我正在使用的环境是一个大型的networking托pipe操作(pipe理几百个服务器,几乎所有的公共地址等等 – 所以谈论pipe理ADSL链接的任何事情都不太可能奏效),而且,重新寻找可以轻松pipe理核心规则集(当前计数的iptables中大约12,000个条目)以及我们为客户pipe理的基于主机的规则集。 我们的核心路由器规则集每天更改几次,基于主机的规则集每月可能会更改50次(在所有服务器上,所以每五台服务器每月可能会更改一次)。
我们目前使用的是filtergen(通常是球,在我们的规模上是超级球),而且我在其他工作中使用过shorewall(这对于filtergen来说更好一些,但是我认为有必要在那里比那更好)。
我们为任何替代系统提出的“必须”是:
任何不符合所有这些标准的将不被考虑。 以下是我们的“很高兴”:
如果你也许想从一个规则驱动的方法转向一个“描述最终状态”的做法,请看fwbuilder。
优点:
缺点:
链接: http : //www.fwbuilder.org
写你自己的。 认真 – 在这个规模是合理的。
使用ipset和/或大量的iptable表/子表。 只要有可能只重新加载一些子表/一些ipset – 这将加快重新configuration。
可能你已经这样做了,但仍然值得一提 – 使用嵌套表来减less路由器的负载,以及build立新连接的数据包所需的平均查找次数。 显然 – 前进-m状态 – 状态ESTABLISHED,RELATED是你最高的规则。
神圣的球(keepin'主题活着!)人… 12,000核心规则?
我假设你已经考虑过所有简单的选项,比如简单地将这些集合放入CVS中? 木偶还是CFengine?
老实说,从你给出的广泛的概述,我强烈build议重新评估你的networkingdevise。 我可能有点太简单了,但是我根本无法想象一个需要12k iptables规则的devise。 这听起来像是从SLBtypes的解决scheme中获益更多,而不是pipe理防火墙规则的更好方法。
在旁注中,如何添加评论与添加“答案”?
12000条规则? 你疯了? 这个数量的过滤是否会遇到性能问题? 我看不出为什么你需要12000条规则? 你如何validation你的规则集是实际执行的政策?
什么政策?
你如何testing你的政策?
12000条规则可能会违反书中的每条安全规则。
你也可以尝试SAAS解决scheme来pipe理iptables – > https://www.efw.io/Forum它也可以做AWS云集成。