Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Replies 12 replies
  • Subscribers 0 subscribers
  • Views 2124 views
  • Users 0 members are here
Options
Suggested

[8.173][QUESTION][ANSWERED] Packet filter optimization (IPset)

vivekrajput
Hi..

I was reading Astaro Security Gateway 8.200 Public Beta, , there is a heading about Packet filter Optimization (IPset), i have copy Packet filter optimization (IPset) statement, please look blow or you can click on url to read this (second last heading).

There is a Heading Packet filter optimization (IPset) I have some query/question regarding Packet filter optimization (IPset) :-
--------------------------------------------------------------------------------
Packet filter optimization (IPset) Statement 
Packet filter rules that contain list of networks/IPs, either explicit (via network/DNS groups) or implicit (via lists in WebAdmin) now use IPset (IP sets) to reduce the number of generated iptables rules.This should improve memory consumption and performance.
This affects both user-generated packet filter rules (Network Security >> Firewall) and auto-generated rules (e.g. via Allowed Networks for services or Auto packet filter rules for VPNs)
--------------------------------------------------------------------------------
Questions/Queries
1.What is the mean by IPset....??? if it is group of IP or set of IP, than we are still using IP group. what is new..??

2.either explicit (via network/DNS groups) or implicit (via lists in WebAdmin)  -What is mean of this sentence please describe.

3.How IPset reduce the number of generated iptables rules...????

4.How IPset will improve memory consumption...???
Parents
  • 0
    From ipset.netfilter.org:

    store multiple IP addresses or port numbers and match against the collection by iptables at one swoop;
    dynamically update iptables rules against IP addresses or ports without performance penalty;
    express complex IP address and ports based rulesets with one single iptables rule and benefit from the speed of IP sets


    That's how they reduced the number of rules...by combining multiple simple rules into single complex ones.

    Less rules = less memory consumption.  Also, less rules = less processing time for packets which reduces CPU usage as well.
    __________________
    ACE v8/SCA v9.3

    ...still have a v5 install disk in a box somewhere.

    http://xkcd.com
    http://www.tedgoff.com/mb
    http://www.projectcartoon.com/cartoon/1
Reply
  • 0
    From ipset.netfilter.org:

    store multiple IP addresses or port numbers and match against the collection by iptables at one swoop;
    dynamically update iptables rules against IP addresses or ports without performance penalty;
    express complex IP address and ports based rulesets with one single iptables rule and benefit from the speed of IP sets


    That's how they reduced the number of rules...by combining multiple simple rules into single complex ones.

    Less rules = less memory consumption.  Also, less rules = less processing time for packets which reduces CPU usage as well.
    __________________
    ACE v8/SCA v9.3

    ...still have a v5 install disk in a box somewhere.

    http://xkcd.com
    http://www.tedgoff.com/mb
    http://www.projectcartoon.com/cartoon/1
Children
No Data
Unfiltered HTML