[sisyphus] I: l7-filter

[sisyphus] I: l7-filter

[Peter V. Saveliev]

...

В Сизиф ушла сборка l7-filter:

L7-filter is a classifier for Linux's Netfilter that identifies
packets based on application layer data. It can classify packets
as Kazaa, HTTP, Jabber, Citrix, Bittorrent, FTP, Gnucleus,
eDonkey2000, etc., regardless of port. It complements existing
classifiers that match on IP address, port numbers and so on.

Это userspace-вариант, требующий для работы iptables NFQUEUE или QUEUE.

Заметки на полях:
 * пакет l7-filter: сама программа
 * пакет l7-protocols: определения (паттерны) протоколов
 * обратите внимание, что, в отличие от нативной версии, наша может работать 
без конфиг-файла, достаточно указать протоколы и метки в командной строке:

$ l7-filter -P ssh:5 -P jabber:6 -P nntp:7 ...

Последнюю фишку я делал для connexion, но она также может пригодиться для 
модулей, например, альтератора или etcnet, т.к. писать файл конфигурации 
l7-filter не обязательно, а составить командну строку достаточно просто.

-- 
Peter V. Saveliev

Re: [sisyphus] I: l7-filter

[Slava Semushin]

2007/10/23, Peter V. Saveliev <peet / altlinux.ru>:
[...]
>  * обратите внимание, что, в отличие от нативной версии, наша может работать
> без конфиг-файла, достаточно указать протоколы и метки в командной строке:
[...]

Не забудьте добавить эту информацию в README.ALT

-- 
+ Slava Semushin | slava.semushin @ gmail.com
+ ALT Linux Team | php-coder @ altlinux.ru

Re: [sisyphus] I: l7-filter

[Peter V. Saveliev]

В сообщении от Tuesday 23 October 2007 08:33:36 Slava Semushin написал(а):
> 2007/10/23, Peter V. Saveliev <peet / altlinux.ru>:
> [...]
>
> >  * обратите внимание, что, в отличие от нативной версии, наша может
> > работать без конфиг-файла, достаточно указать протоколы и метки в
> > командной строке:
>
> [...]
>
> Не забудьте добавить эту информацию в README.ALT

Забыл! Спасибо, что напомнили -- след. сборке сложу вместе с документацией, 
которая будет нелишней.

-- 
Peter V. Saveliev

Re: [sisyphus] I: l7-filter

[Eugene Prokopiev]

Peter V. Saveliev пишет:
> ...
> 
> В Сизиф ушла сборка l7-filter:
> 
> L7-filter is a classifier for Linux's Netfilter that identifies
> packets based on application layer data. It can classify packets
> as Kazaa, HTTP, Jabber, Citrix, Bittorrent, FTP, Gnucleus,
> eDonkey2000, etc., regardless of port. It complements existing
> classifiers that match on IP address, port numbers and so on.
> 
> Это userspace-вариант, требующий для работы iptables NFQUEUE или QUEUE.

Т.е. не работающий в OpenVZ VE :(

-- 
С уважением,
Прокопьев Евгений

Re: [sisyphus] I: l7-filter

[Peter V. Saveliev]

В сообщении от Tuesday 23 October 2007 13:12:39 Eugene Prokopiev написал(а):
<skip />
> > Это userspace-вариант, требующий для работы iptables NFQUEUE или QUEUE.
>
> Т.е. не работающий в OpenVZ VE :(

...

Ядерный вариант а) работает в ядре, т.е. по любому не изолирован, б) его 
поддержка скоро и навсегда кончится, по вполне понятным причинам, коих не 
одна.

Имхо, все и любые упражнения с подобными сервисами если и упаковывать в VE, то 
в xen domU, для которого я, кстати, забыл собрать ipp2p -- исправлюсь, соберу 
на днях.

...

На самом деле, ядерный вариант требует патчить ядро, а это уже вопрос к 
мэйнтейнерам ядер. Но я бы не стал патчить, будучи тем самым мэйнтейнером: 
Warning: Some users have reported kernel crashes when they using SMP with 
l7-filter. (Some have also reported that their SMP systems run fine.) Меня 
пугает даже не слово "crashes", а слово "some", что косвенно указывает на 
некоторые свойства кода.

...

На самом деле, ядерный вариант требует патчить ещё и iptables, так что мы всё 
равно к нему, родимому, возвращаемся.

-- 
Peter V. Saveliev

Re: [sisyphus] I: l7-filter

[Denis Kuznetsov]

[-- Attachment #1: Type: text/plain, Size: 1152 bytes --]

Стоит-ли надеяться увидеть как backport для 4.0 ???
 
В сообщении от Monday 22 October 2007 23:59:51 Peter V. Saveliev написал(а):
> ...
>
> В Сизиф ушла сборка l7-filter:
>
> L7-filter is a classifier for Linux's Netfilter that identifies
> packets based on application layer data. It can classify packets
> as Kazaa, HTTP, Jabber, Citrix, Bittorrent, FTP, Gnucleus,
> eDonkey2000, etc., regardless of port. It complements existing
> classifiers that match on IP address, port numbers and so on.
>
> Это userspace-вариант, требующий для работы iptables NFQUEUE или QUEUE.
>
> Заметки на полях:
>  * пакет l7-filter: сама программа
>  * пакет l7-protocols: определения (паттерны) протоколов
>  * обратите внимание, что, в отличие от нативной версии, наша может
> работать без конфиг-файла, достаточно указать протоколы и метки в командной
> строке:
>
> $ l7-filter -P ssh:5 -P jabber:6 -P nntp:7 ...
>
> Последнюю фишку я делал для connexion, но она также может пригодиться для
> модулей, например, альтератора или etcnet, т.к. писать файл конфигурации
> l7-filter не обязательно, а составить командну строку достаточно просто.



-- 
Denis Kuznetsov


[-- Attachment #2: This is a digitally signed message part. --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [sisyphus] I: l7-filter

[Peter V. Saveliev]

В сообщении от Tuesday 23 October 2007 18:05:12 Denis Kuznetsov написал(а):
> Стоит-ли надеяться увидеть как backport для 4.0 ???
>
<skip />

если и когда библиотеки netfilter будут в бранче (работа на эту тему вроде бы 
уже вовсю идёт) -- l7-filter можно будет попытаться собрать и туда. Или 
имеются в виду какие-то более глубокие бэкпорты?

-- 
Peter V. Saveliev