Исходное сообщение
"Выпуск пакетного фильтра nftables 0.9.5" Отправлено Takishima, 08-Июн-20 10:42
> некоторые программные продукты могут самостоятельно модифицировать правила фаервола. Ну так не надо им этого разрешать. > Наглядный пример такого софта: Docker, apt-get purge -y docker Если надо отдельные контейнеры, то берём podman. Если это таки кластер, то там, видимо куб крутится? > Пример выше может и не самый удачный, зато наглядный. Докер, возможно, имеет какой-то смысл на девелоперской машинке, но не более того. > есть ещё у операторов которые далеко не всегда горят желанием отразить > сделанные на лету изменения хотя бы в локальной версии конфига, не Заставить. Иначе рано или поздно будет большая боль. > Иначе говоря, проверять правила фаервола на соответствие ожидаемому состоянию - правильно, Я бы тогда уж не проверял, а просто жёстко перезаписывал (puppet/chef/cfenfine на выбор). Заодно и те «операторы» переучатся ручками лезть.