La surprise de W7 que l'on attendit pas...

On 9 mar, 12:30, JKB <knatsc...@koenigsberg.fr> wrote:

Le 09-03-2009, ? propos de
Re: La surprise de W7 que l'on attendit pas...,
 totof2000 ?crivait dans fr.comp.os.linux.debats :

>>         Je n'ai jamais eu recours à ce genre de truc. Un b ête fichier texte
>> et ça roule. Et la syntaxe de iptables est aussi bien fichue que cel le
>> de ipf.
> Non, absolument pas .... Je ne peux te donner d'exemple précis pour
> iptables car je ne l'utilisae pas, cependant pour ce que j'en ai vu
> elle est loin d'être aussi claire que IPF ou  PF.

        Exemples. J'ai des routeurs avec treize cartes ethernet ( trois Quad
Sun et un Happymeal) qui tournent avec des scripts _très_ clairs.

Tu peux envoyer quelques exemples que l'on puisse comparer ?

Le 09-03-2009, ? propos de
Re: La surprise de W7 que l'on attendit pas...,
totof2000 ?crivait dans fr.comp.os.linux.debats :

On 9 mar, 12:30, JKB <knatsc...@koenigsberg.fr> wrote:

Le 09-03-2009, ? propos de
Re: La surprise de W7 que l'on attendit pas...,
 totof2000 ?crivait dans fr.comp.os.linux.debats :

>>         Je n'ai jamais eu recours à ce genre de truc. Un bête fichier texte
>> et ça roule. Et la syntaxe de iptables est aussi bien fichue que celle
>> de ipf.
> Non, absolument pas .... Je ne peux te donner d'exemple précis pour
> iptables car je ne l'utilisae pas, cependant pour ce que j'en ai vu
> elle est loin d'être aussi claire que IPF ou  PF.

        Exemples. J'ai des routeurs avec treize cartes ethernet (trois Quad
Sun et un Happymeal) qui tournent avec des scripts _très_ clairs.

Tu peux envoyer quelques exemples que l'on puisse comparer ?

Juste une partie qui concerne les trois premières interfaces :

[0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport ftp -j ACCEPT
[0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport ssh -j ACCEPT
[0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport gopher -j ACCEPT
[0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport http -j ACCEPT
[0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport pop3 -j ACCEPT
[0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport imap -j ACCEPT
[0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport pop3s -j ACCEPT
[0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport imaps -j ACCEPT
...
[0:0] -A FORWARD -p icmp -j ACCEPT
[0:0] -A FORWARD -i eth0 -o eth2 -p tcp -m tcp --dport http -j ACCEPT
[0:0] -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
[0:0] -A FORWARD -m state --state INVALID -j DROP
...
[0:0] -A PREROUTING -d 192.168.0.81 -p tcp -m tcp --dport http -jDNAT
--to-destination 192.168.0.81:8000
[0:0] -A PREROUTING -s 192.168.0.83 -p tcp -m tcp --dport smtp -jMARK
--set-mark 1
[0:0] -A POSTROUTING -s 192.168.0.0/255.255.255.0 -j MASQUERADE
...

JKB




--
Le cerveau, c'est un véritable scandale écologique. Il représente 2% de notre
masse corporelle, mais disperse à lui seul 25% de l'énergie que nous
consommons tous les jours.

JKB wrote:

et ça roule. Et la syntaxe de iptables est aussi bien fichue que celle
de ipf.

Mouarf, trop gros ou pas trop gros ?

Le 09-03-2009, ? propos de
Re: La surprise de W7 que l'on attendit pas...,
debug this fifo ?crivait dans fr.comp.os.linux.debats :

JKB wrote:

et ça roule. Et la syntaxe de iptables est aussi bien fichue que celle
de ipf.

Mouarf, trop gros ou pas trop gros ?

Trop gros, mais j'attends la réponse...

JKB

--
Le cerveau, c'est un véritable scandale écologique. Il représente 2% de notre
masse corporelle, mais disperse à lui seul 25% de l'énergie que nous
consommons tous les jours.

On 9 mar, 12:47, JKB <knatsc...@koenigsberg.fr> wrote:

Le 09-03-2009, ? propos de
Re: La surprise de W7 que l'on attendit pas...,
 totof2000 ?crivait dans fr.comp.os.linux.debats :
        Sparc, quatre processeurs. plantages aléatoires. La 5.0 RC2 ne boote
pas parce que le noyau essaye d'utiliser les structures des processeurs
avant leur initialisation. Résultat, un panic franc et immédiat.

J'ai aussi des problèmes en 5.0 RC2 sur AMD64 .... J'ai eu un mal de
chien à l'installer ce week-end et ça continue à se vautrer assez
souvent .... Faut que je remonte ça .. Mais avant je dois installer un
NetBSD 4 pour être certain que ça ne vient pas de mon matos ....

>> > Au taf je dois parfois me remette à Linux et j'avoue que ça me
>> > gonfle ....

>> > Alors que sous NetBSD un bête pkg_add me suffit pour ajouter un so ft,
>> > sous linux je dois y aller par des coups de rpm qui marchent jamais,
>> > ou c'est la bagarre a coup de apt-get suivi des incantations à la
>> > DPKG.

>>         Euh... apt-get, c'est bien. Se taper un make fetch-lis t suivi d'un
>> make, c'est assez rapidement gavant lorsque tu dois mettre à jour to n
>> installation.

> Mouais .... Je ne cours pas après les mises à jour et surtout lorsq ue
> je les fais et que je dois compiler, je le fais en env. Chrooté. Dans
> la plupart des cas ça marche (j'ai parfois eu des soucis mais rien de
> bien méchant).

        Sauf que lorsque tu es contraint à mettre à jour pour des raisons de
sécurité, ça devient immédiatement une galère sans nom. J'en su is arrivé
à mettre mes BSD derrières des machines frontales parce que j'ai autr e
chose à faire que de me taper la recompilation de tous les paquets
nécessaires à chaque fois.

Faut voir aussi sur quoi portent les fameuses mises à jour ....
Sinon, pour l'utilisation que j'en fais, depuis que je compile en
chroot, pas de pb majeur rencontré, ou rien d'insurmontable .....

> apt/dpkg me gonflent lorsque je veux faire un truc un peu exotique :
> il fait parfois des choses inattendues qui peuvent plomber des
> fichiers de conf personnalisés (cela dit ça s'est peut être amé lioré
> avec le temps : ça fait plusieurs années que je n'utilise plus trop
> Debian). Puis Debian j'aime pas c'est tout ...

        Très bien. Sauf que depuis très longtemps, j'utilise apt-get (et
uniquement lui) et que je n'ai _jamais_ eu de problèmes (mais j'ai
commencé par essayer de comprendre les différences subtiles entre tou tes
les options).

Euh ... Yen a trop, c'est imbitable. Mon sentiment sur debian :
Pourquoi faire simple quand on peut faire compliqué ....

>> > BSD cétoutbon .... Mangezen

>>         Sauf si on a besoin d'un vrai support de Posix. NetBSD va peut-être
>> être confirme à Posix dans sa mouture 5.0, OpenBSD ne l'est pas.
>> FreeBSD, ça passe à peu près, mais le nombre d'architectures sup portées
>> n'est pas à mon goût suffisant.

> Je suis assez d'accord sur ce point, cependant, je pense que dans le
> contexte "poste bureautique/acces web", ou même serveur www/bdd on
> peut se passer de ce "vrai" support Posix.

        Tu m'excuseras, mais lorsqu'un bug majeur affectant sigpe ndig() reste
ouvert depuis très longtemps (et devant être corrigé pour la 5.0), ça ne
fait vraiment pas sérieux pour NetBSD. Je passe aussi sous silence un c ertain
nombre de bouts de la libc qui ne sont pas thread safe lorsque tu les pou sses
dans leurs retranchements. Oui, j'ai la facheuse habitude de pousser les
systèmes dans leurs retranchements, et au vu des résultats, il y a de s
OS que j'évite _absolument_. Lorsque pour des raisons oiseuses, les
développeurs de OpenBSD décident qu'on ne doit pas pouvoir récupé rer des
signaux sur une pile alternative (avec sigaltstack et consorts), et que
tes programmes se baugent à cause de ça, tu te dis que l'équipe en
question est une équipe de branques (et après, on s'étonne de l'abs ence
de certains softs...).

> Par contre ça doit poser
> des problèmes à ceux qui portent les applis sur NetBSD .... entre l es
> GNUseries et Linuxeries que l'on trouve dans la majorités des softs
> libres, si en plus de ça le support posix n'est pas complet ....

        Ça pose de _gros_ problèmes, comme une émulation de s signaux posix
et RT avec des pipes et d'autres joyeusetés de ce type. Le seul BSD qui
est à peu près conforme, c'est FreeBSD. Suivi par NetBSD (mais d'asse z
loin en raison du nombre de ports). OpenBSD est carrément hors de
propos. Maintenant, le vrai troll, c'est FreeBSD contre Linux (et là,
c'est la gestion des paquets qui tranchera).

        JKB

C'est bien ce que je dis : tu es dans un contexteparticulier : le
temps réel. hords de ce contexte, NetBSD n'est pas un mauvais choix,
loin de là.

Le 09-03-2009, ? propos de
Re: La surprise de W7 que l'on attendit pas...,
totof2000 ?crivait dans fr.comp.os.linux.debats :

On 9 mar, 12:47, JKB <knatsc...@koenigsberg.fr> wrote:

        Sauf que lorsque tu es contraint à mettre à jour pour des raisons de
sécurité, ça devient immédiatement une galère sans nom. J'en suis arrivé
à mettre mes BSD derrières des machines frontales parce que j'ai autre
chose à faire que de me taper la recompilation de tous les paquets
nécessaires à chaque fois.

Faut voir aussi sur quoi portent les fameuses mises à jour ....
Sinon, pour l'utilisation que j'en fais, depuis que je compile en
chroot, pas de pb majeur rencontré, ou rien d'insurmontable .....

Tu réponds à côté de la plaque. Lorsque pour une raison de sécurité,
tu es contraint à recompiler toutes les dépendances de ton systèmes, tu
aimerais bien une gestions de paquets _binaires_ passant par autre chose
qu'un pkgsrc.

> apt/dpkg me gonflent lorsque je veux faire un truc un peu exotique :
> il fait parfois des choses inattendues qui peuvent plomber des
> fichiers de conf personnalisés (cela dit ça s'est peut être amélioré
> avec le temps : ça fait plusieurs années que je n'utilise plus trop
> Debian). Puis Debian j'aime pas c'est tout ...

        Très bien. Sauf que depuis très longtemps, j'utilise apt-get (et
uniquement lui) et que je n'ai _jamais_ eu de problèmes (mais j'ai
commencé par essayer de comprendre les différences subtiles entre toutes
les options).

Euh ... Yen a trop, c'est imbitable. Mon sentiment sur debian :
Pourquoi faire simple quand on peut faire compliqué ....

Il n'y en a pas tant que ça.

>> > BSD cétoutbon .... Mangezen

>>         Sauf si on a besoin d'un vrai support de Posix. NetBSD va peut-être
>> être confirme à Posix dans sa mouture 5.0, OpenBSD ne l'est pas.
>> FreeBSD, ça passe à peu près, mais le nombre d'architectures supportées
>> n'est pas à mon goût suffisant.

> Je suis assez d'accord sur ce point, cependant, je pense que dans le
> contexte "poste bureautique/acces web", ou même serveur www/bdd on
> peut se passer de ce "vrai" support Posix.

        Tu m'excuseras, mais lorsqu'un bug majeur affectant sigpendig() reste
ouvert depuis très longtemps (et devant être corrigé pour la 5.0), ça ne
fait vraiment pas sérieux pour NetBSD. Je passe aussi sous silence un certain
nombre de bouts de la libc qui ne sont pas thread safe lorsque tu les pousses
dans leurs retranchements. Oui, j'ai la facheuse habitude de pousser les
systèmes dans leurs retranchements, et au vu des résultats, il y a des
OS que j'évite _absolument_. Lorsque pour des raisons oiseuses, les
développeurs de OpenBSD décident qu'on ne doit pas pouvoir récupérer des
signaux sur une pile alternative (avec sigaltstack et consorts), et que
tes programmes se baugent à cause de ça, tu te dis que l'équipe en
question est une équipe de branques (et après, on s'étonne de l'absence
de certains softs...).

> Par contre ça doit poser
> des problèmes à ceux qui portent les applis sur NetBSD .... entre les
> GNUseries et Linuxeries que l'on trouve dans la majorités des softs
> libres, si en plus de ça le support posix n'est pas complet ....

        Ça pose de _gros_ problèmes, comme une émulation des signaux posix
et RT avec des pipes et d'autres joyeusetés de ce type. Le seul BSD qui
est à peu près conforme, c'est FreeBSD. Suivi par NetBSD (mais d'assez
loin en raison du nombre de ports). OpenBSD est carrément hors de
propos. Maintenant, le vrai troll, c'est FreeBSD contre Linux (et là,
c'est la gestion des paquets qui tranchera).

        JKB

C'est bien ce que je dis : tu es dans un contexteparticulier : le
temps réel. hords de ce contexte, NetBSD n'est pas un mauvais choix,
loin de là.

J'aimerais que tu m'explique en quoi sigaltstack() ou sigpending()
sont des appels système temps réel.

JKB

--
Le cerveau, c'est un véritable scandale écologique. Il représente 2% de notre
masse corporelle, mais disperse à lui seul 25% de l'énergie que nous
consommons tous les jours.

Le 09/03/2009 12:50, totof2000 a écrit :

Surtout que 7 n'est pas basé sur MinWin, mais sur un vista remanié. En
clair, Ricolla continue de raconter des bétises. Mais c'est tellement
classique ;)

Yen a encore qui le lisent et qui prennent suffisamment au sérieux ses
interventions pour y répondre ?

Je ne fais que le lire par le biais de personnes ne le filtrant pas. Et
c'est largement suffisant :)

> >>         Exemples. J'ai des routeurs avec treize cartes etherne t (trois Quad
>> Sun et un Happymeal) qui tournent avec des scripts _très_ clairs.
> Tu peux envoyer quelques exemples que l'on puisse comparer ?

        Juste une partie qui concerne les trois premières inter faces :

[0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport ftp -j ACCEPT
[0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport ssh -j ACCEPT
[0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport gopher -j ACCEPT
[0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport http -j ACCEPT
[0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport pop3 -j ACCEPT
[0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport imap -j ACCEPT
[0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport pop3s -j ACCEPT
[0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport imaps -j ACCEPT
...
[0:0] -A FORWARD -p icmp -j ACCEPT
[0:0] -A FORWARD -i eth0 -o eth2 -p tcp -m tcp --dport http -j ACCEPT
[0:0] -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
[0:0] -A FORWARD -m state --state INVALID -j DROP
...
[0:0] -A PREROUTING -d 192.168.0.81 -p tcp -m tcp --dport http -jDNAT
--to-destination 192.168.0.81:8000
[0:0] -A PREROUTING -s 192.168.0.83 -p tcp -m tcp --dport smtp -jMARK
--set-mark 1
[0:0] -A POSTROUTING -s 192.168.0.0/255.255.255.0 -j MASQUERADE
...

Mouais ... Je préfère largement les règles à a PF ou IPF .... Déj à là
il faut savoir ce que signifient les "-A", "-m", "-o", "-j", avec
parfois iun seul "-" ou deux "-" ...

La au premier abord je ne sais pas ce que font tes règles .....
En creusant un peu je suppose que :
-i eth0 : interface d'entrée
-o eth2 : interface de sortie
-j ACCEPT : tu laisse passer
-d port : tu définis le port sur lequel s'applique la règle

Pour le reste faut que je creuse, pas le temps pour le moment (j'ai du
taf à faire cet AM, peut être ce soir ...)


Je n'ai pas le temps de chercher à traduire pour le moment mais faire
la même chose avec IPF ou PF est à mon avis bien plus clair ...

Le 09-03-2009, ? propos de
Re: La surprise de W7 que l'on attendit pas...,
totof2000 ?crivait dans fr.comp.os.linux.debats :

>>         Exemples. J'ai des routeurs avec treize cartes ethernet (trois Quad
>> Sun et un Happymeal) qui tournent avec des scripts _très_ clairs.
> Tu peux envoyer quelques exemples que l'on puisse comparer ?

        Juste une partie qui concerne les trois premières interfaces :

[0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport ftp -j ACCEPT
[0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport ssh -j ACCEPT
[0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport gopher -j ACCEPT
[0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport http -j ACCEPT
[0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport pop3 -j ACCEPT
[0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport imap -j ACCEPT
[0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport pop3s -j ACCEPT
[0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport imaps -j ACCEPT
...
[0:0] -A FORWARD -p icmp -j ACCEPT
[0:0] -A FORWARD -i eth0 -o eth2 -p tcp -m tcp --dport http -j ACCEPT
[0:0] -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
[0:0] -A FORWARD -m state --state INVALID -j DROP
...
[0:0] -A PREROUTING -d 192.168.0.81 -p tcp -m tcp --dport http -jDNAT
--to-destination 192.168.0.81:8000
[0:0] -A PREROUTING -s 192.168.0.83 -p tcp -m tcp --dport smtp -jMARK
--set-mark 1
[0:0] -A POSTROUTING -s 192.168.0.0/255.255.255.0 -j MASQUERADE
...

Mouais ... Je préfère largement les règles à a PF ou IPF .... Déjà là
il faut savoir ce que signifient les "-A", "-m", "-o", "-j", avec
parfois iun seul "-" ou deux "-" ...

C'est au contraire _très_ clair.

La au premier abord je ne sais pas ce que font tes règles .....
En creusant un peu je suppose que :
-i eth0 : interface d'entrée
-o eth2 : interface de sortie
-j ACCEPT : tu laisse passer
-d port : tu définis le port sur lequel s'applique la règle

Pour le reste faut que je creuse, pas le temps pour le moment (j'ai du
taf à faire cet AM, peut être ce soir ...)


Je n'ai pas le temps de chercher à traduire pour le moment mais faire
la même chose avec IPF ou PF est à mon avis bien plus clair ...

Non. J'attends pour voir la simplicité des règles IPF.

JKB

--
Le cerveau, c'est un véritable scandale écologique. Il représente 2% de notre
masse corporelle, mais disperse à lui seul 25% de l'énergie que nous
consommons tous les jours.

On 9 mar, 13:35, JKB <knatsc...@koenigsberg.fr> wrote:

Le 09-03-2009, ? propos de
Re: La surprise de W7 que l'on attendit pas...,
 totof2000 ?crivait dans fr.comp.os.linux.debats :







>> >>         Exemples. J'ai des routeurs avec treize cartes ethe rnet (trois Quad
>> >> Sun et un Happymeal) qui tournent avec des scripts _très_ clairs.
>> > Tu peux envoyer quelques exemples que l'on puisse comparer ?

>>         Juste une partie qui concerne les trois premières in terfaces :

>> [0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport ftp -j ACCEPT
>> [0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport ssh -j ACCEPT
>> [0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport gopher -j ACCEP T
>> [0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport http -j ACCEPT
>> [0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport pop3 -j ACCEPT
>> [0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport imap -j ACCEPT
>> [0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport pop3s -j ACCEPT
>> [0:0] -A FORWARD -i eth0 -o eth1 -p tcp -m tcp --dport imaps -j ACCEPT
>> ...
>> [0:0] -A FORWARD -p icmp -j ACCEPT
>> [0:0] -A FORWARD -i eth0 -o eth2 -p tcp -m tcp --dport http -j ACCEPT
>> [0:0] -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
>> [0:0] -A FORWARD -m state --state INVALID -j DROP
>> ...
>> [0:0] -A PREROUTING -d 192.168.0.81 -p tcp -m tcp --dport http -jDNAT
>> --to-destination 192.168.0.81:8000
>> [0:0] -A PREROUTING -s 192.168.0.83 -p tcp -m tcp --dport smtp -jMARK
>> --set-mark 1
>> [0:0] -A POSTROUTING -s 192.168.0.0/255.255.255.0 -j MASQUERADE
>> ...

> Mouais ... Je préfère largement les règles à a PF ou IPF .... D éjà là
> il faut savoir ce que signifient les "-A", "-m", "-o", "-j", avec
> parfois iun seul "-"  ou deux "-"  ...

        C'est au contraire _très_ clair.

> La au premier abord je ne sais pas ce que font tes règles .....
> En creusant un peu je suppose que :
>  -i eth0 : interface d'entrée
>  -o eth2 : interface de sortie
>   -j ACCEPT : tu laisse passer
>    -d port : tu définis le port sur lequel s'applique la règle

> Pour le reste faut que je creuse, pas le temps pour le moment (j'ai du
> taf à faire cet AM, peut être ce soir ...)

> Je n'ai pas le temps de chercher à traduire pour le moment mais faire
> la même chose avec IPF ou PF est à mon avis bien plus clair ...

        Non. J'attends pour voir la simplicité des règles IPF .

Déjà le fait que d'un premier coup d'oeil je ne puisse pas avoir une
idée de ce que ont tes règles est très révélateur ....

Une règle IPF ou PF peut être comprise facilement par quelqu'un qui ne
connait pas la syntaxe au premier abord .... Note que je met IPF et
PF dans le même sac : je m'intéresse à PF que depuis peu de temps,
cependant syntaxiquement il est très proche d'IPF.