Re: [sisyphus] systemd-network

["Вадим Илларионов" <gbimobou@gmail.com>]

[-- Attachment #1: Type: text/plain, Size: 1838 bytes --]

В письме от 10 августа 2014 06:57:20 пользователь Денис Смирнов написал:
> On Sat, Aug 09, 2014 at 02:26:20PM +0900, Вадим Илларионов wrote:
> > Уже участвовал. Модуль опенвпн для неё делал.
> > Устало удручать, что один и тот же баг которую версию кряду приходится
> > чинить после каждого обновления, вручную добавляя в config-fw подгрузку
> > xtables_preload. Иначе ломается фаервол, прописанный человечьим языком.
> > Хватит с меня.
> 
> Номер бага на bugzilla и патч есть?

Багзиллу доселе не юзал, посему патч пока сюда. Что он даёт:
1. Исправлена неработоспособность iptables, когда правила написаны в human 
syntax.
2. Исправлена неработоспособность ipset, так как его опции, применяемые в 
эцнете, давно не соответствуют реалиям.
3. Исправлена опция включения списков ipset в iptables (--set vs --match-set).
4. Добавлена возможность написания инверсных правил ipset (not-in-set: -mset ! 
--match-set).
5. Для совместимости с синтаксисом ipset исключены трансляции src: --src и 
dst: --dst.
6. Добавлен протокол OSPF (ospf: --protocol OSPF).
_______________________________
С уважением, *nix-администратор
Mobile: +7 (964) 103-65-67
Skype: gbIMoBou
JID = <mailto:>
Viber = Mobile
UIN: 7899517

[-- Attachment #2: etcnet.patch --]
[-- Type: text/x-patch, Size: 2843 bytes --]

--- etc/net/scripts/config-fw.old	2014-08-26 19:50:34.000000000 +0900
+++ etc/net/scripts/config-fw	2014-09-04 14:55:04.388200175 +0900
@@ -94,7 +94,8 @@
 				    unset IPTABLES_SYNTAX IPTABLES_SED_RULES
 				}
 			}
-		    xtables_${ACTION} "$NAME"
+			xtables_preload
+			xtables_${ACTION} "$NAME"
 		    ;;
         "ip6tables")
 		    # FIXME Does ip6tables support only IPv6?
@@ -115,7 +116,8 @@
 				    unset IP6TABLES_SYNTAX IP6TABLES_SED_RULES
 				}
 			}
-		    xtables_${ACTION} "$NAME"
+			xtables_preload
+			xtables_${ACTION} "$NAME"
 		    ;;
 	"ebtables")
 		    profiled_filename_dir cfwdir "$MYIFACEDIR/fw/$CFW_TYPE" ||
@@ -125,7 +127,8 @@
 			    print_error "$EBTABLES not found. Please, install ebtables package"
 			    continue
 			}
-		    xtables_${ACTION} "$NAME"
+			xtables_preload
+			xtables_${ACTION} "$NAME"
 		    ;;
 		
 	*)
--- etc/net/scripts/functions-fw-old	2014-08-26 19:50:34.000000000 +0900
+++ etc/net/scripts/functions-fw	2014-08-29 09:22:03.522038299 +0900
@@ -421,11 +421,11 @@
 
     [ -n "$HEADER" ] || return 0
     print_message -e "\tCreating the \"$SET\" set of the \"$TYPE\" type"
-    eval "$IPSET -N $SET $TYPE $HEADER" || print_error "$IPSET -N $SET $TYPE $HEADER"
+    eval "$IPSET create $SET $TYPE" || print_error "$IPSET create $SET $TYPE"
 
     [ -n "$MEMBERS" ] || return 0
     while read; do
-	eval "$IPSET -A $SET $REPLY" || print_error "$IPSET -A $SET $REPLY"
+	eval "$IPSET add $SET $REPLY" || print_error "$IPSET add $SET $REPLY"
     done <<<"$MEMBERS"
 }
 
@@ -439,7 +439,7 @@
 
     [ -n "$RULE" ] || return 0
     print_message -e "\tDestroying the \"$SET\" set of the \"$TYPE\" type"
-    eval "$IPSET -X $SET" || print_error "$IPSET -X $SET"
+    eval "$IPSET destroy $SET" || print_error "$IPSET destroy $SET"
 }
 
 ipset_start()
--- etc/net/ifaces/default/fw/iptables/syntax.old	2014-08-26 19:50:34.000000000 +0900
+++ etc/net/ifaces/default/fw/iptables/syntax	2014-09-04 15:08:22.064312826 +0900
@@ -175,9 +175,12 @@
 physdev-is-out: -mphysdev --physdev-is-out
 physdev-is-bridged: -mphysdev --physdev-is-bridged
 pkttype: -mpkttype --pkt-type
-random: -mrandom --average 
+random: -mrandom --average
 realm: -mrealm --realm
-set: -mset --set
+set: -mset --match-set
+in-set: -mset --match-set
+out-set: -mset ! --match-set
+not-in-set: -mset ! --match-set
 state: -mstate --state
 tcp-source-port: -mtcp --source-port
 tcp-src-port: -mtcp --source-port
@@ -212,10 +215,8 @@
 
 # Parameters
 from: --src
-src: --src
 source: --src
 to: --dst
-dst: --dst
 destination: --dst
 sport: --source-port
 src-port: --source-port
@@ -234,6 +235,7 @@
 udp: --protocol UDP
 icmp: --protocol ICMP
 gre: --protocol GRE
+ospf: --protocol OSPF
 jump: -j 
 jump-to: -j
 any: 0.0.0.0/0