Názory k článku Ferm: firewall s lidskou tváří

Mohl by ho nekdo srovnat s arno firewall? Umi pracovat s vice ip adresami, tj mam server s 30 ip adresama a na kazdou potrebuji povolit urcite porty z nejakych adres ? V arno vypada zapis takto:

1.1.1.1#2.2.2­.2,3.3.3.3~22,9091, coz znamena pro ip adresu 1.1.1.1 povol pristup z ip adres 2.2.2.2 a 3.3.3.3 na porty 22, 9091.

Takhle na první pohled mi přijde Shorewall hezčí, používám ho už nějaký ten rok a spokojenost

Moje řeč!

Nevim, nejak mi unika smysl techto "wrapperu". Neni snad lepsi nakonfigurovat si to sam? Co tady udelate konfigurakem na sedm radku, to se da zahrnout dvema pravidly, a nemusim davat pozor jestli pouzivam kulate nebo hranate zavorky...

Rekneme ze BFU muze byt vdecnej za nake graficke rozhrani, nejlepe nake hezke omalovatko kde jenom zaklikne ze chce pristup na web a odesilat maily, a pravidla se pak nageneruji sama. Ale tohle? Proc syntakticka pravidla jednoho typu menit za pravidla jinyho typu?

Souhlas. Mě by se líbilo grafické klikátko, ale žádné rozumné neznám. Co jsem viděl tak jenom http://gufw.org/, ale to je jenom pro ubuntu.

Napsat ty 2 pravidla není úplně snadné pro člověka co se v tom nepohybuje. Občas se o to pokouším a je dost porod. Musím přečíst hromadu materiálů a pak stejně nevím jestli to opravdu dělá to co chci.

Souhlas, dyk je to hruza a des ...

Ja tady vidim evidentni rozpor v tvrzeni, ze to ma praci s firewallem zjednodusit.
Kdyz vidim tuto hruzu, tak si rikam "zlaty iptables"...

A mne sa zas paci ipfw, no poznam ludi co daju prednost pf. IPtables su tiez dobre, ale ipfw je mi tak nejak blizsi.

Používám ferm už dlouho a mám s ním velmi pozitivní zkušenosti. I když ovládám iptables tak ferm mi byl velice nápomocný. V době, kdy jsem ferm objevil, ještě nebyly jiné grafické a klikací nástroje a díky fermu jsem byl schopen velmi rychle nakonfigurovat fw pro moje potřeby. Pravda, pravidel bylo relativně málo, ale to neznamená, že jsem díky tomu provedl konfiguraci rychleji, než kdybych ručně vypisoval přímo iptables pravidla.

Kdyby to alespon byl nakej pokrocilej generator (alespon v ncurses), jenze neni! Porad se ty pravidla musi psat, jenom v jine podobe. Ja si psal pravidla sam od ipfwadm, pres ipchains, ted pro iptables, a nevidim duvod prejit k necemu jinemu...

Zdaaarek.

Ale co by neexistoval. Jeden je napriklad http://www.vuurmuur.org

;-)

Podla mna je najjednoduchsie spravit si vlastny "generator pravidiel" - shell script, ktory vrati napriklad priamo iptables prikazy. Ten moze lahko vyuzivat par listov IP adries, aby tam nebol "bordel" na styl opakujucich sa prikazov a podobne.
Vyhoda je dobra spravovatelnost; nie je treba sa ucit ziadny dalsi jazyk (=porozumie tomu kazdy sysadmin) a nie je problem spravit zvlast skript pre par povolanych na pridanie vynimky (napriklad) vyhradne na SSH alebo inu sluzbu.

Jak se otevře konfigurační okno?

Ten syntax se mi nějak úplně jednoduchý zase nezdá.
Já osobně raději používám firehol.

Na serveru mám syntax v confu takovouto:

version 5

FIREHOL_LOG_PREFIX="Firehol: "

local_ips="xxx.xxx.xxx.xxx/25"

server_mongod_ports="tcp/27017"
client_mongod_ports="any"

interface eth0 world
        protection strong
        server "ping ssh nrpe http https ftp" accept
        server "ipv6neigh ipv6router ipv6error" accept
        client "ipv6neigh ipv6router" accept
        server mongod accept src "dev.domain.tld ruby.domain.tld"
        server snmp accept src mon.domain.tld
        server all accept src user1.domain.tld
        client all accept

Dnes už je projekt neudržovaný, ale zde najdete jeho fork který umí i ipv6:
http://download.sanewall.org/releases/latest/
http://git.sanewall.org/

Kdyz uz sme u toho, me by spis vyhovovalo neco, co by pravidla (existujici) prevedlo do nejaky graficky podoby "tudymahle protece paket kterej ma parametry XYZ". A umelo to samo testovat ruzny pakety, aby clovek mel predstavu co projde a co ne.