Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 5 replies
  • Subscribers 2 subscribers
  • Views 1085 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Packet Filter Configuration/Performance

mhaug
Is there a preferred way to setup packet filters, or one way that is faster/lighter load on the Astaro320?

Example: I have a group called Servers, which have an outbound packet filter that allows http/s to any.
I also have specific servers that are not in the group. I have a packet filter for each of them configured the exact same as the group above.

My question is which method performs better, single packet filter for a group with many members (40-50) or individual packet filters for each?
OR
Does it really matter?

Thanks


This thread was automatically locked due to age.
Parents
  • 0
    Grouping is definately better (at least since 8.1 and especially since 8.2).

    a) Groups helps to keep you a better overview over your rulesets (3 pages with well grouped rules are cooler than 25 pages of single rules...)

    b) In 8.1 multiport was introduced, which already was able to shrink the number iptables rules, which will be created from the backend, if service groups were used. IPSET introduced in 8.200 is very beneficial especially for large rulesets, but furthermore shrinks rules, if also network groups are used.

    On a normal loaded appliance the difference isn't that obvious, but with a lot of rules and a lot of new connections per/s you will feel a difference. Simply test the time if you ping a server. before 8.1 (8.2) first ping always took a multiple times of the following pings (time to match a rule). I personally felt the difference, when opening a RDP connection to a terminalserver. There always was a noticeable delay until connection started. With 8.2 it starts immediately.

    However, I'm not developer, but a very interested recipient, if our geniuses from R&D explaines these techniques to us "ordinary mortals"...*bigrespect*
Reply
  • 0
    Grouping is definately better (at least since 8.1 and especially since 8.2).

    a) Groups helps to keep you a better overview over your rulesets (3 pages with well grouped rules are cooler than 25 pages of single rules...)

    b) In 8.1 multiport was introduced, which already was able to shrink the number iptables rules, which will be created from the backend, if service groups were used. IPSET introduced in 8.200 is very beneficial especially for large rulesets, but furthermore shrinks rules, if also network groups are used.

    On a normal loaded appliance the difference isn't that obvious, but with a lot of rules and a lot of new connections per/s you will feel a difference. Simply test the time if you ping a server. before 8.1 (8.2) first ping always took a multiple times of the following pings (time to match a rule). I personally felt the difference, when opening a RDP connection to a terminalserver. There always was a noticeable delay until connection started. With 8.2 it starts immediately.

    However, I'm not developer, but a very interested recipient, if our geniuses from R&D explaines these techniques to us "ordinary mortals"...*bigrespect*
Children
No Data