Vlákno názorů k článku ipset: odlehčete přetíženým iptables od Rhinox - Ctu domovskou stranku projektu, a hned prvni veta...
-
Ondřej CaletkaZlatý podporovatelMám jádro 3.14.7 a ipset mi funguje. Jen nevím, jestli je jej možné volat z nftables. Nejspíš ne, ale moc mě nenapadá, proč by někdo něco takového potřeboval. S iptables to samozřejmě funguje bez problému.
-
Třeba protože máš hotové automatické aktualizace jednotlivých ipsetů a nechce se ti to předělávat.
Přijde mi totiž jednodušší aktualizovat samostatně jeden velký (a jeden z mnoha) ipsetů, než volat binárku nftables, která překompiluje všechno a všechno hodí do jádra ... Ono to asi fungovat bude, ale osobně mi to prostě přijde lepší ipsetem.Ale zase existuje program pro synchronizaci těch map v nftables. Což by také mohlo něco řešit ...
Ono já mám přeci jenom jiné potřeby, než má někdo na desktopu nebo na aplikačním serveru.
-
Ondřej CaletkaZlatý podporovatel
Asi si úplně nerozumíme. Pokud nechceš předělávat firewall, můžeš a minimálně několik dalších let budeš moci nadále používat iptables, i s novými jádry.
Přechod na nftables bude vyžadovat poměrně zásadní přepracování firewallu, už jenom proto, že všechny matchery, včetně ipset, se stěhují do userspace, takže si nemyslím, že by byl problém při té příležitosti předělat i systém automatických aktualizací, aby používal nftables.
