В чём разница между IPFW и PF firewall'ами во FreeBsd? Какой выбрать?

Question

[Dogata]

Какой выбрать для простых задач? Какой более популярный, простой и которым пользуется большинство?

Answer 1

[res2001]

pf проще.
Лично я работал с ipfw, там то же не сложно, когда задачи типовые.
В pf можно достаточно легко сделать балансировку каналов.
На ipfw балансировку сделать сложнее, но зато можно ее сделать такую какую тебе надо, тогда как в pf можно пользоваться только одним встроенным вариантом.
ipfw - более низкоуровневый инструмент.

Comments

[res2001]

Добавлю. Во FreeBSD для ipfw есть готовый стартовый скрипт, в котором прописаны типовые конфигурации. Скрипт конфигурируется установкой соответствующего типа фаервола в rc.conf (что-то типа: firewall_type="client" и т.п., конкретней - в хэндбуке).

Answer 2

[CityCat4]

ipfw стоит изначально, а большинство не любит лишних телодвижений. В ipfw есть netgraph. На ipfw рассчитаны все доки по FreeBSD. В ipfw есть dummynet.

В общем разница примерно такая же как между tcsh и /bin/sh - оба шеллы, на обоих можно писать, но первый по умолчанию стоит только во FreeBSD и больше нигде, а второй есть всюду и знать его надо, потому что стартовые скрипты все равно на нем...

Comments

[Dogata]

разве handbook или как ёё там -- не про pf в основном?

[res2001]

CityCat4 pf по умолчанию то же есть как модуль для ядра GENERIC (так же и ipfw), так же не включен как и ipfw. Оба их надо по умолчанию включать командами в rc.conf.
В linux не pf, а iptables, так что стартовые скрипты там то же не на pf. А раз линукс не на pf по умолчанию, то говорить, что pf всюду как минимум не правильно, т.к. установок линуксов гораздо больше, чем *BSD вместе взятых.
Dogata В handbook больше про ipfw, только потому что ipfw считается родным для FreeBSD, но это не значит, что он лучше. По pf масса других мануалов.
На самом деле вопрос решается просто - то что вы лучше знаете, то и используете. Но вам похоже все равно, т.к. ни того ни другого не знаете.
Кстати, если вы только разворачиваете FreeBSD под фаервол, то можно взять готовую сборку pfSence - это сборка FreeBSD для шлюза, там веб-интерфейс, все интуитивно. В качестве фаервола там pf. Так же кроме фаера, там много других плюшек. Есть и другие похожие сборки.

[CityCat4]

res2001: Ээээ, погодите, где это Вы вычитали в моем ответе:
- что стартовые скрипты на pf?
- что в линухе pf по умолчанию?

[res2001]

CityCat4: Вы проводите аналогии с шелом, стартовые скрипты оттуда, для pf и ipfw так же существуют аналоги стартовых скриптов. Так же из аналогии - sh - везде, т.е. и pf - везде (аналогия же), а это далеко не так.
sh - да практически везде стартовые скрипты на нем и даже если пользователи непосредственно с ним не работают, но он в системе есть.
Я так понял ваш пост.

[CityCat4]

res2001: Ошибочно.

[victorinamina]

ipfw стоит изначально

В FreeBSD давным давно уже нет такого понятия как "ipfw стоит изначально"
Примерно так с годика 2008-го.

Они оба встроены.

[CityCat4]

victorinamina: В GENERIC что ли встроены? :) В любом случае чтобы его включить - конфиг ведра править. Ну, по крайней мере так было до 9.3 После 9.3 я отошел от FreeBSD и честно говоря, пока возвращаться планов нет.

[victorinamina]

CityCat4: Сейчас актуальная 11.1
И 12 скоро будет.

Ничего там править в ядре не нужно.
Кроме как включить файрвол, разумеется, в rc.conf.

[CityCat4]

victorinamina: Удачи :)

Answer 3

[athacker]

Почитайте мануалы по обоим. Какой покажется проще или понятнее -- тот и используйте. Для простых сценариев разницы нет. А когда наступают сложные, то обычно уже понимаешь, что тебе конкретно нужно, и каким файрволом это лучше реализовать :-)

Answer 4

[kaN5300]

Я исторически юзал pf для серверов, а ipfw для высоконагруженных маршрутизаторов. pf кажется стройнее что ли когда имеется прсотенький конфиг, есть пара служб, лан, ван, и управляемый сегмент админов.

Answer 5

[victorinamina]

pf - высокоуровневый, для большинства задач проще.
ipfw - более тонко настраиваемый.
Можно сравнить как pf - язык программирования, а ipfw - ассемблер.
То есть ipfw будет работать шустрее, лучше - но очень много усилий.