avec ipset, c'est l'admin qui réalise l'optimisation (script obligatoire d'ailleurs)
En même temps Ipset a l'air moins intrusif et probablement plus facile à maintenir. Et puis c'est pas vraiment de l'optimisation à la main, c'est juste déclarer des blocs nommés d'IPs et de ports, au lieu de disséminer le classement dans plusieurs règles.
Si j'ai bien suivit on pourrait parfaitement imaginer un outil userspace qui convertirais les scripts iptables longs en version abregées par ipset (et la version ipset risque d'être plus explicite que l'originale).
[^] # Re: nf-HiPAC
Posté par un_brice (site web personnel) . En réponse à la dépêche Compte rendu en temps réel de l'atelier Netfilter 2005. Évalué à 2.
En même temps Ipset a l'air moins intrusif et probablement plus facile à maintenir. Et puis c'est pas vraiment de l'optimisation à la main, c'est juste déclarer des blocs nommés d'IPs et de ports, au lieu de disséminer le classement dans plusieurs règles.
Si j'ai bien suivit on pourrait parfaitement imaginer un outil userspace qui convertirais les scripts iptables longs en version abregées par ipset (et la version ipset risque d'être plus explicite que l'originale).