Исходное сообщение
"Новая версия пакетного фильтра для Linux - iptables 1.4.0" Отправлено BB, 27-Дек-07 22:08
>>кесарю кесарево знаете-ли >>нюхач snort + snortsam > >снорт даст куда большую нагрузку на cpu. Хотя бы потому что ему >придётся слушать весь трафик(я уж не говорю о копировании данных в >юзерланд). Ох, ну ведь можно-же хоть иногда думать на шаг вперед,а не воспринимать все в лоб !!! Написано "нухач снорт" - совсем не трудно догадаться что сие есть отдельная машинка которая просто коллектит алерты и рассылает их посредством snortsam на пакетные фильтры ??? >>>Вот для этого и нужен анализ по длине пакета и модули, которые >>>вам кажутся ненужными. >>>На примере того же skype: >>>Сначала отбираем udp пакеты + опр. длины. А потом уже отправляем на >>>L7-filter. >>>pf так может? >>Может см. выше > >ООх... http://nuclight.livejournal.com/122098.html Почетал, автор жжот, хотя для экспириенса полезно - но существуют другие пути решения > >"Стоит заметить, что не всякий L7 filtering может быть сделан с помощью >ng_bpf - поскольку в этом ассемблере запрещены условные переходы назад и >таким образом циклы, нельзя организовать, например, поиск фиксированной подстроки по заранее >неизвестному (и никак не вычисляемому из других данных) смещению в пакете >(то, что делает iptables -m string) - думается, в будущем будет >написан netgraph-узел, который займется именно этим :)" А зачем ???, зачем вещать весь груз на одну лошадь ??? Идеология аля мелкософт :(

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	>>>кесарю кесарево знаете-ли >>>нюхач snort + snortsam >> >>снорт даст куда большую нагрузку на cpu. Хотя бы потому что ему >>придётся слушать весь трафик(я уж не говорю о копировании данных в >>юзерланд). > Ох, ну ведь можно-же хоть иногда думать на шаг вперед,а не воспринимать > все в лоб !!! > Написано "нухач снорт" - совсем не трудно догадаться что сие есть отдельная > машинка которая просто коллектит алерты и рассылает их посредством snortsam на > пакетные фильтры ??? >>>>Вот для этого и нужен анализ по длине пакета и модули, которые >>>>вам кажутся ненужными. >>>>На примере того же skype: >>>>Сначала отбираем udp пакеты + опр. длины. А потом уже отправляем на >>>>L7-filter. >>>>pf так может? >>>Может см. выше >> >>ООх... http://nuclight.livejournal.com/122098.html > Почетал, автор жжот, хотя для экспириенса полезно - но существуют другие пути > решения >> >>"Стоит заметить, что не всякий L7 filtering может быть сделан с помощью >>ng_bpf - поскольку в этом ассемблере запрещены условные переходы назад и >>таким образом циклы, нельзя организовать, например, поиск фиксированной подстроки по заранее >>неизвестному (и никак не вычисляемому из других данных) смещению в пакете >>(то, что делает iptables -m string) - думается, в будущем будет >>написан netgraph-узел, который займется именно этим :)" > А зачем ???, зачем вещать весь груз на одну лошадь ??? Идеология > аля мелкософт :(
	Введите код, изображенный на картинке: