From: "Peter V. Saveliev" <peet@altlinux.ru>
To: ALT Linux sysadmin discuss <sysadmins@lists.altlinux.org>
Subject: Re: [Sysadmins] [Comm] как использовать fqdn в правилах iptables?
Date: Mon, 4 Feb 2008 17:10:53 +0300
Message-ID: <200802041710.53237.peet@altlinux.ru> (raw)
In-Reply-To: <d77783290802040420y2d027fe4p623a03c8cc6ebbb3@mail.gmail.com>
В сообщении от Monday 04 February 2008 15:20:19 Денис Черносов написал(а):
<skip />
> Нигде не наталкивался на предложения по этому поводу. Неужели правильнее
> будет это всё повесить на Squid? Или есть третий вариант?
Если Вам нужны acl на http-траффик, то вешайте на сквид.
Вообще говоря, это задача, жручая до ресурсов и немного не определённая.
Уровень ip ничего не знает о доменных именах, там только ip, и принимать
решение надо, исходя из ip. Если Вы хотите принимать решение "на лету", то
тут есть два пути.
Первый -- back-resolve ипшника в пакете, и сравнение полученного имени с acl.
Второй путь -- периодическое обновление кэша ip путём прямого резолва имён, и
сравнение пришедшего пакета с кэшем.
Первый путь грозит задержками размером в таймаут dns-запроса. Второй путь
исключает использование wildcards в именах и масок.
Так что решайте. Накидать простенький движок динамических acl, который
бы "запитывался" от -j QUEUE, я могу за день, но если не учесть сказанного
выше, можно сильно разочароваться в производительности.
--
Peter V. Saveliev
next parent reply other threads:[~2008-02-04 14:10 UTC|newest]
Thread overview: 5+ messages / expand[flat|nested] mbox.gz Atom feed top
2008-02-04 14:10 ` Peter V. Saveliev [this message]
2008-02-04 14:17 ` Anton Kvashin
2008-02-05 8:06 ` Anton Kvashin
2008-02-05 8:15 ` Глодин С.В.
2008-02-05 10:19 ` Maxim Tyurin
Reply instructions:
You may reply publicly to this message via plain-text email
using any one of the following methods:
* Save the following mbox file, import it into your mail client,
and reply-to-all from there: mbox
Avoid top-posting and favor interleaved quoting:
https://en.wikipedia.org/wiki/Posting_style#Interleaved_style
* Reply using the --to, --cc, and --in-reply-to
switches of git-send-email(1):
git send-email \
--in-reply-to=200802041710.53237.peet@altlinux.ru \
--to=peet@altlinux.ru \
--cc=sysadmins@lists.altlinux.org \
/path/to/YOUR_REPLY
https://kernel.org/pub/software/scm/git/docs/git-send-email.html
* If your mail client supports setting the In-Reply-To header
via mailto: links, try the mailto: link
ALT Linux sysadmins discussion
This inbox may be cloned and mirrored by anyone:
git clone --mirror http://lore.altlinux.org/sysadmins/0 sysadmins/git/0.git
# If you have public-inbox 1.1+ installed, you may
# initialize and index your mirror using the following commands:
public-inbox-init -V2 sysadmins sysadmins/ http://lore.altlinux.org/sysadmins \
sysadmins@lists.altlinux.org sysadmins@lists.altlinux.ru sysadmins@lists.altlinux.com
public-inbox-index sysadmins
Example config snippet for mirrors.
Newsgroup available over NNTP:
nntp://lore.altlinux.org/org.altlinux.lists.sysadmins
AGPL code for this site: git clone https://public-inbox.org/public-inbox.git