[devel] mode = host в alterator-net-iptables

[devel] mode = host в alterator-net-iptables

[Georgy Bystrenin]

В процессе обдумывания реализации групповой политики для решения
кейса: Применение групповой политики по открытию ip-порта; наткнулись
на проблему описанную в баге -
https://bugzilla.altlinux.org/show_bug.cgi?id=38505
(через модуль alterator-net-iptables  невозможно для всех интерфейсов
открыть или закрыть порт, в случае если из список не передать
параметром альтератору).

Было придумано такое решение: добавляем новый режим Хост (mode = host).
В этом режиме внешними ($external_ifaces или параметр -e)
автоматически выбираются все интерфейсы, кроме lo и специальных
исключений (virbr *, docker *).

Значит мы теперь можем просто:
$ sudo alterator-cmdline /net-iptables ipv 4 status '#t' commit on
action write mode host opened_tcp_ports 15001 opened_udp_ports 15002
opened_services ssh

Прочитаем наши настройки:
$ sudo alterator-cmdline /net-iptables ipv 4 action read

ipv:4
commit_mode:#t
status:#t
external_ifaces:eth0;wlan0; <--- авто выбрались ethernet и wereless
интерфейсы ноутбука
opened_services:ssh
opened_tcp_ports:15001
opened_udp_ports:15002
mode:host

А также iptabless теперь выглядит так:
$ sudo iptables -L INPUT -n
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
DROP       all  -f  0.0.0.0/0            0.0.0.0/0
ACCEPT     all  --  0.0.0.0/0            0.0.0.0/0            ctstate
RELATED,ESTABLISHED
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:22
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0            udp dpt:22
ACCEPT     tcp  --  0.0.0.0/0            0.0.0.0/0            tcp dpt:15001
ACCEPT     udp  --  0.0.0.0/0            0.0.0.0/0            udp dpt:15002
DROP       all  --  0.0.0.0/0            0.0.0.0/0

Таска (карман) с изменениями 251975
для теста надо обновить пакеты
# apt-get install alterator-net-iptables alterator-l10n

В фротенд acc и web-версию изменения тоже внесены (раздел Брандмауер -
Внешние сети)
Код http://git.altlinux.org/people/gkot/packages/alterator-net-iptables.git

P.s.: Прошу апрув на таску 251975 если замечаний.
----
С Уважением, Georgy gkot Bystrenin

Re: [devel] mode = host в alterator-net-iptables

[Michael Shigorin]

On Thu, May 21, 2020 at 02:40:30AM +0400, Georgy Bystrenin wrote:
> Значит мы теперь можем просто:
> $ sudo alterator-cmdline /net-iptables ipv 4 status '#t' commit on
> action write mode host opened_tcp_ports 15001 opened_udp_ports 15002
> opened_services ssh

А это "opened_*" -- новый API или существовавший?
Если (относительно) новый -- надо исправить на open_*,
т.к. глагол open не изменяется по формам.

-- 
 ---- WBR, Michael Shigorin / http://altlinux.org
  ------ http://opennet.ru / http://anna-news.info

Re: [devel] mode = host в alterator-net-iptables

[Sergei Epiphanov]

Michael Shigorin <mike@altlinux.org> 21 мая 2020 г. 13:14:21 написал:

> А это "opened_*" -- новый API или существовавший?
> Если (относительно) новый -- надо исправить на open_*,
> т.к. глагол open не изменяется по формам.
Глагол "to open" в прошедшем времени "opened". Но есть ещё прилагательное 
"open".

Re: [devel] mode = host в alterator-net-iptables

[Dmitry V. Levin]

On Thu, May 21, 2020 at 04:21:22PM +0300, Sergei Epiphanov wrote:
> Michael Shigorin <mike@altlinux.org> 21 мая 2020 г. 13:14:21 написал:
> 
> > А это "opened_*" -- новый API или существовавший?
> > Если (относительно) новый -- надо исправить на open_*,
> > т.к. глагол open не изменяется по формам.
> Глагол "to open" в прошедшем времени "opened". Но есть ещё прилагательное 
> "open".

В контексте, о котором идёт речь,
opened_services:ssh
opened_tcp_ports:15001
opened_udp_ports:15002
получается, что opened неправильно при любой трактовке:
если это перечень доступных служб и количество доступных портов,
то правильно open_*; если это перечень служб и количество портов,
которые были сделаны доступными в результате какого-то действия,
то правильно *_opened.


-- 
ldv

Re: [devel] mode = host в alterator-net-iptables

[Georgy Bystrenin]

чт, 21 мая 2020 г. в 14:14, Michael Shigorin <mike@altlinux.org>:
>
> On Thu, May 21, 2020 at 02:40:30AM +0400, Georgy Bystrenin wrote:
> > Значит мы теперь можем просто:
> > $ sudo alterator-cmdline /net-iptables ipv 4 status '#t' commit on
> > action write mode host opened_tcp_ports 15001 opened_udp_ports 15002
> > opened_services ssh
>
> А это "opened_*" -- новый API или существовавший?

API существовавший

появляется в коммите:

commit 1c5b4d1d1a244534facc47fe875078f6615d93c0
Author: Vladislav Zavjalov <slazav@altlinux.org>
Date:   Fri Feb 6 16:04:59 2009 +0300

    add iptables_helper script

не уверен, что хорошая идея менять на столько старый API


> Если (относительно) новый -- надо исправить на open_*,
> т.к. глагол open не изменяется по формам.
>
> --
>  ---- WBR, Michael Shigorin / http://altlinux.org
>   ------ http://opennet.ru / http://anna-news.info
> _______________________________________________
> Devel mailing list
> Devel@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/devel
----
С Уважением, Georgy gkot Bystrenin