nftables

[^rage^]

Сабж! Есть кто уже попробовал и оценил производительность?

[sirmax]

Присоединяюсь к вопросу)

[pavel.odintsov]

Да, тоже интересно :)

[Antares]

Мне тоже интересно, но походу нету таких

[nuclearcat]

Я пробовал - но замеры производительности не делал. Не хватало функционала и пришлось накатать пару баг репортов, и пока их пофиксили - сделал все традиционными способами.

Поищу клиента с конфигами попроще и может попробую на следующей неделе.

[NiTr0]

не думаю, что производительность будет особо отличаться от iptables.

[nuclearcat]

Не будет - если использовать традиционные конструкции.

А вот скажем если нужен маппинг кучи портов для DVR и прочих, вот эта фича http://wiki.nftables.org/wiki-nftables/index.php/Maps будет бесценна, например.

[voron]

Не хватало мне для домашнего применения -m ADDRTYPE, -j NOTRACK в nftables. Много еще чего для кого-то нужного нет судя по http://wiki.nftables...ared_to_xtables

Неясен вопрос одновременного использования с iptables/ip6tables, которое необходимо из-за отсутствия нужных матчей/таргетов. Указание стандартных приоритетов iptables'овских цепочек в http://wiki.nftables.org/wiki-nftables/index.php/Configuring_chains не сильно помогает.

[dtcom]

Работает iptables параллельно с nftables. Все правила в nftables и одно в iptables, так как не нашел замены iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu.

Без этого правила половина сайтов не работает.

[Danila]

Работает iptables параллельно с nftables. Все правила в nftables и одно в iptables, так как не нашел замены iptables -t mangle -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu.

Без этого правила половина сайтов не работает.

А известен порядок обработки трафика?

Сначала nftables, потом iptables или наоборот?

[zi_rus]

а какая разница если результат одинаков, чтобы траф прошел, его должны пропустить оба

[s.lobanov]

а какая разница если результат одинаков, чтобы траф прошел, его должны пропустить оба

 

Для stateless правил пофиг, а для stateful ИМХО разница принципиальная (всякие NAT и stateful firewall-ы)