From mboxrd@z Thu Jan  1 00:00:00 1970
Return-Path: <rider@altlinux.com>
Message-ID: <471C7C0F.2060109@altlinux.com>
Date: Mon, 22 Oct 2007 14:31:43 +0400
From: Anton Farygin <rider@altlinux.com>
User-Agent: Thunderbird 2.0.0.6 (X11/20070804)
MIME-Version: 1.0
To: ALT Linux Team development discussions <devel@lists.altlinux.org>
References: <200710221239.03236.peet@altlinux.ru>
In-Reply-To: <200710221239.03236.peet@altlinux.ru>
Content-Type: text/plain; charset=UTF-8; format=flowed
Content-Transfer-Encoding: 8bit
Subject: Re: [devel] devel-kernel; new kernels and l7-filter
X-BeenThere: devel@lists.altlinux.org
X-Mailman-Version: 2.1.9
Precedence: list
Reply-To: ALT Linux Team development discussions <devel@lists.altlinux.org>
List-Id: ALT Linux Team development discussions <devel.lists.altlinux.org>
List-Unsubscribe: <https://lists.altlinux.org/mailman/listinfo/devel>,
	<mailto:devel-request@lists.altlinux.org?subject=unsubscribe>
List-Archive: <http://lists.altlinux.org/pipermail/devel>
List-Post: <mailto:devel@lists.altlinux.org>
List-Help: <mailto:devel-request@lists.altlinux.org?subject=help>
List-Subscribe: <https://lists.altlinux.org/mailman/listinfo/devel>,
	<mailto:devel-request@lists.altlinux.org?subject=subscribe>
X-List-Received-Date: Mon, 22 Oct 2007 10:32:55 -0000
Archived-At: <http://lore.altlinux.org/devel/471C7C0F.2060109@altlinux.com/>
List-Archive: <http://lore.altlinux.org/devel/>
List-Post: <mailto:devel@altlinux.org>

Петь, а теперь тоже самое, но в bugzilla повтори плз ;)


Peter V. Saveliev пишет:
> ...
> 
> Скажите, а от devel-kernel меня отписали за дело или просто так срез прошёл?
> 
> ...
> 
> Пока что напишу сюда.
> 
> Поскольку ядро >2.6.19.7 грядёт неминуемо, то у меня есть на эту тему 
> превентивный выстрел в голову мэйнтейнерам ядер.
> 
> Я был бы очень рад, если бы вы при сборке новых ядер делали такое некошерное 
> действие:
> 
> In the Linux kernel config, go to Networking → Networking options → Network 
> packet filtering framework (Netfilter) → Core Netfilter Configuration. 
> Under "Netfilter connection tracking support", select "Layer 3 Dependent 
> Connection tracking (OBSOLETE)". Then go to Networking → Networking options → 
> Network packet filtering framework → IP: Netfilter Configuration" and 
> enable "Connection tracking netlink interface" (and probably most of the rest 
> of the stuff on that page).
> 
> (из документации на L7-filter)
> 
> ...
> 
> Обоснование: L7-filter -- довольно мощный инструмент для высокоуровневой 
> фильтрации траффика, и он существует в двух вариантах, ядерном и userspace.
> 
> Лично мне больше нравится второй, который, несмотря на потерю 
> скорострельности, гораздо безопаснее, т.к., работая вне ядра, имеет минимум 
> шансов накернить машину при случае.
> 
> Однако работа userspace-варианта идёт через netlink connection tracking, а там 
> что-то ещё не срослось в библиотеках, и опция ядра "Layer 3 Independent 
> Connection tracking" (выставленная по умолчанию), конечно, хороша, но пока 
> что а) не приносит мегапользы б) делает работу userspace-варианта L7-filter 
> невозможной.
> 
> ...
> 
> Поэтому, если нет иного софта (насколько я помню, такой софт ещё не появился), 
> требующего дефолтное поведение новых ядер, то я бы просил временно собирать 
> с "Layer 3 Dependent Connection tracking (OBSOLETE)" -- пока библиотеки не 
> утрясутся.
>