Auteur Sujet: Release 22.03 - conversion de règles  (Lu 367 fois)

0 Membres et 1 Invité sur ce sujet

Fuli10

  • Abonné Orange Fibre
  • *
  • Messages: 943
  • Conflans Sainte Honorine (78)
Release 22.03 - conversion de règles
« le: 14 août 2022 à 15:33:47 »
Hello,

Je viens de tester la rc6 d'openwrt 22.03. Je profite d'être à côté du routeur pour le mettre à jour au cas ou.
Le passage vers cette release me permet d'enfin activer les 160MHz sur la bande 5GHz (autrement que par des bidouilles). Du coup je compte y rester.


Par contre j'ai remarqué un petit changement sur l'interface qui me dérange un peu.
Je suis au courant du passage d'iptables vers nftables, mais pour le coup j'aurais besoin d'aide.
En gros j'avais quelques règles dans firewall.user et en fait l'option a disparue !
Je ne sais pas comment faire pour avoir un script firewall personnalisée lancé à chaque modification du firewall.

Autre truc, j'ai quelques règles iptables que ne ne sais pas convertir en nftables:
iptables -A input_wan_rule -p tcp --dport 22 -m conntrack --ctstate NEW -m recent --set                                                                                                                   
iptables -A input_wan_rule -p tcp --dport 22 -m conntrack --ctstate NEW -m recent --update --seconds 30 --hitcount 5 -j DROP                                                                               

En gros: drop toute connexion au ssh si plus de 5 connexions en 30 secondes.
Ca se converti comment ces règles dand le monde de nftables ?
Et la même avec ip6tables (en IPv6). J'ai vu qu'à priori avec nftables on peut créer la même règle pour les 2 (IPv4 et IPv6), ce qui me serait top !
 
Autre règles: j'ai quelques ebtables. Pour le moment elles fonctionnent si je passe par le package ebtables-nft. Mais j'aimerai bien faire la même chose sans ebtables mais directement nft.
ebtables -A FORWARD -p ! ARP -d ! Unicast -i ${REMOTE_LINK} -o ${LOCAL_LINK} -j DROP
A noter, le package ebtables-nft n'intègre pas le fichier /etc/ethertypes (je l'ai recopié d'un openwrt 21).

Fuli10

  • Abonné Orange Fibre
  • *
  • Messages: 943
  • Conflans Sainte Honorine (78)
Release 22.03 - conversion de règles
« Réponse #1 le: 20 août 2022 à 00:09:00 »
Bon, j'abandonne la migration en 22.03 pour l'instant.
Primo je n'ai pas trouvé le moyen d'intégrer les règles ebtables-nft dans /etc/nfttables.d.
Secondo je ne sais toujours pas comment convertir les règles pour éviter les trop nombreuses tentatives de connexions sur ssh.
Et enfin tertio j'ai vu que le support du 160MHz n'est vraiment pas sec ni dans openWRT, si dans linux en général. En bref ça ne marche pas encore: ça affiche 1733Mbps mais le lien correspond à un lien 866Mbps avec des débits réels de l'ordre de 400Mbps.

Il y a eu des bugs corrigés que récemment -mai- par un certain M.Bison sur le sujet juste sur le matériel que j'utilise - QCA9984 et AX200. Je doute que tout les bugs soient corrigés même dans les kernel backportés de la récente 22.03-rc6 (je n'ai pas vérifié). Je pense faire un petit build perso du drivers ath10k-ct pour oWRT 21.01 D'ailleurs les derniers firmwares corrigent aussi des bugs sur les 160MHz (report NSS et autres).

ppn_sd

  • Abonné MilkyWan
  • *
  • Messages: 40
  • FLG (28190)
Release 22.03 - conversion de règles
« Réponse #2 le: 07 septembre 2022 à 02:45:44 »
Salut,

Concernant tes règles, si on s'en tient à une conversion, ça donne pour ssh :
nft add rule inet filter input tcp dport 22 limit rate over 60/minute droppour une table "inet filter" et une chaine "input". inet permet d'avoir des règles ipv6 et ipv4. Cette règle permet juste de fixer la limite. Une autre règle doit accepter ensuite les paquets sur le port 22.

pour l'arp :
nft add rule bridge filter forward ether type != arp meta pkttype != unicast iifname ${REMOTE_LINK} oifname ${LOCAL_LINK} droppour une table "bridge filter" et une chaine "forward".

Mais donner deux règles comme cela n'a pas forcément de sens car dans nftables la structure de la configuration est importante.