[Sysadmins] etcnet: CONFIG_FW=yes для интерфейса

[Sysadmins] etcnet: CONFIG_FW=yes для интерфейса

[Anton Farygin]

вопрос такой:

есть у меня интерфейс. Хочется при его поднятии автоматом поднимать на 
нём файрволл.

что бы ifup <интерфейс> приводил (в том числе) к поднятию того, что 
настроено в /etc/net/ifaces/<интерфейс>/fw

CONFIG_FW=yes в /etc/net/ifaces/<интерфейс>/options - не помогает.

Это вообще реально сделать на etcnet ?

Re: [Sysadmins] etcnet: CONFIG_FW=yes для интерфейса

[Andrew Kornilov]

Anton Farygin wrote:
> вопрос такой:
> 
> есть у меня интерфейс. Хочется при его поднятии автоматом поднимать на 
> нём файрволл.
> 
> что бы ifup <интерфейс> приводил (в том числе) к поднятию того, что 
> настроено в /etc/net/ifaces/<интерфейс>/fw
> 
> CONFIG_FW=yes в /etc/net/ifaces/<интерфейс>/options - не помогает.
> 
> Это вообще реально сделать на etcnet ?
Эээ. Ну вообще-то это одна из основных возможностей. FW включить только глобально
надо. Чего оно не работает локально, надо глянуть.

Re: [Sysadmins] etcnet: CONFIG_FW=yes для интерфейса

[Andrew Kornilov]

Anton Farygin wrote:
> вопрос такой:
> 
> есть у меня интерфейс. Хочется при его поднятии автоматом поднимать на 
> нём файрволл.
> 
> что бы ifup <интерфейс> приводил (в том числе) к поднятию того, что 
> настроено в /etc/net/ifaces/<интерфейс>/fw
> 
> CONFIG_FW=yes в /etc/net/ifaces/<интерфейс>/options - не помогает.
> 
> Это вообще реально сделать на etcnet ?
http://www.freesource.info/wiki/AltLinux/Sisyphus/admin/etcnet/firewall

Вот тут описано немного. Несколько сумбурно :)

Re: [Sysadmins] etcnet: CONFIG_FW=yes для интерфейса

[Anton Farygin]

Andrew Kornilov пишет:
> Anton Farygin wrote:
>> вопрос такой:
>>
>> есть у меня интерфейс. Хочется при его поднятии автоматом поднимать на 
>> нём файрволл.
>>
>> что бы ifup <интерфейс> приводил (в том числе) к поднятию того, что 
>> настроено в /etc/net/ifaces/<интерфейс>/fw
>>
>> CONFIG_FW=yes в /etc/net/ifaces/<интерфейс>/options - не помогает.
>>
>> Это вообще реально сделать на etcnet ?
> Эээ. Ну вообще-то это одна из основных возможностей. FW включить только глобально
> надо. Чего оно не работает локально, надо глянуть.

Как настроить - я знаю. Если прописывать в глобальный конфиг - всё работает.

А вот с локальным - проблема.

Re: [Sysadmins] etcnet: CONFIG_FW=yes для интерфейса

[Andrew Kornilov]

Anton Farygin wrote:
>>> CONFIG_FW=yes в /etc/net/ifaces/<интерфейс>/options - не помогает.
>>>
>>> Это вообще реально сделать на etcnet ?
>> Эээ. Ну вообще-то это одна из основных возможностей. FW включить только глобально
>> надо. Чего оно не работает локально, надо глянуть.
> 
> Как настроить - я знаю. Если прописывать в глобальный конфиг - всё работает.
> 
> А вот с локальным - проблема.
CONFIG_FW - это типа вообще, включить подсистему эту.
Если включить в глобальном конфиге её, то на всех поднимаемых/опускаемых
интерфейсах будет отрабатывать firewall, если он есть. Так что проблемы не вижу:
включаешь глобальное, в default интерфейсе никакие правила не прописываешь; для
нужных интерфейсов прописываешь. Все автоматом будет работать.

Re: [Sysadmins] etcnet: CONFIG_FW=yes для интерфейса

[Anton Farygin]

Andrew Kornilov пишет:
> Anton Farygin wrote:
>>>> CONFIG_FW=yes в /etc/net/ifaces/<интерфейс>/options - не помогает.
>>>>
>>>> Это вообще реально сделать на etcnet ?
>>> Эээ. Ну вообще-то это одна из основных возможностей. FW включить только глобально
>>> надо. Чего оно не работает локально, надо глянуть.
>> Как настроить - я знаю. Если прописывать в глобальный конфиг - всё работает.
>>
>> А вот с локальным - проблема.
> CONFIG_FW - это типа вообще, включить подсистему эту.
> Если включить в глобальном конфиге её, то на всех поднимаемых/опускаемых
> интерфейсах будет отрабатывать firewall, если он есть. Так что проблемы не вижу:
> включаешь глобальное, в default интерфейсе никакие правила не прописываешь; для
> нужных интерфейсов прописываешь. Все автоматом будет работать.

Автоматом при service network restart ? Да, работает.

Но я не заметил, что бы это работало при ifup/ifdown.

Re: [Sysadmins] etcnet: CONFIG_FW=yes для интерфейса

[Anton Farygin]

Andrew Kornilov пишет:
> Anton Farygin wrote:
>>>> CONFIG_FW=yes в /etc/net/ifaces/<интерфейс>/options - не помогает.
>>>>
>>>> Это вообще реально сделать на etcnet ?
>>> Эээ. Ну вообще-то это одна из основных возможностей. FW включить только глобально
>>> надо. Чего оно не работает локально, надо глянуть.
>> Как настроить - я знаю. Если прописывать в глобальный конфиг - всё работает.
>>
>> А вот с локальным - проблема.
> CONFIG_FW - это типа вообще, включить подсистему эту.
> Если включить в глобальном конфиге её, то на всех поднимаемых/опускаемых
> интерфейсах будет отрабатывать firewall, если он есть. Так что проблемы не вижу:
> включаешь глобальное, в default интерфейсе никакие правила не прописываешь; для
> нужных интерфейсов прописываешь. Все автоматом будет работать.

Автоматом при service network restart ? Да, работает.

Но я не заметил, что бы это работало при ifup/ifdown.

Re: [Sysadmins] etcnet: CONFIG_FW=yes для интерфейса

[Eugene Ostapets]

12.10.07, Anton Farygin<rider altlinux.com> написал(а):
> Автоматом при service network restart ? Да, работает.
>
> Но я не заметил, что бы это работало при ifup/ifdown.
Работает
$ rpm -q etcnet
etcnet-0.9.2-alt1
6 интерфейсов, по 6-10 правил на интерфейсе...

-- 
С уважением,
Евгений Остапец
uin: 23747217
jid: eugene_ostapets@jabber.ru

Re: [Sysadmins] etcnet: CONFIG_FW=yes для интерфейса

[Anton Farygin]

Eugene Ostapets пишет:
> 12.10.07, Anton Farygin<rider altlinux.com> написал(а):
>> Автоматом при service network restart ? Да, работает.
>>
>> Но я не заметил, что бы это работало при ifup/ifdown.
> Работает
> $ rpm -q etcnet
> etcnet-0.9.2-alt1
> 6 интерфейсов, по 6-10 правил на интерфейсе...
> 

сейчас я ещё раз посмотрю. У меня это не работает на ebtables.

Re: [Sysadmins] etcnet: CONFIG_FW=yes для интерфейса

[Eugene Ostapets]

12.10.07, Anton Farygin<rider altlinux.com> написал(а):
> Eugene Ostapets пишет:
> > 12.10.07, Anton Farygin<rider altlinux.com> написал(а):
> >> Автоматом при service network restart ? Да, работает.
> >>
> >> Но я не заметил, что бы это работало при ifup/ifdown.
> > Работает
> > $ rpm -q etcnet
> > etcnet-0.9.2-alt1
> > 6 интерфейсов, по 6-10 правил на интерфейсе...
> сейчас я ещё раз посмотрю. У меня это не работает на ebtables.
Это уже другая подсистема... Я бриджами не пользуюсь...

-- 
С уважением,
Евгений Остапец
uin: 23747217
jid: eugene_ostapets@jabber.ru

Re: [Sysadmins] etcnet: CONFIG_FW=yes для интерфейса

[Andrew Kornilov]

Anton Farygin wrote:
>> Работает
>> $ rpm -q etcnet
>> etcnet-0.9.2-alt1
>> 6 интерфейсов, по 6-10 правил на интерфейсе...
> сейчас я ещё раз посмотрю. У меня это не работает на ebtables.
Гм. ebtables? Вот с ним не помню. Но должно, там пофиг, что. Просто
перебирается список из FW_TYPE и смотрятся такие каталоги в каталоге
интерфейса. Странно...Кинь в почту подробности какие-нибудь, посмотрю.
Все может быть. 

Re: [Sysadmins] etcnet: CONFIG_FW=yes для интерфейса

[Anton Farygin]

Andrew Kornilov пишет:
> Anton Farygin wrote:
>>> Работает
>>> $ rpm -q etcnet
>>> etcnet-0.9.2-alt1
>>> 6 интерфейсов, по 6-10 правил на интерфейсе...
>> сейчас я ещё раз посмотрю. У меня это не работает на ebtables.
> Гм. ebtables? Вот с ним не помню. Но должно, там пофиг, что. Просто
> перебирается список из FW_TYPE и смотрятся такие каталоги в каталоге
> интерфейса. Странно...Кинь в почту подробности какие-нибудь, посмотрю.
> Все может быть. 

Всё, я разобрался.

Я не включал CONFIG_FW в default/options, а включал его для интерфейса.

Если включить в default, то всё начинает работать.

А почему-бы не сделать возможность включать эту опцию для каждого 
интерфейса персонально ?

Re: [Sysadmins] etcnet: CONFIG_FW=yes для интерфейса

[Andrew Kornilov]

Anton Farygin wrote:
> 
> Всё, я разобрался.
> 
> Я не включал CONFIG_FW в default/options, а включал его для интерфейса.
> 
> Если включить в default, то всё начинает работать.
> 
> А почему-бы не сделать возможность включать эту опцию для каждого 
> интерфейса персонально ?
Включение на интерфейсе получается при наличии там каталога fw/ :-)
А включать отдельно от default не стоит, default на то и дефолт, чтобы
установить там какие важные вещи типа policy. В общем, нюансы есть. 
С текущей схемой проще всего. На самом-то деле в netfilter нельзя
включить для интерфейса только, он глобально действует, только
именем интерфейса можно ограничить.

Re: [Sysadmins] etcnet: CONFIG_FW=yes для интерфейса

[Anton Farygin]

Andrew Kornilov пишет:
> Anton Farygin wrote:
>> Всё, я разобрался.
>>
>> Я не включал CONFIG_FW в default/options, а включал его для интерфейса.
>>
>> Если включить в default, то всё начинает работать.
>>
>> А почему-бы не сделать возможность включать эту опцию для каждого 
>> интерфейса персонально ?
> Включение на интерфейсе получается при наличии там каталога fw/ :-)

Это если в default CONFIG_FW включен?

> А включать отдельно от default не стоит, default на то и дефолт, чтобы
> установить там какие важные вещи типа policy. В общем, нюансы есть. 
> С текущей схемой проще всего. На самом-то деле в netfilter нельзя
> включить для интерфейса только, он глобально действует, только
> именем интерфейса можно ограничить.

Это как раз понятно. Просто непонятно, зачем лезть в default, если fw 
поднимается только для одного интерфейса. В этом у меня и была путаница.

Re: [Sysadmins] etcnet: CONFIG_FW=yes для интерфейса

[Andrew Kornilov]

Anton Farygin wrote:
>> А включать отдельно от default не стоит, default на то и дефолт, чтобы
>> установить там какие важные вещи типа policy. В общем, нюансы есть. 
>> С текущей схемой проще всего. На самом-то деле в netfilter нельзя
>> включить для интерфейса только, он глобально действует, только
>> именем интерфейса можно ограничить.
> 
> Это как раз понятно. Просто непонятно, зачем лезть в default, если fw 
> поднимается только для одного интерфейса. В этом у меня и была путаница.
Ну default - это же не интерфейс. А просто хранилище опций глобальных. 
Которые можно переопределить локально. Но не все, некоторые влияют на
алгоритм работы.

Re: [Sysadmins] etcnet: CONFIG_FW=yes для интерфейса

[Michael Shigorin]

On Fri, Oct 12, 2007 at 05:57:29PM +0300, Andrew Kornilov wrote:
> >> А включать отдельно от default не стоит, default на то и дефолт, чтобы
> >> установить там какие важные вещи типа policy. В общем, нюансы есть. 
> >> С текущей схемой проще всего. На самом-то деле в netfilter нельзя
> >> включить для интерфейса только, он глобально действует, только
> >> именем интерфейса можно ограничить.
> > Это как раз понятно. Просто непонятно, зачем лезть в default, если fw 
> > поднимается только для одного интерфейса. В этом у меня и была путаница.
> Ну default - это же не интерфейс. А просто хранилище опций
> глобальных.  Которые можно переопределить локально. Но не все,
> некоторые влияют на алгоритм работы.

Мож в ifaces/default краткое README на эту тему кинуть?
Типа, я не интерфейс, а хранилище. :)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/
 ----       Oct 26--27, Kiev, Ukraine:
--       http://conference.osdn.org.ua

Re: [Sysadmins] etcnet: CONFIG_FW=yes для интерфейса

[Andrew Kornilov]

Michael Shigorin wrote:
>> Ну default - это же не интерфейс. А просто хранилище опций
>> глобальных.  Которые можно переопределить локально. Но не все,
>> некоторые влияют на алгоритм работы.
> 
> Мож в ifaces/default краткое README на эту тему кинуть?
> Типа, я не интерфейс, а хранилище. :)

Да оно где-то и описано в доке. Только кто ж их читает :) 
README в ifaces идея интересная, но, боюсь, Денис придерживается
более консервативных взглядов :) Хотя надо попробовать.

Re: [Sysadmins] etcnet: CONFIG_FW=yes для интерфейса

[Michael Shigorin]

On Tue, Oct 16, 2007 at 03:51:54AM +0300, Andrew Kornilov wrote:
> >> Ну default - это же не интерфейс. А просто хранилище опций
> >> глобальных.  Которые можно переопределить локально. Но не все,
> >> некоторые влияют на алгоритм работы.
> > Мож в ifaces/default краткое README на эту тему кинуть?
> > Типа, я не интерфейс, а хранилище. :)
> Да оно где-то и описано в доке. Только кто ж их читает :) 
> README в ifaces идея интересная, но, боюсь, Денис придерживается
> более консервативных взглядов :) Хотя надо попробовать.

А это как тултипы -- помогает не отходя от кассы.

Не найду сейчас быстро постинг netch@ насчёт предиктивного
пользовательского интерфейса, но конфиг, который _вкратце_
излагает manpage, или шелл, который читает --help по табу
на недописанную опцию -- неплохо с ним сообразуются. :)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/
 ----       Oct 26--27, Kiev, Ukraine:
--       http://conference.osdn.org.ua

Re: [Sysadmins] etcnet: CONFIG_FW=yes для интерфейса

[Anton Farygin]

Andrew Kornilov пишет:
> Michael Shigorin wrote:
>>> Ну default - это же не интерфейс. А просто хранилище опций
>>> глобальных.  Которые можно переопределить локально. Но не все,
>>> некоторые влияют на алгоритм работы.
>> Мож в ifaces/default краткое README на эту тему кинуть?
>> Типа, я не интерфейс, а хранилище. :)
> 
> Да оно где-то и описано в доке. Только кто ж их читает :) 

ну не знаю кто как, но лично я из всех доков по etcnet могу понять 
только examples.

Единой документации, в одном файле - не существует. Есть только 
разрозненные куски.

> README в ifaces идея интересная, но, боюсь, Денис придерживается
> более консервативных взглядов :) Хотя надо попробовать.

Re: [Sysadmins] etcnet: CONFIG_FW=yes для интерфейса

[Andrew Kornilov]

Anton Farygin wrote:
>> Да оно где-то и описано в доке. Только кто ж их читает :) 
> 
> ну не знаю кто как, но лично я из всех доков по etcnet могу понять 
> только examples.
Мы сами не понимаем, как оно работает :) Документацию писать лень
некому особо, да и потестить негде особо, только на ноуте.
> 
> Единой документации, в одном файле - не существует. Есть только 
> разрозненные куски.
> 
>> README в ifaces идея интересная, но, боюсь, Денис придерживается
>> более консервативных взглядов :) Хотя надо попробовать.

Re: [Sysadmins] etcnet: CONFIG_FW=yes для интерфейса

[Andrew Kornilov]

Michael Shigorin wrote:
>> Да оно где-то и описано в доке. Только кто ж их читает :) 
>> README в ifaces идея интересная, но, боюсь, Денис придерживается
>> более консервативных взглядов :) Хотя надо попробовать.
> 
> А это как тултипы -- помогает не отходя от кассы.
> 
> Не найду сейчас быстро постинг netch@ насчёт предиктивного
> пользовательского интерфейса, но конфиг, который _вкратце_
> излагает manpage, или шелл, который читает --help по табу
> на недописанную опцию -- неплохо с ним сообразуются. :)
Да кто ж спорит. Я вот тут недавно смотрел на свои же программы
времен конца 90-х, для Fido и BBS-ок. Так у меня насколько
подробно и понятно было все описано в конфигах, аж удивляюсь.
А сейчас энтузиазма нет. Мне бы секретаря, так я бы надиктовал
конфигов таких, что ого-го :)