Я использовал оба метода в прошлом. В эти дни я гравитирую к гибриду двух.

Если Ваш ruleset имеет пять или шесть простых правил, любой метод прекрасен. Вещи начинают становиться интересными, когда у Вас есть большой rulesets: большие установки, Ваше поле брандмауэринга делает немного маршрутизации и т.д.

Просто помните, можно выстрелить себе в ногу, неважно, как Вы загружаете свой rulesets.:)

Основанный на сценарии

Вы делаете сценарий удара, сценарий Perl, сценарий Python — черт, пишете Lisp или программу Befunge для всего, о чем любой заботится! В сценарии Вы создаете все правила Netfilter, которые Вы хотите.

Позитивные аспекты:

• Прямота. Вы экспериментируете с правилами, и Вы просто копируете и вставляете тех, которые работают из командной строки прямо к сценарию.
• Динамический брандмауэринг. Один мой клиент выполняет установки OpenVPN для их собственных клиентов, и каждый клиент получает их собственный экземпляр OpenVPN для безопасности, брандмауэринга и бухгалтерских причин. first-line-of-defence брандмауэр должен открыть порты OpenVPN динамично для каждого (IP, порт) кортеж. Таким образом, сценарий брандмауэринга анализирует декларацию конфигураций OpenVPN и динамично вводит необходимые дыры по абсолютному адресу. Другой хранит детали веб-сервера о LDAP; iptables сценарий запрашивает сервер LDAP и автоматически позволяет вход веб-серверам. На больших установках это - большое благо.
• Ум. Мои сценарии брандмауэра позволяют удаленное администрирование, даже без покидает в спешке управление: после того, как ruleset загружается, если оператор не отвечает в течение нескольких минут, ruleset откатывается к последнему, который, как известно, работал. Если по некоторым причинам, который перестал работать также, существует треть (и четвертая) возврат к состоянию до сбоя уменьшающейся безопасности.
• Больше ума: можно открыть доступ SSH к netblock в начале сценария, затем отменить его в конце сценария (и позволить фильтрованным сессиям SSH в). Так, если Ваш сценарий перестал работать, можно все еще добраться там.
• Примеры онлайн. По некоторым причинам большинство примеров я видел онлайн используемые вызовы iptables (это может быть под влиянием факта, которому предшествовали мои первые несколько установок брандмауэра iptables-save, и также Netfilter — но это - другая история),

Оборотные стороны:

• Одна синтаксическая ошибка в сценарии и Вы заблокированы из Вашего брандмауэра. Часть ума выше до болезненных событий.:)
• Скорость. На встроенном Linux boxen, удар (или даже подчеркивают штриховой линией) сценарий будет медленной, медленной вещью работать. Достаточно медленный, что, в зависимости от Вашей политики безопасности, Вы, возможно, должны рассмотреть порядок дополнения правила — у Вас могла быть недолговечная дыра в Ваши защиты, и это достаточно. Загрузка Ruleset нигде не является рядом атомарной.
• Сложность. Да, можно сделать удивительные вещи, но да, можно также сделать сценарий слишком сложным, чтобы понять или поддержать.

Находящийся в Ruleset

Добавьте свои правила к ruleset файлу, затем используйте iptables-restore загрузить его (или просто сохранить Ваше существующее использование ruleset iptables-save). Это - то, что Debian делает по умолчанию.

Профессионалы:

• Скорость. iptables-restore программа C, и это чрезвычайно быстро по сравнению со сценариями оболочки. Отличие является заметным даже на достойных машинах, но это - порядки величины быстрее на более скромных аппаратных средствах.
• Регулярность. Формат легче понять, он по существу самодокументирует (после того как Вы привыкаете к особенностям Netfilter).
• Это - Стандартный Инструмент, если Вы заботитесь об этом.
• Это сохранило все таблицы Netfilter. Слишком много инструментов Netfilter (включая iptables) только воздействуйте на filter таблица, и Вы могли забыть, что у Вас есть других в Вашем распоряжении (с возможно вредными правилами в них). Таким образом, Вы добираетесь для наблюдения всех таблиц.

Недостатки:

• Отсутствие гибкости.
• С отсутствием функций шаблонной обработки/параметризации/динамичной повторение может привести к меньшему количеству удобного в сопровождении rulesets, и к огромным ruleset ошибкам. Вы не хотите их.

Гибридное решение — лучший из обоих миров

Я разрабатывал этого некоторое время в мое Обильное Свободное время. Я - планирование использования той же основанной на сценарии установки, которую я имею теперь, но после того как ruleset загружается, это сохраняет его с iptables-save и затем кэширует его на потом. У Вас может быть динамический ruleset со всеми его преимуществами, но он может быть загружен действительно быстро когда, например, перезагрузки поля брандмауэра.