прошу прощения, Хрыч, а ты задумывался, как это реализовано в твоем любимом pfSense? ты же понимаешь, что pf - это просто фаервол. и он сам в AD никак не ходит.

внимательно. не 40к правил в линию, а 40к правил всего.

Я и говорю про списки доступа не знаем

при этом использовать все мыслимые модули iptables, которые можно только придумать.

на linux можно много что сделать, но время стоит денег

Ну например так: http://serverfault.com/questions/474073/how-to-load-a-list-of-addresses-into-iptables-dynamically

усложним задачу. уже есть несколько сотен машин с линуксом. на каждой из них 20г-ethernet. они общаются тоннами трафика друг с другом и с миром одновременно. внешний канал ну, пусть 400 гбит и 600 гбит интерконнекта. покажите мне решение в разумном бюджете на выделенном фаерволе. и расскажите о дизайне.

Одно правило iptables, в листе может быть тысяча IP

>Старый Хрыч, [11.10.16 20:20] >я сетями мало интересуюсь >Старый Хрыч, [11.10.16 20:20] >я хочу заниматься виртуализацией тут нонсенс.

категорично. основания?

Основание - неправильный дизайн сети

чем именно он неправильный? забавно, что вы при этом ничего не знаете об этой сети.

40+ правил в iptables — не вижу ничего плохого.

Вот теперь я точно знаю, что ерзента на работу не позову

я не парнокопытное?

на 40к правил айпитеблсе будут чувствоваться лаги

Роман, я прекрасно понимаю, как работает ipset и зачем он нужен. Более того, ipset не убирает внезапно 40к правил, он убирает только ту часть over-40к правил, которая занимается матчингом пакетов по их заголовкам. К сожалению, в фаерволе нередко необходимо использовать не только эту информацию, поэтому от правил на iptables деваться все равно некуда. Я не вижу тезис. Вы что доказать пытаетесь? Что любое решение, в котором в iptables 40k правил - говно по определению?

если у вас 40к правил в iptables - вас надо уволить.

не всегда, к сожалению. например, если у вас есть 5к сетей, и они имеют разные доступы к 200 сервисам на машине, то вам все равно придётся делать много селекторов. их можно консолидировать в правилах, но не обязательно это будет эффективнее, чем иметь мелкие селекторы. ещё раз, 40к правил не последовательно, а всего. при этом один пакет проходит максимум несколько десятков правил, потому что быструю и забавную конструкцию уже изобрели. при этом я отнюдь не уверен, что последовательный спуск по подсетям вниз будет работать медленнее, чем содержание нескольких сотен ipset'ов. более того, ipset сам по себе делать ничего не может, поэтому он уменьшает количество правил не меньше чем до числа ipset'ов.

Эмм.. вариант с ipset будет быстрее и удобнее. Надо только аккуратно построить множества

спор странный. ваше утверждение примерно такое же, как "любую программу можно написать не более, чем в 100к процессорных инструкций". это очевидно неверное утверждение. если есть желание, я могу рассказать о проблеме детальнее, но не в условиях столь людного чата. мой тезис лишь в том, что 40к правил в фаерволе может нормально решать задачу и при этом быстро работать в одной коробке за счёт аккуратной организации этих правил.

Единственный вариант чтобы такая конструкция работала быстро - это большое количество ветвлений.

Господа, а можно елк настроить так, чтобы он писал все в одно хранилище в течении дня

Запись доклада будет?

Это где такое можно посмотреть?