Guest User!

You are not Sophos Staff.

Thread Info
  • State Not Answered
  • Replies 12 replies
  • Subscribers 0 subscribers
  • Views 2129 views
  • Users 0 members are here
Options
Suggested

[8.173][QUESTION][ANSWERED] Packet filter optimization (IPset)

vivekrajput
Hi..

I was reading Astaro Security Gateway 8.200 Public Beta, , there is a heading about Packet filter Optimization (IPset), i have copy Packet filter optimization (IPset) statement, please look blow or you can click on url to read this (second last heading).

There is a Heading Packet filter optimization (IPset) I have some query/question regarding Packet filter optimization (IPset) :-
--------------------------------------------------------------------------------
Packet filter optimization (IPset) Statement 
Packet filter rules that contain list of networks/IPs, either explicit (via network/DNS groups) or implicit (via lists in WebAdmin) now use IPset (IP sets) to reduce the number of generated iptables rules.This should improve memory consumption and performance.
This affects both user-generated packet filter rules (Network Security >> Firewall) and auto-generated rules (e.g. via Allowed Networks for services or Auto packet filter rules for VPNs)
--------------------------------------------------------------------------------
Questions/Queries
1.What is the mean by IPset....??? if it is group of IP or set of IP, than we are still using IP group. what is new..??

2.either explicit (via network/DNS groups) or implicit (via lists in WebAdmin)  -What is mean of this sentence please describe.

3.How IPset reduce the number of generated iptables rules...????

4.How IPset will improve memory consumption...???
Parents
  • 0
    Here's how the PF works:
    When a packet goes through the PF, it is checked against each rule in order number (rule 1 is checked first, then rule 2, etc.), until a given rule matches.  Once a match is found, no further rules are processed.  If you have 40 rules and a particular packet matches rule 3, then the bottom 47 rules won't be checked against that packet.

    You want to design your PF rules so that the rules that will match most often are ordered closer to the top, but still allow you granularity of control and ease of management.

    For your example above, strictly from a performance perspective, the single all inclusive rule would be better.

    I was at a company that was offering several different services to the internet from the same server.  These services were all allowed to be accessed by anyone through the PF.  For this I made a single combined PF rule, using a service group.  This allowed me to still keep a close eye on accesses to this server, while not having the clutter and processing waste of 8 separate PF rules.
    __________________
    ACE v8/SCA v9.3

    ...still have a v5 install disk in a box somewhere.

    http://xkcd.com
    http://www.tedgoff.com/mb
    http://www.projectcartoon.com/cartoon/1
  • 0 in reply to Scott_Klassen
     the single all inclusive rule would be better.


    So you mean to say, ""PF Rule 1. (vivek+scott group)-(pop3+4343)-internet""  is better...???
Reply Children
No Data
Unfiltered HTML