[Sysadmins] p11 и nf_conntrack_helper

[Sysadmins] p11 и nf_conntrack_helper

[Sergey]

Приветствую.

А кто знает, куда nf_conntrack_helper пропал?

p10:

# sysctl -a | grep nf_conntrack_helper
#

Но если сделать, например, modprobe nf_conntrack_irc, то будет

# sysctl -a | grep nf_conntrack_helper
net.netfilter.nf_conntrack_helper = 0
#

C p11 такое не выходит:

# modprobe nf_conntrack_irc
# sysctl -a | grep nf_conntrack_helper
#

пока не знаю, надо ли теперь, но раньше я nf_conntrack_helper в 1
выставлял на шлюзе. Отсутствует и с 6.1.112, которое осенью из p11
убрали, и с современным 6.12.21.

Если откатить ядро до 5.10.235-std-def-alt1 из p10, 
/proc/sys/net/netfilter/nf_conntrack_helper появляется.
Никто не в курсе, чем грозит и что делать?

-- 
С уважением, Сергей.

Re: [Sysadmins] p11 и nf_conntrack_helper

[Alexei Takaseev]

14.04.2025 17:12, Sergey пишет:
> Приветствую.
>
> А кто знает, куда nf_conntrack_helper пропал?
>
> p10:
>
> # sysctl -a | grep nf_conntrack_helper
> #
>
> Но если сделать, например, modprobe nf_conntrack_irc, то будет
>
> # sysctl -a | grep nf_conntrack_helper
> net.netfilter.nf_conntrack_helper = 0
> #
>
> C p11 такое не выходит:
>
> # modprobe nf_conntrack_irc
> # sysctl -a | grep nf_conntrack_helper
> #
>
> пока не знаю, надо ли теперь, но раньше я nf_conntrack_helper в 1
> выставлял на шлюзе. Отсутствует и с 6.1.112, которое осенью из p11
> убрали, и с современным 6.12.21.
>
> Если откатить ядро до 5.10.235-std-def-alt1 из p10,
> /proc/sys/net/netfilter/nf_conntrack_helper появляется.
> Никто не в курсе, чем грозит и что делать?
>

А все, выпилили в районе 5.15.

В nftables решается примерно так:

table inet raw {
    ct helper pptp {
        type "pptp" protocol tcp;
    }

    ct helper ftp {
        type "ftp" protocol tcp;
    }

    ct helper sip {
        type "sip" protocol udp;
    }

    chain PREROUTING {
        type filter hook prerouting priority -100;
        tcp dport 1723 ct helper set "pptp"
        tcp dport 21   ct helper set "ftp"
        udp dport 5060 ct helper set "sip"
    }
}

Re: [Sysadmins] p11 и nf_conntrack_helper

[Sergey]

On Monday 14 April 2025, Alexei Takaseev wrote:

> > Если откатить ядро до 5.10.235-std-def-alt1 из p10,
> > /proc/sys/net/netfilter/nf_conntrack_helper появляется.
> > Никто не в курсе, чем грозит и что делать?
> 
> А все, выпилили в районе 5.15.

https://www.spinics.net/lists/netfilter/msg60942.html

Пишут, что "Since 6.0-rc4" Параноики. Вот чем им оно помешало?

> В nftables решается примерно так:

То есть городить теперь простыню, да ещё как-то всё это
совмещать с iptables... Или оно не пересечётся и хелперы
можно в nftables без оглядки на iptables настроить и потом
внимания не обращать?

-- 
С уважением, Сергей.

Re: [Sysadmins] p11 и nf_conntrack_helper

[Alexei Takaseev]

14.04.2025 21:24, Sergey пишет:
> On Monday 14 April 2025, Alexei Takaseev wrote:
>
>>> Если откатить ядро до 5.10.235-std-def-alt1 из p10,
>>> /proc/sys/net/netfilter/nf_conntrack_helper появляется.
>>> Никто не в курсе, чем грозит и что делать?
>> А все, выпилили в районе 5.15.
> https://www.spinics.net/lists/netfilter/msg60942.html
>
> Пишут, что "Since 6.0-rc4" Параноики. Вот чем им оно помешало?
>
>> В nftables решается примерно так:
> То есть городить теперь простыню, да ещё как-то всё это
> совмещать с iptables... Или оно не пересечётся и хелперы
> можно в nftables без оглядки на iptables настроить и потом
> внимания не обращать?
>

Я бы советовал таки переходить на nftables.

Re: [Sysadmins] p11 и nf_conntrack_helper

[Sergey]

On Monday 14 April 2025, Alexei Takaseev wrote:

> Я бы советовал таки переходить на nftables.

Это достаточно сложно: много правил, много заготовок.
И ipt_netflow всё равно пока не nf_ :-)

-- 
С уважением, Сергей
a_s_y@sama.ru

Re: [Sysadmins] p11 и nf_conntrack_helper

[Anton Gorlov]

14.04.2025 16:38, Alexei Takaseev пишет:
> 
> Я бы советовал таки переходить на nftables.

Как только туда завезут аля *IPT_netflow*.