>ну и нафиг генераторы которые генерят правил в десяток раз больше ? Не поверишь, так _проще_. Посмотри на основной firehol.conf -- пять _коротеньких_ строчек с кепкой. ((BTW, я не сказал, что правила я руками делаю -- на "показать" в форуме, а в "боевых" системах у меня в "автозапуске" стоит сам firehol с "правильным" конфигом? :) И на [низкоуровневые] правила я не смотрю, когда "всё работает"(тм).))
Сравни с _любым_ самописным скриптом-файерволом на шеле многократно вызывающим $IPTABLES. Обрати внимание, что firehol создаёт stateful набор правил, что вряд ли делает (осиливает?) хотябы 1 из 10 писателей-"ассемблеристов" от /sbin/iptables. Потом окинь взглядом ландшафт форумов здесь с вопросами "я тут... iptables... скрипт... Оцените, чего я сделал не так? И почему добавляю одну строчку -- и не работает? И вообще не работает... :`( ни разу!"
Если тебя смущает "качество кода": 1) _не_ факт, что этот вариант вообще _медленнее_ или чем-то хуже; 2) генерацией _кода_ должен заниматься компьютер (~ "ты за распределением регистров CPU при генерации кода gcc _не_следишь_ же при кажодм make??!").
Кстати, из системных требований - bash и "обычный набор" шел-утилит (coreutils, sed, ещё какие-то мелочи). Ну, iptables само собой. "Компилятор" на баше тормозит, конечно, но для меня и это небольшая плата за существенное упощение проблемы.
~ https://www.opennet.ru/openforum/vsluhforumID10/3881.html#2
~ https://www.opennet.ru/openforum/vsluhforumID10/3880.html#7
~ https://www.opennet.ru/openforum/vsluhforumID10/3756.html#3
и т.д.
При этом я не говорю, что _знание_ iptables не нужно. Совсем наоборот: знание, куда какие пакеты "ходят" и когда, очень способствует и в firehol. Но "брать в голову" комбинации из нескольких длиннющих командных строк iptables для "открываем доступ по протоколу http", да ещё и в ворохе таких же длиннющих, очень похожих, но не относящихся к открываемому в данный момент порту -- тяжелое и бездарное времяпрепровождение.
IMNSHO, само собой.
PS: :) ""Others may prefer packages like firehol, shorewall, firestarter, ipmenu, fireflier, ferm, firewall-easy, fwbuilder-iptables, fwctl, gfcc, lokkit, gnome-lokkit, guarddog, hlfl, knetfilter, mason, lokkit, easyfw, fiaif, filtergen, guidedog, or uif -- just to name some that are packaged for Debian, to configure maintain packet filtering rules."" https://www.opennet.ru/openforum/vsluhforumID3/42161.html#11
((В Debian (и "выведенных" из):
$ aptitude search ~Diptables
покажет часть пакетов из этого списка. $) Спасибо - https://www.opennet.ru/tips/info/1566.shtml ))
