nftables: nouveau pare-feu

grandtoubab · Le 23/02/2019, à 09:57

Salut
Maintenant que nftables va devenir la norme, j'ai migré de iptables à nftables:
https://bidouilledebian.wordpress.com/2 … -nftables/

nft list ruleset; date; who -b
table inet filter {
	chain input {
		type filter hook input priority 0; policy accept;
		iif "lo" accept
		ct state established,related accept
		tcp dport { ssh, http, https, 8200 } ct state new accept
		counter packets 6889 bytes 3006321 drop
	}
}
samedi 23 février 2019, 09:07:38 (UTC+0100)
         démarrage système 2019-02-23 07:05

En 2h, 6889 paquets rejetés et inutiles dans mon utilisation classique ( surf sur Internet, Molotov,etc) , ça me convient

Dernière modification par grandtoubab (Le 23/02/2019, à 10:23)

bruno · Le 23/02/2019, à 15:08

Salut,

nftables c'est intéressant et le truc a été ressuscité il y a quelques années mais je ne suis pas sûr que cela vaille le coût d'investir du temps dans son apprentissage. Les développeurs du noyau pourraient privilégier un autre système de filtrage des paquets : bpfilter. Voir aussi : https://cilium.io/blog/2018/04/17/why-i … -iptables/

Dernière modification par bruno (Le 23/02/2019, à 15:10)

grandtoubab · Le 23/02/2019, à 15:14

bruno a écrit :

Salut,
nftables c'est intéressant et le truc a été ressuscité il y a quelques années mais je ne suis pas sûr que cela vaille le coût d'investir du temps dans son apprentissage. Les développeurs du noyau pourraient privilégier un autre système de filtrage des paquets : bpfilter. Voir aussi : https://cilium.io/blog/2018/04/17/why-i … -iptables/

The end result is that we'll probably not see bpfilter in the mainline kernel in the immediate future.

https://wiki.debian.org/nftables a écrit :

NOTE: Debian Buster will use the nftables framework by default.

Debian 10 Buster sera la version stable d'ici 3/4 mois

bruno · Le 23/02/2019, à 15:29

Oui j'ai vu, mais nftables est très peu utilisé, et surtout nécessite une réécriture complète des règles de pare-feu. Les adminsys continueront, pour la plupart, à utiliser ipatbles qui sera toujours présent sur les différentes distributions.
nftables corrige pas mal de défaut de iptables et les distributions, Debian, RedHat, etc. ont raison de le proposer par défaut. Mais bpfilter me semble encore plus prometteur et est compatibles avec iptables.
Comme toujours avec les technologies, on peut expérimenter, mais il est urgent d'attendre avant de les déployer en production

grandtoubab · Le 23/02/2019, à 15:48

J'utilise le firewall donc nftables d'une façon basique, règles par défaut de Debian , donc pas de problèmes pour repartir avec des règles toutes neuves dans mon cas.
Et parce que d'après tout ce que j'ai lu ça va plus vite donc gain de performances
Exemple

https://blogs.gnome.org/dcbw/2018/07/27/the-ascendance-of-nftables/ a écrit :

What’s Wrong With iptables?
iptables is slow.

https://linux-audit.com/differences-between-iptables-and-nftables-explained/ a écrit :

One of the important changes is that nftables is optimized for speed

Mais c'est plus pour l'amusement qu'autres choses

Dernière modification par grandtoubab (Le 23/02/2019, à 15:54)

Ubuntu-fr

Navigation

Liens de recherche

Annonce

#1 Le 23/02/2019, à 09:57

nftables: nouveau pare-feu

#2 Le 23/02/2019, à 15:08

Re : nftables: nouveau pare-feu

#3 Le 23/02/2019, à 15:14

Re : nftables: nouveau pare-feu

#4 Le 23/02/2019, à 15:29

Re : nftables: nouveau pare-feu

#5 Le 23/02/2019, à 15:48

Re : nftables: nouveau pare-feu

Pied de page des forums