Shorewall в качестве корпоративного firewall и шейпера

А у меня ebtables.

На правах рекламы: http://vitalkadrug.ru/VitalkaDrug/FlexFw. Все то же самое, но немного по другому. Правда без шейпера.

а я поднимаю stargazer для таких вещей.

С твоими требованиями и iptables подойдет

Какие подводные камни?

Никаких, отличная штука с широкой функциональностью и человекопонятной конфигурацией.

ebtables — это вообще другого рода инструмент.

Увы, без шейпера мне не подходит.

Это который с конфигуратором для администраторов под винду? Если да, то не подходит, у нас только Linux.

оно в вайне работает нормально. да и консольный конфигуратор у него есть.

Я, может быть, чего-то не понимаю. Но ebtables фильтрует пакеты.

ebtables фильтрует пакеты на уровне L2, разве не так? Он подходит для бриджей.

оно в вайне работает нормально

Кто в здравом уме изначально будет добровольно выбирать костыли в виде wine? Извини, но нормальный софт должен быть нативным, ставиться через системный пакетный менеджер и им же обновляться.

Смотрите, например:

rc.firewall:

#!/bin/sh

EB=/usr/local/sbin/ebtables

 

$EB -F INPUT
$EB -F FORWARD
$EB -F OUTPUT

# Deny for change ip's

$EB -A FORWARD -i eth1 -p IPv4 --ip-src 192.168.3.0/24 -j DROP
$EB -A FORWARD -i eth0 -p IPv4 --ip-src 192.168.3.0/24 -j ACCEPT
$EB -A FORWARD -i eth0 -p IPv4 --ip-dst 192.168.3.0/24 -j DROP
$EB -A FORWARD -i eth0 -p IPv4 -j DROP

# Deny for any INPUT traffic from eth1

$EB -A INPUT -i eth1 -p IPv4 -j DROP

В eth0 подключен мой сегмент, адреса 192.168.3.1-254.

Извини, но нормальный софт должен быть нативным, ставиться через системный пакетный менеджер и им же обновляться.

мне тебя искренне жаль, избалован убунтой видимо ты.

мне тебя искренне жаль, избалован убунтой видимо ты.

Отнюдь, у нас в продакшене рабочие места на Debian и сервера на Gentoo.

И почему «избалован»? Не, я понимаю, что настоящие мужики трудностей не бояться, но создавать добровольно костыли, а потом героически их поддерживать — это глупою.

Подводные камни - не успевает за возможностями netfilter. Но это фигня, все недостающее можно добавить нативными правилами. Тем более если gentoo, т.к. обновления приходят регулярно. Из плюсов - легко сопровождать очень сложные конфигурации.