#ipset

Get ready for state-level engineering entrance exams like EAPCET with Sri Amogha Junior College’s Integrated Program for State Engineering Tests (IPSET). Whether you're aiming for EAPCET or other competitive exams, this program provides the perfect blend of academic excellence and exam-focused training. Start your journey toward a successful engineering career today!

#FirewallD and trusted IP addresses

FirewallD has a very nice concept of zones and it has some predefined ones.

When you need to whitelist a particular IP and label it as “trusted” on the system, then the trusted FirewallD is the thing you will play with.

Another modern thing is ipsets, which FirewallD supports well. The ipsets are useful to efficiently store and lookup many IP addresses.

So combining all the features together, we…

Я пользуюсь Debian-like системами уже более 10 лет и на протяжении всего этого времени передо мной стоял вопрос, как же правильно сохранять правила iptables во время перезагрузки. Если в Centos уже давно прямо из коробки есть обвязка для работы с набором правил, то в Debian долгое время всё ограничивалось лишь статьей на их Wiki. И, хотя мои ортодоксальные коллеги всё еще пишут iptables-restore < /etc/iptables  в /etc/rc.local , относительно недавно эта статья всё-таки обновилась и в ней появилось упоминание о пакете iptables-persistent , который включает в себя init-скрипт, который как раз и занимается тем, что сохраняет и восстанавливает наборы правил.

Однако у этого скрипта есть одна серьезная проблема: он не работает, если в правилах iptables используются наборы ipset – ведь эти наборы должны быть загружены раньше, чем правила. И тут три пути: или возвращаться к варианту

ipset restore < /etc/ipset iptables-restore < /etc/iptables

или исправлять непосредственно /etc/init.d/iptables-persistent  и готовиться к тому, что он будет ломаться при каждом обновлении, или написать дополнительный скрипт. Предлагаю третий вариант.

GitHub - soar/ipset-persistent

https://github.com/soar/ipset-persistent

В ближайших планах собрать deb-пакет, однако пока устанавливается вручную:

# Clone repository to some directory: cd /home/username git clone https://github.com/soar/ipset-persistent.git ./ # Copy files to system: sudo cp --parent etc/ipset/README / sudo cp --parent etc/default/ipset-persistent / sudo cp --parent etc/init.d/ipset-persistent / # Add to autostart: sudo update-rc.d ipset-persistent defaults

PS: На данный момент я связался с мейнтейнером пакета iptables-persistent – Jonathan Wiltshire, который пообещал мне рассмотреть возможность добавления этого пакета в официальный репозиторий.

references

http://workshop.netfilter.org/2013/wiki/images/a/ab/Jozsef_Kadlecsik_ipset-osd-public.pdf

http://www.linuxjournal.com/content/advanced-firewall-configurations-ipset

http://daemonkeeper.net/781/mass-blocking-ip-addresses-with-ipset/

http://liquidat.wordpress.com/2013/04/09/howto-firewalld-basics/

Overview of firewalld, nftables http://rhsummit.files.wordpress.com/2014/04/graf_h_1100_next-generation_firewall_rhel7.pdf

http://ipset.netfilter.org/

ipset is an extension to iptables which is more efficient due to using a hash-indexed memory structure. Regular iptables rules can take too long to traverse.