Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Выпуск межсетевого экрана firewalld 1.2, opennews (?), 02-Июл-22, (0) [смотреть все] Чем это лучше ufw и удобного gufw , Alladin (?), 11:58 , 02-Июл-22, (1) –3 // они обертки а он уровнем ниже и г-о , псевдоеимус (?), 14:22 , 02-Июл-22, (18) +1 Он лучше буквально во всём Попробуй и сам поймёшь Разработчикам респект и уваж, Anonim (??), 15:44 , 02-Июл-22, (34) +3 Ничем Как видишь суффикс d - выпиливай под корень , Аноним (56), 23:27 , 02-Июл-22, (56) –2 // Начни с ntpd , Аноним (63), 14:12 , 03-Июл-22, (63) +2 // В centos он выпилен в пользу chrony , Минона (ok), 15:59 , 04-Июл-22, (85) Так chronyd же Придется выпиливать 1691 S 0 00 usr sbin ch, Аноним (90), 10:18 , 05-Июл-22, (90) Ну httpd заменим на nginx atd, crond - выкинуть заменив systemd-timers smbd - , Аноним (90), 10:20 , 05-Июл-22, (91) iptables и так надстройка над netfilter зачем дополнительная надстройка над надс, Аноним (2), 11:59 , 02-Июл-22, (2) +9 // Когда иптаблесы заменяют на нфтаблесы, не все успевают или горят желанием погруж, DeerFriend (?), 12:17 , 02-Июл-22, (7) +3 // так при смене бинарнечек и делает все поправки что то типа iptables-old пихаеш, Аноним (2), 13:27 , 02-Июл-22, (12) +3 // чтобы было непонятно, как обрабатывается пакет магия, ололо , псевдоеимус (?), 14:23 , 02-Июл-22, (19) +4 не надстройка, а пользовательский интерфейс для управления Желаю удачи юзать ne, anonymouse (?), 13:25 , 02-Июл-22, (11) +1 // пасибо уже юзаю без надстроек, чего и всем желаю, Аноним (2), 13:27 , 02-Июл-22, (13) +1 Ждём в Debian , Олежа (?), 12:02 , 02-Июл-22, (3) –1 // Не жди, просто поставь из репозиториев Не знаю, как в Debian, но в Ubuntu 20 04 , Аноним (14), 13:38 , 02-Июл-22, (14) –1 прям ngfw какой-то, Sw00p aka Jerom (?), 12:02 , 02-Июл-22, (4) // И в каком месте , QwertyReg (ok), 14:40 , 02-Июл-22, (23) –2 // в том, что при создании правил отталкивается от сервисов аппликейшенов именн, Sw00p aka Jerom (?), 14:51 , 02-Июл-22, (24) +2 // Разве данная программа разбирает какието протоколы Она отталкивается от алиасов, ыы (?), 15:24 , 02-Июл-22, (29) вот и написал прям ngfw какой-то , то есть - не разбирает протоколы, но оперир, Sw00p aka Jerom (?), 15:30 , 02-Июл-22, (31) +2 Релиз обёртки над фаерволлами Называйте вещи своими именами , Аноним (5), 12:05 , 02-Июл-22, (5) +5 // Что не является оберткой и как этим управлять , Ку (?), 19:36 , 02-Июл-22, (48) // ну дык истинный бог который онные атомы для оберток и наштамповал управлять, , pfg21 (ok), 14:56 , 04-Июл-22, (81) И насколько роняет производительность эта безопасность В ядре безопасности роня, Аноним (9), 13:16 , 02-Июл-22, (9) –5 Динамически изменять правила пакетного фильтра через D-Bus - это так важно для с, ixpert (?), 13:56 , 02-Июл-22, (15) // Кроме твоего локалхоста существует ещё столько всего 8212 целый мир Подрасте, Аноним (63), 14:32 , 02-Июл-22, (22) // ваша убогая шутка про localhost настолько в тему, что это убожество только и зап, ixpert (?), 15:16 , 02-Июл-22, (27) // здесь это самая уместная шутка, ведь уровень комментаторов ей полностью соответс, Аноним (67), 18:59 , 03-Июл-22, (67) вообще все настройки делаютя на фаерволах инфраструктуры циски жуниперы брокейд, Aninim (?), 17:44 , 02-Июл-22, (38) // А вот и мамкины ибэшники подъехали, у которых внутри домашнего ланчика фаерволлы, Аноним (71), 20:29 , 03-Июл-22, (71) V ланчика, 1 (??), 11:39 , 04-Июл-22, (75) Это точно, поголовно лезут в IT даже те кто ничерта в этом не понимает и в целом, bOOster (ok), 11:29 , 04-Июл-22, (74) +1 Если ссх не на 22 порту, оно сработает , ананоша (?), 14:14 , 02-Июл-22, (16) // конечно, откроет вам тупо 22 порт, тут список usr lib firewalld services xml , Sw00p aka Jerom (?), 14:57 , 02-Июл-22, (25) +1 // а выражения в элементах поддерживает что-то вроде port protocol select proto f, ыы (?), 15:13 , 02-Июл-22, (26) // должен если ngwf, Sw00p aka Jerom (?), 15:31 , 02-Июл-22, (32) Так для этого поддерживается добавление своего сервиса sshd-my-cool-port , Аноним (90), 10:22 , 05-Июл-22, (92) мало того, что убогое, так еще завязано на дбус и после этого линуксоиды смеются, псевдоеимус (?), 14:14 , 02-Июл-22, (17) –1 // я кайфую от PF особено его таблички искаропки, и не надо, что то типа ipset горо, Anonimussh (?), 17:48 , 02-Июл-22, (39) твою биографию тут все уже наизусть знают, Аноним (67), 19:00 , 03-Июл-22, (68) +1 В БЗДе нет Дбус , Аноним (78), 14:07 , 04-Июл-22, (78) // В базовой системе конечно нет, нахрена там этот дерибас Уязвимости собирать Ес, BorichL (ok), 15:52 , 04-Июл-22, (83) +1 штатно конечно нет омнопроги тянут по зависимостям , псевдоеимус (?), 19:27 , 05-Июл-22, (96) https play google com store apps details id app greyshirts firewallтакое надо , Брандмауэр без Root (?), 14:30 , 02-Июл-22, (21) Это же классно Можно описать сервисы своими именами потом выдавать команды fire, ыы (?), 15:21 , 02-Июл-22, (28) // залетаешь такой и начинает исслудование и раскопки что и где накручено наверчено, нига (?), 17:49 , 02-Июл-22, (40) +1 // так для того же и сделано разве нет , ыы (?), 19:22 , 02-Июл-22, (43) Это фигня Куда важнее фича что можно открыть порт на минуту или на 10 минут, ти, Аноним (90), 10:24 , 05-Июл-22, (93) // Вот наивные - думают, что это некий эксклюзив firewalld и что только благодаря f, gapsf2 (ok), 11:26 , 05-Июл-22, (94) // Брр Почему только Это очевидно делается руками или через крон Просто firewa, Аноним (90), 12:36 , 05-Июл-22, (95) +1 Прекрасно Главное не узнать что пользоваться алиасами вовсе не обязательно это, ыы (?), 15:28 , 02-Июл-22, (30) // у микроскопов тоже есть такая опция как забивать гвозди , Sw00p aka Jerom (?), 15:32 , 02-Июл-22, (33) +1 iptables nftables и так обновляют правила в ядре без разрыва соединений nftables, Аноним (36), 17:23 , 02-Июл-22, (36) +4 // И, да, firewalld это просто обертка, которая генерит набор правил iptables nftab, Аноним (36), 18:03 , 02-Июл-22, (41) +1 // Изучал что эта обертка генерит на выходе - ужаснулся и после этого на норм проек, An0nim0us (?), 20:15 , 02-Июл-22, (51) –2 // давай конкретный воспроизводимый пример, трепло, Аноним (67), 19:05 , 03-Июл-22, (69) +1 Более того, при попытке сделать конфигурацию отличную от локалхост хомячка - т, ыы (?), 19:26 , 02-Июл-22, (45) +1 Э то есть там для каждого приложения нужна своя поддержка Ужас какой , BrainFucker (ok), 18:17 , 02-Июл-22, (42) // Речь просто про более фичастый вариант бывшего etc services который некорректе, Аноним (90), 22:30 , 06-Июл-22, (98) Когда сделают фильтр по имени процесса, просящего доступ в сеть Чтобы я себе мо, Аноним (44), 19:25 , 02-Июл-22, (44) // Когда доля линукса на десктопе станет больше погрешности измерения - сразу же по, ыы (?), 19:27 , 02-Июл-22, (46) // Иными словами - никогда , Аноним (49), 19:42 , 02-Июл-22, (49) сделали, примерно в 2005-м году И даже как всегда,более чем одним способом , slepnoga (??), 19:44 , 02-Июл-22, (50) С этим все непросто Когда-то можно было фильтровать по pid, но это убрали И прям, gapsf2 (??), 21:27 , 02-Июл-22, (52)   // мониторит прок судя по коду вообще лютое г, Аноним (-), 23:03 , 02-Июл-22, (54)   на винде это уже проходили через несколько итерций пришли к подписанным бинарник, john_erohin (?), 07:43 , 03-Июл-22, (58) –1 Вы хотите аналог Windows Filtering Platform В Windows много файрволов, но один п, Аноним (59), 09:44 , 03-Июл-22, (59) Уже давно сделали, давно юзаю и вам желаю https github com evilsocket opensnit, Qanon (?), 12:56 , 03-Июл-22, (61) Давно сделали, но ты не осилил Называется SELinux , Аноним (63), 14:17 , 03-Июл-22, (64) +1 Когда ты опишешь надёжный, непротиворечивый и невзламываемый метод определения и, Аноним (71), 20:32 , 03-Июл-22, (72) // Зачем его определять Он известен изначально Вы вероятно думаете, что процесс , ыы (?), 09:25 , 04-Июл-22, (73) // Просто ты не отличаешь L4 файрвол от L7 файрвола , Аноним (99), 12:24 , 08-Июл-22, (99) Башескритования не понимаешь Можно по PID А чтобы его получить, есть Bash , Аноним (78), 14:14 , 04-Июл-22, (79) Вероятно ты вообще слабо понимаешь, что это, зачем это и как всё это работает Х, BorichL (ok), 15:57 , 04-Июл-22, (84) // это в линухе так файрвол стоит гдето там на роутере и имеет пару правил А в , ыы (?), 20:34 , 04-Июл-22, (88) // Насчёт адекватности такой ОС есть большие сомнения Ну для мамкиного хакера така, BorichL (ok), 21:07 , 04-Июл-22, (89) Нужен systemd-firewalld, Аноним (53), 22:22 , 02-Июл-22, (53) +1 // и systemd-firefox ну и иногда systemd-tuxracerd, Аноним (-), 23:04 , 02-Июл-22, (55) +2 // Былоб так круто Разрешаю, реализовывайте , microsoft (?), 13:39 , 03-Июл-22, (62) о, завсегдатаи с шутками за 100 опеннет стабилен, Аноним (67), 19:09 , 03-Июл-22, (70) +2 И тут они обнаружили фатальный недостаток , Аноним (57), 01:11 , 03-Июл-22, (57) Спасибо, не знал, что интерфейсы есть , Аноним (-), 11:35 , 03-Июл-22, (60) +3 // Какввенде , Аноним (78), 14:16 , 04-Июл-22, (80) firewalld - пришло твое время p s этож все для неосиляторов nftables iptables n, Annno (?), 16:09 , 03-Июл-22, (65) т е если я файл своей кривой поделки проименую ssh то получу все возможности ss, pfg21 (ok), 12:09 , 04-Июл-22, (76) // Да Ну допустим Схуали Штирлиц подумал мысль Ему понравилось и он подумал ещ, ыы (?), 13:22 , 04-Июл-22, (77) // срояли йопт, оно ж того именования сервисов читает, а эта вещчъ гвоздями не приб, pfg21 (ok), 14:59 , 04-Июл-22, (82) // из простого текстового файла, который никакого отношения ни к реальным сервисам,, ыы (?), 20:31 , 04-Июл-22, (87) когда уже появиться mycomputerd , Аноним (97), 11:11 , 06-Июл-22, (97) 1,2,3,4,5,9,15,16,17,21,28,30,36,42,44,53,57,60,65,76,97

Сообщения

[Сортировка по времени | RSS]

	52. "Выпуск межсетевого экрана firewalld 1.2"	+/–
	Сообщение от gapsf2 (??), 02-Июл-22, 21:27
	С этим все непросто. Когда-то можно было фильтровать по pid, но это убрали. И прям по имени процесса или файла скорее всего никто никогда в ядре уже делать не будет, т.к. с точки зрения ядерщиков, все что можно сделать в юзерспейс не надо тащить в ядро. Кроме того имя процесса/команды неоднозначно: их может быть несколько. Для входящих соединений определить процесс, который получит пакет в общем случае затруднительно. В любом случае придется самому мастерить, сам я таким не занимался. На данный момент с помощью iptables можно фильтровать по -m cgroup --path... По сути это  все, что доступно непосредственно по процессам. 1 Пробовать/смотреть куда системд пихает процесс в cgroups и использовать -m cgroup --path если получится 2 Пробовать по разному использовать network namespaces https://unix.stackexchange.com/questions/68956/block-network... Причем в каждом пространстве имен собственные интерфейсы, таблицы маршрутизации и набор правил фаервола. Наверное это самый перспективный и гибкий вариант. 3 Запускать приложения под другим пользователем и использовать для фильтрации -m owner... 4 Пробовать selinux, apparmor, ясно что это гемор, хотя... https://askubuntu.com/questions/679474/how-to-block-internet... Т.е. apparmor настроить не очень сложно и можно прям по путям в фс огрничения делать. Тоже неплохой вариант. 5 Пробовать готовые проги, я нашел https://github.com/evilsocket/opensnitch https://douaneapp.com/ Эти проги gui и интерактивные, как именно они реализуют этот функционал - над смотреть исходники. Как видно вариантов много, поэтому ждать реализации этого прямо в ядре+iptables/nftables нет смысла.
	Ответить | Правка | К родителю #44 | Наверх | Cообщить модератору

	54. "Выпуск межсетевого экрана firewalld 1.2"	+/–
	Сообщение от Аноним (-), 02-Июл-22, 23:03
	мониторит прок судя по коду. вообще лютое г
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема