আমি যে পরিবেশে কাজ করছি তা হ'ল একটি বৃহত আকারের ওয়েব হোস্টিং অপারেশন (পরিচালনার অধীনে কয়েক শতাধিক সার্ভার, প্রায় সর্বজনীন সম্বোধন, ইত্যাদি - তাই যে কোনও কিছু এডিএসএল লিঙ্কগুলি পরিচালনা করার বিষয়ে কথা বলে) এটি ভালভাবে কাজ করার সম্ভাবনা কম) এবং আমরা ' পুনরায় এমন কিছু সন্ধান করছেন যা মূল রোলসেট (বর্তমান গণনা অনুসারে আইপটেবলগুলিতে প্রায় 12,000 এন্ট্রি) এবং গ্রাহকদের জন্য আমরা হোস্ট-ভিত্তিক রোলসেটগুলি পরিচালনা করতে স্বাচ্ছন্দ্য বোধ করবে। আমাদের কোর রাউটার রুলসেটটি দিনে কয়েকবার পরিবর্তন হয় এবং হোস্ট-ভিত্তিক রোলসেটগুলি মাসে 50 বার (সমস্ত সার্ভার জুড়ে, তাই প্রতি মাসে পাঁচটি সার্ভারে একটি করে পরিবর্তন) পরিবর্তিত হতে পারে।
আমরা বর্তমানে ফিল্টারজেন (যা সাধারণভাবে বল এবং আমাদের কাজকর্মের স্কেলগুলিতে দুর্দান্ত বল) ব্যবহার করছি এবং অতীতে আমি অন্যান্য কাজগুলিতে শোরওয়াল ব্যবহার করেছি (যা ফিল্টারজেনের চেয়ে বেশি পছন্দনীয়, তবে আমি বুঝতে পারি যে সেখানে কিছু আছে) কিছু আছে যে এর চেয়ে ভাল)।
যে কোনও প্রতিস্থাপন ব্যবস্থার জন্য আমরা যে "মাস্টগুলি" নিয়ে এসেছি সেগুলি হ'ল:
- মোটামুটি দ্রুত একটি রুলসেট তৈরি করতে হবে (আমাদের রোলসেটে একটি ফিল্টারজেন রান 15-20 মিনিট সময় নেয়; এটি কেবল উন্মাদ) - এটি পরবর্তী পয়েন্টের সাথে সম্পর্কিত:
- একটি iptables- পুনরুদ্ধার শৈলী ফাইল উত্পন্ন করা আবশ্যক এবং একটি হিট মধ্যে লোড, প্রতিটি নিয়ম সন্নিবেশ জন্য iptables কল না
- রোলসেটটি পুনরায় লোড হওয়ার সময় ফায়ারওয়ালটি কোনও বর্ধিত সময়ের জন্য নামাবেন না (আবার, এটি উপরের পয়েন্টটির ফলাফল)
- অবশ্যই আইপিভি support সমর্থন করা উচিত (আমরা আইপিভি compatible এর সামঞ্জস্যপূর্ণ নয় এমন নতুন কিছু স্থাপন করছি না)
- অবশ্যই ডিএফএসজি-মুক্ত থাকতে হবে
- প্লেইন-টেক্সট কনফিগারেশন ফাইলগুলি অবশ্যই ব্যবহার করা উচিত (যেমনটি আমরা সংশোধন নিয়ন্ত্রণের মাধ্যমে সমস্ত কিছু চালাই এবং স্ট্যান্ডার্ড ইউনিক্স টেক্সট-ম্যানিপুলেশন সরঞ্জামগুলি আমাদের এসওপি)
- রেডহ্যাট এবং ডেবিয়ান উভয়কেই সমর্থন করা উচিত (প্যাকেজযুক্ত পছন্দসই, তবে খুব কমপক্ষে ডিস্ট্রোর মানদণ্ডে একেবারে প্রতিকূল হওয়া উচিত নয়)
- সিস্টেমের "মাতৃভাষা" এর অংশ নয় এমন বৈশিষ্ট্যগুলিকে সমর্থন করার জন্য নির্বিচারে iptables কমান্ডগুলি চালনার দক্ষতার অবশ্যই সমর্থন করা উচিত
এই সমস্ত মানদণ্ড পূরণ না করে এমন কিছু বিবেচনা করা হবে না। নিম্নলিখিতটি আমাদের "সুন্দর থাকতে সুন্দর" রয়েছে:
- কনফিগারেশন ফাইল "টুকরা" সমর্থন করা উচিত (যা আপনি একটি ডিরেক্টরিতে ফাইলের একটি গাদা ফেলে দিতে পারেন এবং ফায়ারওয়ালকে "এই ডিরেক্টরিতে সমস্ত কিছু নিয়মের মধ্যে অন্তর্ভুক্ত করতে পারেন" বলতে পারেন; আমরা কনফিগারেশন পরিচালনা ব্যাপকভাবে ব্যবহার করি এবং এই বৈশিষ্ট্যটি ব্যবহার করতে চাই পরিষেবা-নির্দিষ্ট নিয়ম স্বয়ংক্রিয়ভাবে সরবরাহ করুন)
- কাঁচা টেবিল সমর্থন করা উচিত
- আপনাকে আগত প্যাকেট এবং রিজেক্ট উভয় নিয়মে নির্দিষ্ট আইসিএমপি নির্দিষ্ট করার অনুমতি দেওয়া উচিত
- একাধিক আইপি ঠিকানার সমাধান করার জন্য হোস্টনামগুলি কৃপণভাবে সমর্থন করা উচিত (আমরা এই ফিল্টারজেনের সাথে কয়েকবার ধরা পড়েছি; এটি বাটের পরিবর্তে রাজকীয় ব্যথা)
- সরঞ্জামটি আরও বেশি alচ্ছিক / অদ্ভুত iptables বৈশিষ্ট্যগুলি সমর্থন করে (যা স্থানীয়ভাবে বা বিদ্যমান বা সহজে-লিখিত প্লাগইনগুলির মাধ্যমে) আরও ভাল। আমরা এখন থেকে iptables এর অদ্ভুত বৈশিষ্ট্যগুলি ব্যবহার করি এবং এটি "কেবলমাত্র কাজ করে" তাদের তত বেশি, সবার পক্ষে আরও ভাল।