Re: загрузка правил iptables

[Nicholas <spam@networkgate.us>]

Alexey Boyko wrote:

> Пример из хелпа по ferm:
>
> текст
>            chain (INPUT OUTPUT) {
>                proto (udp tcp) ACCEPT;
>            }
>
> разворачивается им в:
>
>           iptables -A INPUT -p tcp -j ACCEPT
>           iptables -A OUTPUT -p tcp -j ACCEPT
>           iptables -A INPUT -p udp -j ACCEPT
>           iptables -A OUTPUT -p udp -j ACCEPT
>
> Мне первое читать проще. А вам?

А мне, например, нет. Обосную:

1. Порядок правил в iptables важен, когда вы их пишете напрямую, вы его 
видите, у вас есть шанс замучеться сделать определенный порядок через 
интерпретатор, если будет такая необходимость, да и источник ошибок вы, 
возможно, сначала будете долго искать.

2. Таблиц может быть много и для разных, достаточно часто, используются 
разные правила (так что обьединение типа "chain (INPUT OUTPUT)" не факт 
что очень поможет).
И ip адресов бывает больше чем один - с разными ресурсами и правилами.

3. Вам не надо пытаться эмулировать интерпритатор правил в уме, что бы 
понять какие реально правила будут в iptables - меньше преобразований - 
меньше ошибок.

4. Не множте сущности, сверх необходимого.

Хотя что-то подобное было у Sendmail - вы писали правила - они 
интерпретировались в конфиг m4 - конфиг отдавался  Sendmail-у, были даже 
положительные отзывы в сети о таком модходе, но не много.

--
Sincerely,
	Nicholas