Слушайте, а у кого-нибудь есть проверенный конфиг strongswan'а с минимально необходимым но достаточноым для современных клиентов набором механизмов авторизации? А то там такое разнообразие конфигов, что глаза разбегаются.

проще всего использовать ipsec.conf

netgraph, nas ?

а зачем netgraph?

mitya@m18:/usr/src/sys/arm/conf# ls ALPINE IMX6 AML8726 JETSON-TK1 APALIS-IMX6 mach-types ARMADA38X Makefile ARMADAXP NOTES ARNDALE ODROIDC1 ARNDALE-OCTA PANDABOARD BEAGLEBONE PANDABOARD.hints CHROMEBOOK QUARTZ CHROMEBOOK-PEACH-PIT RADXA CHROMEBOOK-PEACH-PIT.hints RADXA-LITE CHROMEBOOK-SNOW RK3188 CHROMEBOOK-SPRING RPI-B CHROMEBOOK.hints RPI2 COLIBRI-VF50 RT1310 COSMIC SAM9G20EK.hints DB-78XXX SHEEVAPLUG DB-88F5XXX SOCDK DB-88F6XXX SOCFPGA DEFAULTS SOCKIT DOCKSTAR SOCKIT-BERI DREAMPLUG-1001 std.arm EA3250.hints std.armv6 EFIKA_MX std.armv7 EXYNOS5.common TEGRA124 EXYNOS5250 TS7800 EXYNOS5420 VERSATILEPB genboardid.awk VSATV102 GENERIC VYBRID GENERIC-MMCCAM YYHD18 GENERIC-NODEBUG ZEDBOARD IMX53

городить туннели и обработчики пакетов разной конфигурации

https://genneko.github.io/playing-with-bsd/networking/freebsd-vti-ipsec/

А если для Android и iOS? Между двумя BSD я бы и без IKE сделал вообще, на том самом if_ipsec :-)

я не пробовал, но люди настраивают и работает, что со strongswan, что с ракуном

Слушайте, а у кого-нибудь есть проверенный конфиг strongswan'а с минимально необходимым но достаточноым для современных клиентов набором механизмов авторизации? А то там такое разнообразие конфигов, что глаза разбегаются.

у меня )) но у меня чисто для road warrior в котором сервер показывает сертификат, а клиент - логин+пароль

всегда так было

Вот, давай! Мне и надо, просто что бы с разными клиентами работало и лишнего не было

https://paste.ubuntu.com/p/dCRJ8RYQ4S/

рволок это прошлый век и основной тормоз стека

мне приходится работать с 10-ками и 100-ми гигабит и нетграф для этого непригоден полностью

спасибо!

оно нисколько не скалируется на количество ядер, даже если ты используешь только rlock, на многих ядрах ты получишь такой контеншен, что ни о какой производительности речи нет.

RCU защищено патентами

не получится. принцип netgraph как раз именно взаимодействие нод

а при переходе пакета из ноды в ноду как раз rwlock и торчит

В общем-то, понятно что делать

проблема в том, что это нужно делать. А делать некому.

смысл в том, что пакет идет от хука к хуку, и при передаче пакета, нужно убедиться что хук соседней ноды существует, и соседняя нода не "мертвая"

и во время этой проверки нужно заблокировать изменения самой структуры netgraph

https://genneko.github.io/playing-with-bsd/networking/freebsd-vti-ipsec/

Я могу сразу предсказать где будет следующий затык: аллокация и деаллокация буферов.

на словах всё выгляди тпросто, на деле нужно пару человеколет чтобы весь нетграф переделать и довести до пригодного в прод вида

сейчас в ядре есть CK, и EBR на его основе. Приступай, если есть желание :)

желание есть, навыков нету

сейчас в ядре есть CK, и EBR на его основе. Приступай, если есть желание :)

как тут справедливо замечали, если нет цели, то смысла браться нет. Если цель есть, но нет мотивации, тоже смысла нет.

для реализации lockless fastpath + определение живости через epoch

а какой практический смысл может быть?

ещё думаю полезной фичей для фри была бы нормальная реализация SMB

повысить производительность систем, которые активно используют нетграф

ну на mpd5 до сих пор куча народа сидит

ну чтоб можно было как в соляре взять и расшарить датасет по smb

NFS'ом у нас занимается один дедушка Рик