Quel firewall pour Buster et au delà ?

--00000000000033c97b057f1aa208
Content-Type: text/plain; charset="UTF-8"
Content-Transfer-Encoding: quoted-printable

Bonjour,

Je maintiens depuis des années un script qui configure le firewalling =
sur
des serveurs.
Ce script est installé dans /etc/network/if-pre-up.d
Il comprend une bonne trentaine de règles iptables dont des règle=
s pour le
NAT.

J'ai lu que Linux remplaçait iptables par nftables.
Par ailleurs, la technologie eBPF semble aussi très prometteuse.

J'ai toute confiance sur l'existence dans Buster et ses successeurs de
moyens pour conserver le bon fonctionnement de scripts iptables.
Néanmoins, je me demande si le moment n'est pas le bienvenu pour juste=
ment
pour sauter le pas en réécrivant mes scripts iptables avec autre =
chose.

On annonce ici ou là:
- une plus grande pérennité
- de meilleurs performances
- une syntaxe plus simple.

Je serai très heureux d'échanger ici des réflexions sur le s=
ujet.
Voici en vrac quelques questions et réflexions:

1. Avez-vous un retour d'expérience positif ou non sur un passage
d'iptables à firewalld, en général (ie sur Stretch, Jessie, =
) ?

2. Trouvez-vous facilement de l'aide (mailing lists, documentation en
ligne, publications, ) sur la version 0.6.3 de firewalld (celle de
Buster) ?

3. Comme le suggère la réponse à une question dans [1], doit=
-on vraiment
voir eBPF comme une cuisine interne à Linux et se focaliser sur firewa=
lld ?

4. Commentaires et suggestions ?

[1]
https://developers.redhat.com/blog/2018/08/10/firewalld-the-future-is-nftab=
les/

Slts

--00000000000033c97b057f1aa208
Content-Type: text/html; charset="UTF-8"
Content-Transfer-Encoding: quoted-printable

<div dir="ltr"><div dir="ltr"><div>Bonjour,</div><div><br></div><div>Je=
maintiens depuis des années un script qui configure le firewalling su=
r des serveurs.</div><div>Ce script est installé dans /etc/network/if-=
pre-up.d</div><div>Il comprend une bonne trentaine de règles iptables =
dont des règles pour le NAT.</div><div><br></div><div>J&#39;ai lu que =
Linux remplaçait iptables par nftables.</div><div>Par ailleurs, la tec=
hnologie eBPF semble aussi très prometteuse.</div><div><br></div><div>=
J&#39;ai toute confiance sur l&#39;existence dans Buster et ses successeurs=
de moyens pour conserver le bon fonctionnement de scripts iptables.</div><=
div>Néanmoins, je me demande si le moment n&#39;est pas le bienvenu po=
ur justement pour sauter le pas en réécrivant mes scripts iptable=
s avec autre chose.</div><div><br></div><div>On annonce ici ou là:</di=
v><div>- une plus grande pérennité</div><div>- de meilleurs perfo=
rmances</div><div>- une syntaxe plus simple.</div><div><br></div><div>Je se=
rai très heureux d&#39;échanger ici des réflexions sur le su=
jet.</div><div>Voici en vrac quelques questions et réflexions:</div><d=
iv><br></div><div>1. Avez-vous un retour d&#39;expérience positif ou n=
on sur un passage d&#39;iptables à firewalld, en général (ie=
sur Stretch, Jessie, ) ?</div><div><br></div><div>2. Trouvez-vous facil=
ement de l&#39;aide (mailing lists, documentation en ligne, publications, .=
..) sur la version 0.6.3 de firewalld (celle de Buster) ?</div><div><br></d=
iv><div>3. Comme le suggère la réponse à une question dans [=
1], doit-on vraiment voir eBPF comme une cuisine interne à Linux et se=
focaliser sur firewalld ?</div><div><br></div><div>4. Commentaires et sugg=
estions ?</div><div><br></div><div></div><div>[1] <a href="https://develo=
pers.redhat.com/blog/2018/08/10/firewalld-the-future-is-nftables/">https://=
developers.redhat.com/blog/2018/08/10/firewalld-the-future-is-nftables/</a>=
</div><div><br></div><div>Slts<br></div><div><br></div></div></div>

--00000000000033c97b057f1aa208--