьезно: ipfw все-таки, наверное, имеет отношение к безопасности firewall-а, а не web-сервера, который чаще всего лучше бы от греха подальше все-таки держать за этим самым firewall-ом. Для задач, решаемых ipfw лучше ipfw, наверное, может быть портированный из openBSD pf.
Плюcом BSD-ых pf/ipfw является скорость (поскольку работает все это на уровне ядра). Плюсом linux-ых firewall-ов является навороченность (iproute2), позволяющая делать очень сложные (и не всегда нужные для работы с web-сервером из нашей темы) пассажи.
Поправка на счёт скорости: у ipfw есть один существенный недостаток - NAT, который работает через демона режима пользователя, что также уменьшает быстродействие, но в pf(и в ipfilter) NAT производится уже в ядре, поэтому можно сказать, что pf быстрее ipfw.
На счет навороченности: сомневаюсь, что pf не умеет делать чего - то, что умеют линуксовые файрволы (в частности роутинг, нормализация трафика, очереди, поддержка ALTQ и т.д.), не зря ж его ставят на один уровень с коммерческими файрволами от SUN, IBM и прочими.

bdancer 13-07-2005 16:27 340694

mar
>Хорошо, делаю вид, что это стр-р-рашная тайна и прилюдно ее раскрываю
И к чему такой сарказм?
Я что, написал, что они все одинаковые? По-моему, я написал все же BSD-like...

>А вот как раз многое в стартовых скриптах BSD-систем похоже и лежат в похожих местах.
"Похоже" всё же не "одинаково". Да и в линуксе они из /etc/init.d редко куда убегают.

>Хотя (сугубое имхо) неправомочно и само "vs", потому...
Согласен.

>чем попытка понять слабые стороны того, что нравится тебе, сильные стороны того, что имеется рядом и, соответственно, желания портировать.
Так может попытаемся? Вот в плане файерволов уже какое-то сравнение пошло...

PS
Но dn рулит :)

bdancer 13-07-2005 17:08 340706
mar
>>>Плюcом BSD-ых pf/ipfw является скорость (поскольку работает все это на уровне ядра)
>>А вы думаете iptables не входят в ядро linux?
>чего тут думать, всегда же можно посмотреть?
Ну пока почитаем :)
Вот, цитатку нашел:

What is Netfilter/Iptables?

Netfilter is the framework in Linux 2.4 kernels that allow for firewalling, NAT, and packet mangling. Iptables is the userspace tools that works with the Netfilter framework (technically a lie; Iptables is also a part of the Netfilter framework in the kernel). Think of Netfilter as kernel space, and Iptables as userspace.

>Народ, если мы хотим обсуждать firewall-ы (а не веб-сервера), может вырезать эту часть в отдельную ветку?
Эт можно :) Типа iptables vs ipfw :)

mar 14-07-2005 00:53 340797
идя на встечу пожеланиям трудящихся... делаем отдельный топик по firewall-ам. Возражений нет? :search:

mar 14-07-2005 01:07 340801
приписываю сюда же кусок оставленного в старом топике поста
m2001
Цитата:
Цитата m2001
to All:
Если сравнивать файрволы, то скорость их работы еще зависти от того кто как правила прописывает, т.е. от настроек. Если и есть разница, то вряд ли она будет существенной между ipfw и iptables, если взять любой навернутый веб-сервер хостинга.
По своему опыту могу сказать, что при юзании ipfw есть хорошая штука как динамические правила и возможность ограничения трафика по скорости, чего я не нашел под iptables (я не утверждаю что этого нет в iptables). Но как я читал в какой-то доке, там говорилось что использование динамических правил требует больше ресурсов чем статических, что может приводить к большей загрузке. Поэтому вопрос нагрузки и будет зависеть еще от того сколько и каким образом прописаны эти правила.

FrIcE 14-07-2005 06:08 340831
Ну от правил то же зависит, но я так понимаю сравниваются примерно одинаковый набор правил. (Хотя при хорошем процессоре, сетевухах и наличии большого объема памяти количество правил не так существенно). А вот про динамические правила, соглашусь что ресурсов надо больше, в первую очередь памяти, для поддержки таблицы состояний, но вот по скорости это быстрее обычных правил, потому как "таблица" состояний обычно является деревом и требуется всего несколько сравнений, чем проход в среднем половины правил (актуально, если число правил 20 и больше :)).

На мой взгляд, лучше файрвол, который полностью работает на уровне ядра и управляется какой - либо утилитой, в этом плане хороши pf/ipfilter, на счет ipfw уже высказывался выше. На счет iptables незнаю, но если оно работает не в ядре (хотя судя по вышеприведенной цитате оно как раз живет в ядре), то потеря производительности и безопасности неизбежна.

Belansky 14-07-2005 08:41 340855
Лично меня связка ipfw+tcpwrapper+конфиги отдельных программ вполне устраивает. А, если трафик фильтруется еще и на роутерах Cisco, получается совсем замечательно. И скорость работы вполне устраивает.
P.S. С секундомером я, конечно, не засекал. :)

mar 19-07-2005 02:15 342067
bdancer
FrIcE
пардон, не сразу заметила. Вы все-таки гляньте на офф-сайте http://www.netfilter.org/:
Цитата:
What is netfilter/iptables?

netfilter and iptables are building blocks of a framework inside the Linux 2.4.x and 2.6.x kernel. This framework enables packet filtering, network address [and port] translation (NA[P]T) and other packet mangling. It is the re-designed and heavily improved successor of the previous Linux 2.2.x ipchains and Linux 2.0.x ipfwadm systems.

netfilter is a set of hooks inside the Linux kernel that allows kernel modules to register callback functions with the network stack. A registered callback function is then called back for every packet that traverses the respective hook within the network stack.

iptables is a generic table structure for the definition of rulesets (iptables - общая табличная структура для определений правил). Each rule within an IP table consists of a number of classifiers (iptables matches) and one connected action (iptables target).

netfilter, iptables and the connection tracking as well as the NAT subsystem together build the whole framework.
Вроде как в том, что я написала про работу парсера противоречий с этим нет? :)
На самом деле, может быть я и неправа,- надо поковырять код, посмотреть работу libiptc. Желающие могут заняться :)
Цитата:
libiptc is the library that is used to communicate with netfilter, the internal kernel code in charge of firewalling and packet filtering. This code and iptables were written by Paul "Rusty" Russell. iptables was developed using libiptc calls to get the job done. (Переводим: libiptc - библиотека, используемая для общения с netfilter - внутренним кодом ядра, ответственным за работу брандмауэра и фильтрации пакетов. Код iptables был написан Paul "Rusty" Russell. iptables для выполнения работы используют вызовы libiptc)


Время: 15:15.

Время: 15:15.
© OSzone.net 2001-