[devel] iptables, HTB.

[devel] iptables, HTB.

[Anton Korbin]

Я бы хотел видеть настроенный firewall и сервис HTB, основанный
на htb.init, как говорится: "прямо из коробки".
Установив эти сервисы они должны практически сразу работать
без особо сложной дополнительной настройки.
т.е. выполнять функцию защиты и выполнять функции QoS.
В настоящий момент сервисы HTB, iptables не делают ничего полезного,
потому как подавляющая масса людей никогда не сможет их настроить
из-за сложности. Эти пакеты уже сложно отнести к чисто серверным.
Многие сегодня пользуются firewall и QoS в обычной работе.

Настройку можно сделать из расчёта, что на компьютере есть один или максимум 
два сетевых интерфейса.
Если мантейнеры не смогут это сделать самостоятельно я могу предоставить 
необходимые скрипты.

Вообще есть желание, чтобы любые пакеты выполняли свои функции
без особо сложной доп. настройки. сразу после установки.

-- 
ahtoh

[devel] Re: iptables, HTB.

[Michael Shigorin]

On Mon, May 17, 2004 at 10:07:58AM +0400, Anton Korbin wrote:
> Я бы хотел видеть настроенный firewall и сервис HTB, основанный
> на htb.init, как говорится: "прямо из коробки".

Нужно HTB в ядре, а по граблям с patch-o-matic здесь уже
проходились.

> Вообще есть желание, чтобы любые пакеты выполняли свои функции
> без особо сложной доп. настройки. сразу после установки.

Так этим дистрибутивные пакеты от тарболов и отличаются
вообще-то.  Хорошие, по крайней мере.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [devel] Re: iptables, HTB.

[Anton Korbin]

В сообщении от Понедельник 17 Май 2004 11:15 Michael Shigorin написал(a):
> On Mon, May 17, 2004 at 10:07:58AM +0400, Anton Korbin wrote:
> > Я бы хотел видеть настроенный firewall и сервис HTB, основанный
> > на htb.init, как говорится: "прямо из коробки".
>
> Нужно HTB в ядре, а по граблям с patch-o-matic здесь уже
> проходились.

Хотя бы так, но с настройкой.

> Так этим дистрибутивные пакеты от тарболов и отличаются
> вообще-то.  Хорошие, по крайней мере.

Вот именно. А почему я тогда вижу обратное...

-- 
ahtoh

[devel] Re: iptables, HTB.

[Michael Shigorin]

On Mon, May 17, 2004 at 09:20:59PM +0400, Anton Korbin wrote:
> > > Я бы хотел видеть настроенный firewall и сервис HTB, основанный
> > > на htb.init, как говорится: "прямо из коробки".
> > Нужно HTB в ядре, а по граблям с patch-o-matic здесь уже
> > проходились.
> Хотя бы так, но с настройкой.

Да туд до настройки еще добраться надо.  Нету, говорю, HTB в ядре.

> > Так этим дистрибутивные пакеты от тарболов и отличаются
> > вообще-то.  Хорошие, по крайней мере.
> Вот именно. А почему я тогда вижу обратное...

Потому что целина.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [devel] Re: iptables, HTB.

[Anton Korbin]

В сообщении от Понедельник 17 Май 2004 21:51 Michael Shigorin написал(a):
> On Mon, May 17, 2004 at 09:20:59PM +0400, Anton Korbin wrote:

> Да туд до настройки еще добраться надо.  Нету, говорю, HTB в ядре.

Есть скрипт htb.init.
Есть...
Он работает?
Работает...
Он парсит /etc/sysconfig/htb.
Парсит...
Настройка по умолчанию где?

-- 
ahtoh

Re: [devel] Re: iptables, HTB.

[Andy Gorev]

Anton Korbin wrote:
> В сообщении от Понедельник 17 Май 2004 21:51 Michael Shigorin написал(a):
> 
>>On Mon, May 17, 2004 at 09:20:59PM +0400, Anton Korbin wrote:
> 
> 
>>Да туд до настройки еще добраться надо.  Нету, говорю, HTB в ядре.
> 
> 
> Есть скрипт htb.init.
> Есть...
> Он работает?
> Работает...
> Он парсит /etc/sysconfig/htb.
> Парсит...
> Настройка по умолчанию где?

Вообще говоря вот здесь /usr/share/doc/iproute-htb
Но это скорее пример, нежели настройка по умолчанию.
А умолчание - это отсутствие конфигурации, как например и с iptables
Если вы хотите, чтобы у вас все работало так как вам надо "из коробки", 
обращайтесь в support@altlinux
Кроме того, более года назад я писал для Alt документацию на эту тему, 
можете прочитать и все сделать сами.
Если общественность и Кирилл (cornet в курсе) решит нужным - таки 
включим ее в бумажную доку к следующему дистрибутиву.

А пока почитать вы можете об этот тут
http://www.atmsk.ru/index.php?option=articles&task=viewarticle&artid=27
и тут
http://www.atmsk.ru/index.php?option=articles&task=viewarticle&artid=28

-- 
С Уважением,
Андрей Горев

Re: [devel] Re: iptables, HTB.

[Sergey Vlasov]

[-- Attachment #1: Type: text/plain, Size: 498 bytes --]

On Mon, May 17, 2004 at 08:51:03PM +0300, Michael Shigorin wrote:
> On Mon, May 17, 2004 at 09:20:59PM +0400, Anton Korbin wrote:
> > > > Я бы хотел видеть настроенный firewall и сервис HTB, основанный
> > > > на htb.init, как говорится: "прямо из коробки".
> > > Нужно HTB в ядре, а по граблям с patch-o-matic здесь уже
> > > проходились.
> > Хотя бы так, но с настройкой.
> 
> Да туд до настройки еще добраться надо.  Нету, говорю, HTB в ядре.

Есть: net/sched/sch_htb.c.  Собирается.

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] Re: iptables, HTB.

[Denis Ovsienko]

> > Да туд до настройки еще добраться надо.  Нету, говорю, HTB в ядре.
> Есть: net/sched/sch_htb.c.  Собирается.
Мы теперь можем на это рассчитывать? (c)

-- 
    DO4-UANIC

[devel] Re: iptables, HTB.

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 302 bytes --]

On Mon, May 17, 2004 at 11:16:49PM +0400, Sergey Vlasov wrote:
> > Да туд до настройки еще добраться надо.  Нету, говорю, HTB в ядре.
> Есть: net/sched/sch_htb.c.  Собирается.

Проспал.  Ура :-)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] iptables, HTB.

[Denis Ovsienko]

> В настоящий момент сервисы HTB, iptables не делают ничего полезного,
> потому как подавляющая масса людей никогда не сможет их настроить
> из-за сложности. Эти пакеты уже сложно отнести к чисто серверным.
Ну зачем же так. Это зависит от того, сколько они могут предложить
сетевому администратору :)

-- 
    DO4-UANIC

Re: [devel] iptables, HTB.

[Алексей Любимов]

Открывайте карты, что у вас есть наработанного.

Несложный  в настройке файрвол, это очень хорошо и нужно.

Помимо пакета любые дополнения и соображения  по защите можно положить 
на www.linux-os.ru или даже в  http://www.linux-os.ru/wiki , чтобы можно 
было коллективно дополнять.

Re: [devel] iptables, HTB.

[Anton Korbin]

В сообщении от Понедельник 17 Май 2004 12:09 Алексей Любимов написал(a):
> Открывайте карты, что у вас есть наработанного.
>
> Несложный  в настройке файрвол, это очень хорошо и нужно.

Я думаю стоит рассмотреть три, достаточно частых случая:

1. Пользователь сидит с сетевой картой и выходит в инет через локальную сеть.
2. Пользователь выходит в инет через модем.
3. У пользователя два интерефейса один в инет, другой в локальную сеть. 
(что-то типа шлюза)

Первые два можно объеденить.

1) Нужно чтобы пользователь с помощью не сложной настройки, как-то смена 
сетевого
ip-адреса итп. (хотя можно сделать и автоматом) настраивает rc.firewall,
запускает и считает, что всё же какая-то защита у него есть. Дешевая, но 
сердитая.
В настоящий момент у пользователей Аlt подобная защита остутсвует вовсе,
что вообще говоря несколько удивляет. Там где всегда безопасность была
на первом месте firewall по умолчанию просто не работает...

2) В пакете iptables практически нет документации по настройке iptables. 
Хотелось бы чтобы туда была включена какая-нибудь документация. Например того 
же: Oskar Andreasson.

3) Настройка через скрипт, который парсит /etc/sysconfig/iptables
на мой взгляд не удобна и опять же не документирована.
Тоже касается таких вещей, как GuardDog и пр.

-- 
ahtoh

Re: [devel] iptables, HTB.

[Alexey Voinov]

[-- Attachment #1: Type: text/plain, Size: 670 bytes --]

Anton Korbin wrote
> 2) В пакете iptables практически нет документации по настройке iptables. 
> Хотелось бы чтобы туда была включена какая-нибудь документация. Например того 
> же: Oskar Andreasson.
> 
> 3) Настройка через скрипт, который парсит /etc/sysconfig/iptables
> на мой взгляд не удобна и опять же не документирована.
> Тоже касается таких вещей, как GuardDog и пр.
Я совершенно не против, если кто-то, разбирающийся в iptables, возьмёт этот
пакет себе и сделает там удобно.

-- 
Best Regards!           | "Sometimes you're the windshield
Alexey Voinov           |  Sometimes you're the bug..."
			|
voins@voins.program.ru
voins@altlinux.ru


[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [devel] iptables, HTB.

[Anton Korbin]

В сообщении от Понедельник 17 Май 2004 22:23 Alexey Voinov написал(a):
> Anton Korbin wrote
>
> > 2) В пакете iptables практически нет документации по настройке iptables.
> > Хотелось бы чтобы туда была включена какая-нибудь документация. Например
> > того же: Oskar Andreasson.
> >
> > 3) Настройка через скрипт, который парсит /etc/sysconfig/iptables
> > на мой взгляд не удобна и опять же не документирована.
> > Тоже касается таких вещей, как GuardDog и пр.
>
> Я совершенно не против, если кто-то, разбирающийся в iptables, возьмёт этот
> пакет себе и сделает там удобно.

Я согласен взять, но маленько позже.
Есть ещё пару вещей которые мне хотелось бы сделать в ALT в настоящий момент.

-- 
ahtoh

Re: [devel] iptables, HTB.

[Valery V. Inozemtsev]

В сообщении от 17 Май 2004 22:40 Anton Korbin написал(a):
> В сообщении от Понедельник 17 Май 2004 22:23 Alexey Voinov написал(a):
> > Anton Korbin wrote
> >
> > > 2) В пакете iptables практически нет документации по настройке
> > > iptables. Хотелось бы чтобы туда была включена какая-нибудь
> > > документация. Например того же: Oskar Andreasson.
> > >
> > > 3) Настройка через скрипт, который парсит /etc/sysconfig/iptables
> > > на мой взгляд не удобна и опять же не документирована.
> > > Тоже касается таких вещей, как GuardDog и пр.
> >
> > Я совершенно не против, если кто-то, разбирающийся в iptables, возьмёт
> > этот пакет себе и сделает там удобно.
>
> Я согласен взять, но маленько позже.
> Есть ещё пару вещей которые мне хотелось бы сделать в ALT в настоящий
> момент.

на прошлой неделе в сизиф ушел fwbuilder, с ним iptables может настроить даже 
домохозяйка, единственное что я не доделал это initscript к нему, если кто 
поможет буду признателен (у меня времени сейчас нет)

-- 
Valery V. Inozemtsev
	
	ftp://ftp.altlinux.ru/pub/people/shrek/
	

Re: [devel] iptables, HTB.

[Anton Korbin]

В сообщении от Понедельник 17 Май 2004 22:42 Valery V. Inozemtsev написал(a):

> на прошлой неделе в сизиф ушел fwbuilder, с ним iptables может настроить
> даже домохозяйка, единственное что я не доделал это initscript к нему, если
> кто поможет буду признателен (у меня времени сейчас нет)

Не разделяю вашей уверенности.
Вряд ли она знает, что такое ESTABLISHED, RELATED, NAT, TCP SYN итд.

-- 
ahtoh

Re: [devel] iptables, HTB.

[Valery V. Inozemtsev]

В сообщении от 17 Май 2004 23:12 Anton Korbin написал(a):
> В сообщении от Понедельник 17 Май 2004 22:42 Valery V. Inozemtsev 
написал(a):
> > на прошлой неделе в сизиф ушел fwbuilder, с ним iptables может настроить
> > даже домохозяйка, единственное что я не доделал это initscript к нему,
> > если кто поможет буду признателен (у меня времени сейчас нет)
>
> Не разделяю вашей уверенности.
> Вряд ли она знает, что такое ESTABLISHED, RELATED, NAT, TCP SYN итд.

про домохозяйку это не я сказал - Ленин...

там есть помошник который настраивает все сам... в общем это надо видеть

-- 
Valery V. Inozemtsev
	
	ftp://ftp.altlinux.ru/pub/people/shrek/
	

Re: [devel] iptables, HTB.

[Anton Korbin]

В сообщении от Понедельник 17 Май 2004 23:20 Valery V. Inozemtsev написал(a):

> там есть помошник который настраивает все сам... в общем это надо видеть

> про домохозяйку это не я сказал - Ленин...

Всё это понятно, всё это хорошо. Я видел.
Однако я думаю, что rc.firewall должен быть не пустой по умолчанию.

Про домохозяйку сказал не только Ленин, но и Bill Gates.

-- 
ahtoh

Re: [devel] [JT] iptables, HTB.

[Mike Plugnikov]

В сообщении от Monday 17 May 2004 23:53 Anton Korbin написал(a):
> В сообщении от Понедельник 17 Май 2004 23:20 Valery V. Inozemtsev 
написал(a):
> > там есть помошник который настраивает все сам... в общем это надо видеть
> >
> > про домохозяйку это не я сказал - Ленин...
Про домохозяйку он ничего не говорил. Говорил он про кухарку. :)
> Всё это понятно, всё это хорошо. Я видел.
> Однако я думаю, что rc.firewall должен быть не пустой по умолчанию.

> Про домохозяйку сказал не только Ленин, но и Bill Gates.
по поводу Билла, спорить не буду. :)

[devel] Re: iptables, HTB.

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 594 bytes --]

On Mon, May 17, 2004 at 10:42:37PM +0400, Valery V. Inozemtsev wrote:
> на прошлой неделе в сизиф ушел fwbuilder, с ним iptables может
> настроить даже домохозяйка, единственное что я не доделал это
> initscript к нему, если кто поможет буду признателен (у меня
> времени сейчас нет)

Его надо как-то дергать, чтоб он дергал iptables, скармливая
конфигурацию из кармана?

Возможно, тогда стоит стартовать не от /etc/init.d/template, а от
/etc/init.d/iptables.  Говори, как пинать.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]