devo corrigir “No ALTQ support in kernel” para executar o firewall?

Question

Eu apenas mexi com meu pf.conf e executei pf e recebi:

Enabling pf.
No ALTQ support in kernel

É claro que a correção é para recompilar o kernel, mas esse artigo é para o freebsd 7. Estou no FreeBSD 9.1

Eu quero saber:

1. Eu deveria realmente me preocupar em habilitar o ALTQ e recompilar? Preciso fazer isso para redirecionar o tráfego para dentro e fora da minha cadeia freebsd?
2. A correção em este artigo se aplica ao FreeBSD 9.1, I não quero passar a noite toda construindo o sistema operacional apenas para descobrir no final algo deu errado !!

Answer 1

Eu estava executando um firewall baseado no FreeBSD sem problemas ao longo de muitos anos com este problema em particular. Se você não quer fazer coisas de modelagem de tráfego, não precisa consertar, eu diria. Ou para dizer de uma maneira diferente: eu não consertaria isso.

    

Answer 2

Não, você absolutamente NÃO precisa do ALTQ para redirecionar o tráfego de e para suas cadeias freebsd. Eu uso o pf para mapear o tráfego em IPs externos para os IPs estáticos em que minhas cadeias são executadas. As seguintes entradas direcionam o tráfego de e para a internet para as cadeias do meu servidor de e-mail:

ext_if="bce1"

lo_toaster = "127.0.0.6"
toaster    = "208.75.177.101"

nat on $ext_if from $lo_toaster   to any -> $toaster
rdr on $ext_if from any to $toaster      -> $lo_toaster

Eu tenho dezenas de jails criados assim. Embora seja obviamente mais complicado do que apenas atribuir IPs públicos às cadeias, ele vem com algumas boas vantagens. Eu posso alterar / adicionar / excluir IP público (s) para uma cadeia e nada dentro da cadeia precisa ser tocado. Edite o /etc/pf.conf e pronto. Eu posso mover cadeias entre hosts sem tocar em nada dentro das prisões. Como eles são executados em endereços de loopback, posso colocar a cadeia em vários servidores simultaneamente, testar e, em seguida, mover o tráfego atualizando as regras da rede e do firewall.

Há muito tempo atrás, eu usei o ALTQ para fazer conexões para a porta 25 de hosts Windows muito, muito lentas (passar rapidamente no proto tcp de qualquer sistema operacional "Windows" ...) mas as vantagens de fazer isso não valem a pena ter que reconstruir o kernel manualmente.