а в бубунту ещё firewalld разве вместе с systemd не завезли?
лучше б они ipfw завезли)
Pavel
Pavel
а что iptables уже deprecated совсем?(
Kirill
а в бубунту ещё firewalld разве вместе с systemd не завезли?
нет. но ставится с полпинка, что я у себя и сделал.
Anonymous
ну в fedora уже с 20 версии firewalld, в арче по дефолту firewalld, в rhel 7 тоже уже firewalld
Anonymous
нет. но ставится с полпинка, что я у себя и сделал.
ну он проще чем iptables, но к нему привыкнуть надо
Kirill
ну в fedora уже с 20 версии firewalld, в арче по дефолту firewalld, в rhel 7 тоже уже firewalld
я в федоре и центоси потыкал — офигенно удобная штука.
Anonymous
я в федоре и центоси потыкал — офигенно удобная штука.
как бы ты отговаривал использовать программные маршрутизаторы а купить железку?
Anonymous
а то у нас тут есть странный мальчик, который хочет нынешний за 6 лет всеми измученный pfsense перенести в новый офис как шлюз снова и основу всего
Anonymous
а я вот совсем не хочу ебли с pfsense на 1000 устройств
Anonymous
не под него уже задача
Alex
Так, теперь как проверить к какому ДНС он обращается? nmcli dev show | grep DNS не выдает ничего.
Kirill
как бы ты отговаривал использовать программные маршрутизаторы а купить железку?
смотря от ситуации. если в конкретной ситуации это бред — так и скажу. опишу проблемы, которые это за собой понесет и тот мизерный профит, за которым этот человек гонится, сформулировав так, чтобы этот профит был максимально ничтожным, по сравнению с объемом ебли.
Anonymous
смотря от ситуации. если в конкретной ситуации это бред — так и скажу. опишу проблемы, которые это за собой понесет и тот мизерный профит, за которым этот человек гонится, сформулировав так, чтобы этот профит был максимально ничтожным, по сравнению с объемом ебли.
разница 0 рублей или 3500к баксов совсем не мизерная
Kirill
3500к или 3.5к баксов?
а сколько уйдет на оплату обслуживания одного и другого варианта?
Dmitry
Но не суть
Anonymous
3500к или 3.5к баксов?
а сколько уйдет на оплату обслуживания одного и другого варианта?
на обслуживание одинаково,сетевик мой коллега, 55к в месяц
Dmitry
Парни не трогайте иптейблес
Anonymous
3500к или 3.5к баксов?
а сколько уйдет на оплату обслуживания одного и другого варианта?
просто например циска/пала альта/соникволл они нормально интегрируются с AD, нормально интегрируются с с мониторингами
Dmitry
Я его не очь, но могу нагуглить любой кейс
Anonymous
на firewalld уже тоже есть любой кейс
Dmitry
Если вам слажна капипастить, то надо задуматься о выборе профессии попроще
Anonymous
а почему нет
Anonymous
он современнее, кейсы есть
Anonymous
что не так?
Kirill
Dmitry
Но это не путь хрыча
Dmitry
Конкретнее
Dmitry
Вот почему нетстат деприкейт я могу нагуглить
Vladimir
по сути firewalld это и есть iptables ток доработанный
вероятнее всего firewalld генерирует неоптимальные правила для iptables, потому что в десктопах оптимальность не важна.
Anonymous
Dmitry
А
Vladimir
и впихнули десктопный системд в серверную ос
Dmitry
Ну если он в рхел то пиздец
Dmitry
Пошел везде ставить
Dmitry
Это довод в стиле лора
Vladimir
поэтому он в rhel 7?
системд в рхел7 это источник большей части проблем, потому что он ломает существующие кейсы, некорректно работает на ряде оборудования и т.п.
Anonymous
и впихнули десктопный системд в серверную ос
у меня особых проблем с системд нет, и очень просили разрабы, создать тикеты на твои баги https://bugzilla.redhat.com/
Vladimir
Anonymous
системд в рхел7 это источник большей части проблем, потому что он ломает существующие кейсы, некорректно работает на ряде оборудования и т.п.
кейсы надо дорабатывать, как при любом обновлении
Vladimir
даже не мной созданные
Vladimir
кейсы надо дорабатывать, как при любом обновлении
ну смотри - у меня есть демон, он умеет проверять свой конфиг по команде. Мне нужно чтобы restart не начинался если конфиг не валидный
Dmitry
С системд зачастую виноваты разрабы, которые не пишут скрипты
Vladimir
в systemd этого сделать нельзя от слова совсем.
Dmitry
Или пишут жопами
Kirill
Надо брать документацию и результаты тестов
ну, у меня спросили не как это сделать, а как отговорить
Anonymous
Ну если он в рхел то пиздец
в firewalld не нужно сохранять конфиг, и перезагружать весь фаервол чтобы применить правило
Anonymous
ну смотри - у меня есть демон, он умеет проверять свой конфиг по команде. Мне нужно чтобы restart не начинался если конфиг не валидный
можно это сделать, пишешь это прямо в системд-инит
Dmitry
в firewalld не нужно сохранять конфиг, и перезагружать весь фаервол чтобы применить правило
Иптейблес не умеет сигхап?
Vladimir
@erzent расскажи как.
Vladimir
@erzent в системд restart это последовательное stop -> post-stop -> pre-start -> start
Vladimir
stop нельзя отменить
Vladimir
by design
Dmitry
Врапер писать надо
Dmitry
Но по хорошему сам софт должен это проверять
Dmitry
Норм софт с невалидной конфигой шлет нах
Anonymous
@erzent расскажи как.
мы писали для софтины, что она перед запуском должна проверить свою хеш сумму прямо в инити системд
Vladimir
Норм софт с невалидной конфигой шлет нах
я хочу чтобы в ситуации апгрейда софтины, когда дергается restart, оно не стопалось если конфиг не валидный. А в системд оно будет убито
Dmitry
Ааа
Dmitry
Я понял
Alexander
Vladimir
если оно не умрет за таймаут то системд в логах скажет что они считают что наверное так и должно быть и начнет выполнять дальше шаги
Anonymous
я хочу чтобы в ситуации апгрейда софтины, когда дергается restart, оно не стопалось если конфиг не валидный. А в системд оно будет убито
это тоже вроде как можно, спроси в #fedora канале даже тут
Vladimir
но как только таймаут пройдет, софтине прилетит в морду SIGKILL
Alexander
ещё можно отдельный сервис и туда эту чекалку при выключении
Alexander
и зависимость
Vladimir
если поменять SIGKILL на что-то еще или выключить, то оно еще подождет и скажет что оно сдается, считает это нормальным
Vladimir
и пойдет стартовать демон заново
Vladimir
при этом демон перейдет по мнению системд в статус stopped
Vladimir
а процесс останется висеть