Çalıştığım ortam büyük ölçekli bir web barındırma işlemidir (yönetim altında yüzlerce sunucu, neredeyse herkese açık adresleme, vb.) Bu nedenle, ADSL bağlantılarını yönetmekten bahseden her şeyin iyi çalışması pek mümkün değildir. hem temel kural kümesini (şu anda iptables'da yaklaşık 12.000 giriş) hem de müşteriler için yönettiğimiz ana bilgisayar tabanlı kural kümelerini yönetmek için rahat olacak bir şey arıyor. Çekirdek yönlendirici kural setimiz günde birkaç kez değişir ve ana bilgisayar tabanlı kural kümeleri ayda 50 kez değişebilir (tüm sunucularda, bu nedenle ayda beş sunucu başına bir değişiklik olabilir).
Şu anda filtre genini kullanıyoruz (genel olarak toplar ve operasyon ölçeğimizde süper toplar) ve geçmişte diğer işlerde shorewall kullandım (filtrejenlere tercih edilir, ancak dışarıda bundan daha iyi bir şey ol).
Herhangi bir değiştirme sistemi için bulduğumuz "musts":
- Oldukça hızlı bir şekilde bir kural kümesi oluşturmalıdır (kural setimizde çalışan bir filtre oluşturucu 15-20 dakika sürer; bu sadece çılgınca) - bu bir sonraki nokta ile ilgili:
- Bir iptables-restore tarzı dosya oluşturmalı ve tek bir isabetle yüklemelisiniz, her kural eki için iptables çağırmamalı
- Kural kümesi yeniden yüklenirken güvenlik duvarını uzun süre kaldırmamalıdır (yine bu yukarıdaki noktanın bir sonucudur)
- IPv6'yı desteklemelidir (IPv6 uyumlu olmayan yeni bir şey dağıtmıyoruz)
- DFSG içermemelidir
- Düz metin yapılandırma dosyaları kullanmalıdır (her şeyi revizyon kontrolü ile çalıştırdığımızdan ve standart Unix metin işleme araçlarını kullanmak SOP'umuzdur)
- Hem RedHat hem de Debian'ı desteklemelidir (tercih edilen, ancak en azından her iki dağıtımın standartlarına açıkça düşman olmamalıdır)
- Sistemin "ana dilinin" parçası olmayan özellikleri desteklemek için isteğe bağlı iptables komutlarını çalıştırma özelliğini desteklemelidir
Tüm bu kriterleri karşılamayan hiçbir şey dikkate alınmayacaktır. Aşağıdakiler "güzellerimiz var":
- Yapılandırma dosyası "fragmanlarını" desteklemelidir (yani, bir dizine bir yığın dosya bırakıp güvenlik duvarına "bu dizindeki her şeyi kural kümesine dahil et" diyebilirsiniz; yapılandırma yönetimini yaygın olarak kullanmak istiyoruz ve bu özelliği kullanmak istiyoruz. hizmete özel kuralları otomatik olarak sağlama)
- Ham tabloları desteklemeli
- Hem gelen paketler hem de REJECT kurallarında belirli ICMP'yi belirtmenize izin vermelidir
- Birden fazla IP adresine çözümlenen ana bilgisayar adlarını zarif bir şekilde desteklemeli (bununla birkaç kez filtergen tarafından yakalandık; popodaki oldukça kraliyet ağrısı)
- Aracın desteklediği daha isteğe bağlı / garip iptables özellikleri (yerel olarak veya mevcut veya kolayca yazılabilir eklentiler aracılığıyla) daha iyidir. Iptables'ın tuhaf özelliklerini arada sırada kullanıyoruz ve "sadece çalışanlar" ne kadar çoksa, herkes için o kadar iyi.