Môi trường tôi đang hoạt động là một hoạt động lưu trữ web quy mô lớn (hàng trăm máy chủ được quản lý, địa chỉ gần như toàn bộ, v.v. - vì vậy, bất cứ điều gì nói về việc quản lý các liên kết ADSL đều không thể hoạt động tốt), và chúng tôi ' đang tìm kiếm thứ gì đó sẽ thoải mái quản lý cả bộ quy tắc cốt lõi (khoảng 12.000 mục trong iptables theo số hiện tại) cộng với các quy tắc dựa trên máy chủ mà chúng tôi quản lý cho khách hàng. Bộ quy tắc bộ định tuyến lõi của chúng tôi thay đổi một vài lần một ngày và bộ quy tắc dựa trên máy chủ sẽ thay đổi có thể 50 lần một tháng (trên tất cả các máy chủ, do đó, có thể một thay đổi trên năm máy chủ mỗi tháng).
Hiện tại chúng tôi đang sử dụng bộ lọc (nói chung là bóng và siêu bóng ở quy mô hoạt động của chúng tôi) và trước đây tôi đã sử dụng công cụ bờ biển trong các công việc khác (có thể thích hợp hơn với bộ lọc, nhưng tôi nghĩ rằng phải có một cái gì đó ngoài đó tốt hơn thế).
Các "hệ thống" mà chúng tôi đã đưa ra cho bất kỳ hệ thống thay thế nào là:
- Phải tạo một bộ quy tắc khá nhanh (một bộ lọc chạy trên bộ quy tắc của chúng tôi mất 15-20 phút; điều này chỉ là điên rồ) - điều này có liên quan đến điểm tiếp theo:
- Phải tạo tệp kiểu iptables-restore và tải nó trong một lần nhấn, không gọi iptables cho mỗi lần chèn quy tắc
- Không được gỡ bỏ tường lửa trong một thời gian dài trong khi bộ quy tắc tải lại (một lần nữa, đây là hậu quả của điểm trên)
- Phải hỗ trợ IPv6 (chúng tôi không triển khai bất kỳ thứ gì mới không tương thích với IPv6)
- Phải không có DFSG
- Phải sử dụng các tệp cấu hình văn bản thuần túy (vì chúng tôi chạy mọi thứ thông qua kiểm soát sửa đổi và sử dụng các công cụ xử lý văn bản Unix tiêu chuẩn là SOP của chúng tôi)
- Phải hỗ trợ cả RedHat và Debian (được ưu tiên đóng gói, nhưng ít nhất không được quá thù địch với các tiêu chuẩn của distro)
- Phải hỗ trợ khả năng chạy các lệnh iptables tùy ý để hỗ trợ các tính năng không phải là một phần của "ngôn ngữ bản địa" của hệ thống
Bất cứ điều gì không đáp ứng tất cả các tiêu chí này sẽ không được xem xét. Sau đây là "tốt đẹp để có" của chúng tôi:
- Nên hỗ trợ tệp cấu hình "đoạn" (nghĩa là bạn có thể thả một đống tệp trong thư mục và nói với tường lửa "bao gồm mọi thứ trong thư mục này trong quy tắc"; chúng tôi sử dụng rộng rãi quản lý cấu hình và muốn sử dụng tính năng này để tự động cung cấp các quy tắc dành riêng cho dịch vụ)
- Nên hỗ trợ bảng thô
- Nên cho phép bạn chỉ định ICMP cụ thể trong cả gói đến và quy tắc RE DỰ ÁN
- Nếu duyên dáng hỗ trợ tên máy chủ giải quyết nhiều hơn một địa chỉ IP (chúng tôi đã bị bắt bởi địa chỉ này một vài lần với bộ lọc; đó là một nỗi đau khá hoàng gia ở mông)
- Các tính năng iptables tùy chọn / lạ hơn mà công cụ hỗ trợ (nguyên bản hoặc thông qua các plugin hiện có hoặc dễ ghi) thì càng tốt. Chúng tôi sử dụng các tính năng lạ của iptables bây giờ và sau đó, càng nhiều tính năng "chỉ hoạt động" thì càng tốt cho mọi người.