Debian-facile

anonyme

Invité

Re : [resolu]Migration de iptables a nftables sur une passerelle

le #139 modifié ,  supprimé samba sur le sous-réseau est bien aussi .
la règle est appliqué "udp dport {137, 138} reject"

je pense que sur les clients aussi a faire

Dernière modification par anonyme (11-08-2019 12:32:02)

enicar

Membre

Lieu : pas ici

Distrib. : sid

Noyau : Linux 6.5.3

(G)UI : openbox

Inscription : 26-08-2010

Re : [resolu]Migration de iptables a nftables sur une passerelle

supprimé samba sur le sous-réseau est bien aussi .

Surtout si tu ne comptes pas utiliser samba…

Maintenant ton pare-feu ressemble à quoi sur la passerelle ?

anonyme

Invité

Re : [resolu]Migration de iptables a nftables sur une passerelle

le #139 tu a le pare feu de la passerelle
ou un cat

cat /etc/nftables.conf
flush ruleset

table ip nat {
  chain PREROUTING {
    type nat hook prerouting priority -100; policy accept;
  }

  chain INPUT {
    type nat hook input priority 100; policy accept;
  }

  chain POSTROUTING {
    type nat hook postrouting priority 100; policy accept;
    oifname "enp6s0f0" masquerade
  }

  chain OUTPUT {
    type nat hook output priority -100; policy accept;
  }
}

table ip filter {

chain local_in {
    ct state new tcp dport {https, smtp, domain, http, ipp, 8080} accept
    ct state new udp dport {domain, bootps, ntp, ipp} accept
    icmp type {echo-reply, echo-request} accept
  }

  chain INPUT {
    type filter hook input priority 0; policy drop;
    ip daddr 224.0.0.0/8 reject with icmp type admin-prohibited
    iif lo accept
    udp dport {137, 138} reject
    ct state invalid  limit rate 4/second burst 5 packets  log prefix "INVALID_INPUT " drop
    ct state new ip saddr 192.168.1.2 ip daddr 192.168.1.10 udp dport 123 accept
    ct state established,related accept
    icmp type { destination-unreachable,time-exceeded, parameter-problem } accept
    ct state new ip saddr 192.168.1.2 ip daddr 192.168.1.10 udp dport 123 accept
    iifname "enp6s0f1" jump local_in
    log prefix "INPUT_DROP "
  }

  chain FORWARD {
    type filter hook forward priority 0; policy drop;
    iifname "enp6s0f1" accept
    ct state invalid  limit rate 4/second burst 5 packets  log prefix "INVALID_INPUT " drop
    ct state established,related accept
    log prefix "FORWARD_DROP "
  }

  chain OUTPUT {
    type filter hook output priority 0; policy accept;
  }
}

table ip6 filter {
  chain input {
    type filter hook input priority 0; policy drop;
    iif lo accept
    }

  chain forward {
    type filter hook forward priority 0; policy drop;
    }

  chain output {
    type filter hook output priority 0; policy drop;
    oif lo accept
    }
  }
 

enicar

Membre

Lieu : pas ici

Distrib. : sid

Noyau : Linux 6.5.3

(G)UI : openbox

Inscription : 26-08-2010

Re : [resolu]Migration de iptables a nftables sur une passerelle

Tu as dupliqué une règle dans la chaîne input de la table ip filter :

ct state new ip saddr 192.168.1.2 ip daddr 192.168.1.10 udp dport 123 accept
 

Tu peux juste garder la dernière.

Dernière modification par enicar (11-08-2019 12:46:10)

anonyme

Invité

Re : [resolu]Migration de iptables a nftables sur une passerelle

Heureusement que tu me surveille
modifié et appliqué

cat /etc/nftables.conf
flush ruleset

table ip nat {
  chain PREROUTING {
    type nat hook prerouting priority -100; policy accept;
  }

  chain INPUT {
    type nat hook input priority 100; policy accept;
  }

  chain POSTROUTING {
    type nat hook postrouting priority 100; policy accept;
    oifname "enp6s0f0" masquerade
  }

  chain OUTPUT {
    type nat hook output priority -100; policy accept;
  }
}

table ip filter {

chain local_in {
    ct state new tcp dport {https, smtp, domain, http, ipp, 8080} accept
    ct state new udp dport {domain, bootps, ntp, ipp} accept
    icmp type {echo-reply, echo-request} accept
  }

  chain INPUT {
    type filter hook input priority 0; policy drop;
    ip daddr 224.0.0.0/8 reject with icmp type admin-prohibited
    iif lo accept
    udp dport {137, 138} reject
    ct state invalid  limit rate 4/second burst 5 packets  log prefix "INVALID_INPUT " drop
    ct state established,related accept
    icmp type { destination-unreachable,time-exceeded, parameter-problem } accept
    ct state new ip saddr 192.168.1.2 ip daddr 192.168.1.10 udp dport 123 accept
    iifname "enp6s0f1" jump local_in
    log prefix "INPUT_DROP "
  }

  chain FORWARD {
    type filter hook forward priority 0; policy drop;
    iifname "enp6s0f1" accept
    ct state invalid  limit rate 4/second burst 5 packets  log prefix "FORWARD_INVALID " drop
    ct state established,related accept
    log prefix "FORWARD_DROP "
  }

  chain OUTPUT {
    type filter hook output priority 0; policy accept;
  }
}

table ip6 filter {
  chain input {
    type filter hook input priority 0; policy drop;
    iif lo accept
    }

  chain forward {
    type filter hook forward priority 0; policy drop;
    }

  chain output {
    type filter hook output priority 0; policy drop;
    oif lo accept
    }
  }
 

Dernière modification par anonyme (11-08-2019 13:25:19)

enicar

Membre

Lieu : pas ici

Distrib. : sid

Noyau : Linux 6.5.3

(G)UI : openbox

Inscription : 26-08-2010

Re : [resolu]Migration de iptables a nftables sur une passerelle

Heureusement que tu me surveille

Eh ho ! Je ne suis pas big brother ! Je ne surveille personne

enicar

Membre

Lieu : pas ici

Distrib. : sid

Noyau : Linux 6.5.3

(G)UI : openbox

Inscription : 26-08-2010

Re : [resolu]Migration de iptables a nftables sur une passerelle

Un petit détail, dans la chaîne forward de la table ip filter tu as mis

ct state invalid  limit rate 4/second burst 5 packets  log prefix "INVALID_INPUT " drop
 

Il vaudrait mieux mettre : « "FORWARD_INVALID " ». Ça permet de d'identifier plus
vite d'où ça vient quand on lit les logs.

anonyme

Invité

Re : [resolu]Migration de iptables a nftables sur une passerelle

c'est fait et appliqué
ps: mise a jour sécurité du noyau de buster , j'ai redémarré le serveur

le syslog est propre , je vais continuer mes tests 

Dernière modification par anonyme (11-08-2019 13:26:38)

enicar

Membre

Lieu : pas ici

Distrib. : sid

Noyau : Linux 6.5.3

(G)UI : openbox

Inscription : 26-08-2010

Re : [resolu]Migration de iptables a nftables sur une passerelle

Je pense que pour le filtre de paquets, c'est bon. La seule chose que je trouve
dommage c'est d'avoir un serveur web sur la passerelle, c'est potentiellement
là où se trouve la plus grosse faille.

anonyme

Invité

Re : [resolu]Migration de iptables a nftables sur une passerelle

Ou tu vois un serveur web ?
les clients utilise le port 80 et 8080 (firefox , FAH )
aucun service web sur 192.168.10.1 et 192.168.1.10
si un service web installé sur le sous-réseau , par exemple un serveur 192.168.10.11 (qui n'existe pas )
il doit être accessible uniquement du sous-réseau (192.168.10.0/24 )
pas du réseau local
et pas du net
actuellement c'est pas comme cela ? 

si c'est cela qui pose problème on vire ((au moins le http et le https )

ct state new tcp dport {https, smtp, domain, http, ipp, 8080} accept
 

n' oublie pas que pas de route du réseau local vers le sous-réseau
un ping d un client en 192.168.1.0/24 ne peu joindre un client sur le 192.168.10.0/24 (l'inverse oui )

remarque :
pour moi le seul qui connaît le sous-réseau et autorisé c'est le switch 192.168.1.2 (tout le reste est refusé en entrée si pas une demande en provenance du sous-réseau )

ct state established,related accept
 

pas de règle nat sur la box , aucun port autorisé en entrée , je vois pas comment possible d'atteindre un serveur web éventuel en 192.168.10.xx
nota: de 2005 a 2014 environ j'ai eu ip fixe , nom de domaine enregistré , et un serveur web en ligne (apache+php+mysql) , je sais la galère que c'est

bien sur  je suis conscient que un réseau étanche a 100% ça n'existe pas , oui coupé le cable adsl 

remarque:
tous ces ports ne sont autorisés que sur   enp6s0f1

iifname "enp6s0f1" jump local_in
 

enp6s0f0 ne laisse rien passer en entrée ?

Dernière modification par anonyme (11-08-2019 20:27:06)

enicar

Membre

Lieu : pas ici

Distrib. : sid

Noyau : Linux 6.5.3

(G)UI : openbox

Inscription : 26-08-2010

Re : [resolu]Migration de iptables a nftables sur une passerelle

Ou tu vois un serveur web ?

Pourquoi avoir ouvert les ports https et http sur la passerelle, si il n'y a
pas de serveur web ?

À quoi te sert le port 8080 ?

es clients utilise le port 80 et 8080 (firefox , FAH )

Je n'ai toujours pas compris ce qu'est FAH…
Remarque que les ports 80 et 443 de la passerelle n'ont pas besoin
d'être autorisé pour accepter du trafic en direction de ces ports vers d'autres
machines sur internet.

remarque:
tous ces ports ne sont autorisés que sur   enp6s0f1

iifname "enp6s0f1" jump local_in
 

enp6s0f0 ne laisse rien passer en entrée ?

Oui, sur enp6s0f0 les flux sur ces ports sont interdits.

Le truc c'est de savoir si il y a des programmes sur la passerelle qui écoutent
sur ces ports :

ss -nlutp
 

donnera une liste des sockets en écoute avec les programmes qui les utilisent.

Aussi, je trouve qu'une passerelle, peut accueillir quelques services : dhcp, dns c'est déjà
limite, cups éventuellement, ntp,  mais pas un serveur web, même pour l'usage local.
Après, on fait comme on peut avec le peu de moyen qu'on a à notre disposition…
Je donne juste mon avis. La plus grosse faille de sécurité sur les postes clients
ça reste le navigateur internet. Et aucun filtre de paquets n'y peut rien.

PS: J'ai mis longtemps, à répondre car j'ai eu une panne d'internet de plusieurs heures

anonyme

Invité

Re : [resolu]Migration de iptables a nftables sur une passerelle

sur la passerelle sur enp6s0f1 , exim4 , ntpd ,dhcpd , bind9 en écoute sur enp6s0f1 (une exception pour ntpd aussi enp6s0f0 )
mais lorsque un client demande a joindre un site (http ou https) , il demande au dns la résolution du nom , puis envoie la demande sur le net.
le chemin c'est input enp6s0f1 => forward => enp6s0f0 => la box => le net
au début on a mit accept pour tout sur enp6s0f1 , puis tu a changé pour ce système .
a mon avis si je retire http et https , mes clients plus de net avec firefox
je me trompe ?

cette règle

iifname "enp6s0f1" accept
 

a été remplacé par

iifname "enp6s0f1" jump local_in
 

pour les services en écoute ci dessus je peu les déporter sur un autre serveur , mais il faudra toujours autoriser des choses.
ps: tarder a finir la réponse , on a eu la visite de sanglier .........

Dernière modification par anonyme (12-08-2019 02:09:30)

enicar

Membre

Lieu : pas ici

Distrib. : sid

Noyau : Linux 6.5.3

(G)UI : openbox

Inscription : 26-08-2010

Re : [resolu]Migration de iptables a nftables sur une passerelle

a mon avis si je retire http et https , mes clients plus de net avec firefox
je me trompe ?

Oui tu te trompes. Les règles que j'ai changé c'est pour l'accès local
à la passerelle. Les communication avec les sites sur internet passe
par la chaîne forward de la table ip filter, pas par la chaîne input.
Or, c'est dans la chaîne input que j'ai fait une modification. L'idée
est de limiter les accès à la passerelle pour le réseau locale (ton sous-réseau)
au service strictement nécessaire.
Le DNS (port 53), cups (port 631) et ntp sont fourni par la passerelle.
Je suppose que tu te sers de la passerelle aussi pour envoyer tes mails,
c'est à dire que le serveur de mail (exim) de la passerelle est utilisée.

Par contre pour le trafic vers internet, ça ne change rien, c'est réglé dans
la chaîne forward où tout est autorisé à passer dans le sens du réseau
locale vers l'extérieur mais pas dans l'autre sens :

chain FORWARD {
    type filter hook forward priority 0; policy drop;
    iifname "enp6s0f1" accept
    ct state invalid  limit rate 4/second burst 5 packets  log prefix "FORWARD_INVALID " drop
    ct state established,related accept
    log prefix "FORWARD_DROP "
}
 

La première règle dans cette chaîne :

iifname "enp6s0f1" accept
 

dit que tout ce qui entre par l'interface enp6s0f1 est accepté.
Je répète, la chaîne forward concerne les paquets qui transitent
par la passerelle mais qui ne sont pas à destination de la passerelle.
Dans cette même chaîne on autorise le trafic inverse qu'à condition
qu'il soit fasse partie d'une connexion déjà établie ou relative
à une connexion initiée depuis le réseau local. Le reste ne passe pas.

Supposons que tu demandes la page d'accueil du site df.org depuis une machine
de ton réseau local (en http ou https). Une première demande de connexion va
arriver sur la passerelle (c'est à dire un syn au niveau du protocole tcp).  Ça
va passer la chaîne prerouting où il n'y a pas de règle. Ensuite intervient une
décision de routage.  Comme ce paquet n'est pas à destination de la passerelle
ça va passer dans la chaîne forward, qui va l'autoriser à continuer à cause de
« iifname "enp6s0f1" accept », peu importe vers quel port il est dirigé.
Ensuite ça passe dans une nouvelle décision de routage le paquet continue, il
doit sortir par la l'interface qui est déclaré être celle de la gateway (que
l'on voit avec la commande « ip route » sur la passerelle). Le paquet arrive
dans la chaîne postrouting là la règle « oifname "enp6s0f0" masquerade » qui va
nater le paquet, en enregistrant la correspondance pour dénater la réponse au
retour. Bref le paquet sort de la passerelle comme si il avait été produit par
la passerelle (avec son adresse ip) de telle façon que la livebox croit que
c'est la passerelle qui fait cette connexion.

En même temps le système de suivi de connexion a enregistré de son
côté cette nouvelle socket. Du coup quand la réponse « syn - ack »
arrive dans l'autre, après avoir été dénaté, elle repasse
dans une décision de routage. Ce paquet a retrouvé sa véritable
adresse de destination qui est dans le réseau local. Donc
on repasse dans la chaîne forward, là la règle
« ct state related,established accept » match, on laisse continuer le
paquet qui peut aller jusqu'à la machine du réseau local.
Ça paraît compliqué comme ça, mais une fois qu'on visualise bien tout ça
dans le schéma : https://wiki.nftables.org/wiki-nftables … lter_hooks
ça devient plus simple.
Le truc le plus mystérieux, c'est le moment où les paquets sont dénatés.
Ça se passe au niveau du prerouting (où on a mis aucune règle) automatiquement.
C'est la magie du NAT.
D'ailleurs je viens de me rendre compte qu'on devrait être plus précis
pour la règle de masquerade… mais on verra ça demain

J'espère ne pas t'avoir assommé avec cette longue explication

En bref, tu peux supprimer les port http, https, et 8080 de tes
règles.

Dernière modification par enicar (12-08-2019 02:40:04)

anonyme

Invité

Re : [resolu]Migration de iptables a nftables sur une passerelle

je teste ça ce matin
sinon je reprend doucement les clients sur un ryzen 1700 voila ce que j'ai :

Aug 12 12:33:20 debian30 kernel: [  138.022006] INPUT_DROP IN=enp3s0 OUT= MAC= SRC=192.168.10.49 DST=224.0.0.251 LEN=73 TOS=0x00
PREC=0x00 TTL=255 ID=53412 DF PROTO=UDP SPT=5353 DPT=5353 LEN=53
Aug 12 12:34:02 debian30 kernel: [  180.001867] INPUT_DROP IN=enp3s0 OUT= MAC=ff:ff:ff:ff:ff:ff:e4:e7:49:6b:ea:af:08:00
SRC=192.168.10.32 DST=192.168.10.255 LEN=241 TOS=0x00 PREC=0x00 TTL=64 ID=64739 DF PROTO=UDP SPT=138 DPT=138 LEN=221
Aug 12 12:34:02 debian30 kernel: [  180.001896] INPUT_DROP IN=enp3s0 OUT= MAC=ff:ff:ff:ff:ff:ff:e4:e7:49:6b:ea:af:08:00
SRC=192.168.10.32 DST=192.168.10.255 LEN=237 TOS=0x00 PREC=0x00 TTL=64 ID=64740 DF PROTO=UDP SPT=138 DPT=138 LEN=217
Aug 12 12:35:28 debian30 kernel: [  266.024996] INPUT_DROP IN=enp3s0 OUT= MAC= SRC=192.168.10.49 DST=224.0.0.251 LEN=73 TOS=0x00
PREC=0x00 TTL=255 ID=56129 DF PROTO=UDP SPT=5353 DPT=5353 LEN=53
 

annonce de l'imprimante HP en 138 (netbios) avec l'ip de l imprimante SRC=192.168.10.32
et ceci de sa propre carte réseau  => SRC=192.168.10.49 DST=224.0.0.251

Dernière modification par anonyme (12-08-2019 12:02:51)

anonyme

Invité

Re : [resolu]Migration de iptables a nftables sur une passerelle

bon j'ai le net ,enlevé http , https , 8080 et ipp

table ip filter {

chain local_in {
    ct state new tcp dport {smtp, domain} accept
    ct state new udp dport {domain, bootps, ntp} accept
    icmp type {echo-reply, echo-request} accept
  }

  chain INPUT {
    type filter hook input priority 0; policy drop;
    ip daddr 224.0.0.0/8 reject with icmp type admin-prohibited
    iif lo accept
    udp dport {137, 138} reject
    ct state invalid  limit rate 4/second burst 5 packets  log prefix "INVALID_INPUT " drop
    ct state established,related accept
    icmp type { destination-unreachable,time-exceeded, parameter-problem } accept
    ct state new ip saddr 192.168.1.2 ip daddr 192.168.1.10 udp dport 123 accept
    iifname "enp6s0f1" jump local_in
    log prefix "INPUT_DROP "
  }
 

Dernière modification par anonyme (12-08-2019 12:15:24)

enicar

Membre

Lieu : pas ici

Distrib. : sid

Noyau : Linux 6.5.3

(G)UI : openbox

Inscription : 26-08-2010

Re : [resolu]Migration de iptables a nftables sur une passerelle

et ceci de sa propre carte réseau  => SRC=192.168.10.49 DST=224.0.0.251

Je n'ai pas compris. Tu dis que l'adresse de l'imprimante est 192.168.10.32 et ensuite
tu parles de paquets multicast émis depuis l'adresse 192.168.10.49… C'est quoi le rapport ?

enicar

Membre

Lieu : pas ici

Distrib. : sid

Noyau : Linux 6.5.3

(G)UI : openbox

Inscription : 26-08-2010

Re : [resolu]Migration de iptables a nftables sur une passerelle

bon j'ai le net ,enlevé http , https , 8080

T'as enlevé cups aussi (ipp, le port 631), c'est ce que tu voulais ?

anonyme

Invité

Re : [resolu]Migration de iptables a nftables sur une passerelle

aucun , juste sur le même client ( sur son syslog )
regarde le  #165 au dessus

oui la passerelle n'imprime pas et l imprimante uniquement sur le sous reseau , pas du reseal local , encore moins du net

Dernière modification par anonyme (12-08-2019 12:19:49)

enicar

Membre

Lieu : pas ici

Distrib. : sid

Noyau : Linux 6.5.3

(G)UI : openbox

Inscription : 26-08-2010

Re : [resolu]Migration de iptables a nftables sur une passerelle

Je n'ai pas compris. Tu dis que l'adresse de l'imprimante est 192.168.10.32 et ensuite
tu parles de paquets multicast émis depuis l'adresse 192.168.10.49… C'est quoi le rapport ?

Bon, apparemment l'adresse de ta machine ryzen est 192.168.10.49, c'est ça ?
Si oui, les paquets sur l'adresse 224.0.0.251 reviennent car ce sont des paquets
multicast. C'est une sorte de broadcast, il faudrait que j'approfondisse mes connaissances
sur leur usage. Je ne maîtrise pas du tout. Dans ce cas on peut tout de même savoir
que c'est très probablement le protocole mdns (c'est à dire multicast DNS). C'est de l'udp
et les ports sources et destination sont 5353 (un petit « grep 5353 /etc/services » est de rigueur ).
Regarde si tu n'as pas avahi d'installer sur cette machine.
Pour plus d'explication regarde : https://en.wikipedia.org/wiki/Multicast_DNS.

enicar

Membre

Lieu : pas ici

Distrib. : sid

Noyau : Linux 6.5.3

(G)UI : openbox

Inscription : 26-08-2010

Re : [resolu]Migration de iptables a nftables sur une passerelle

En ce qui concerne les paquets envoyés par l'imprimante en udp avec les ports
sources et destinations 138, c'est encore ce fameux netbios. Beaucoup de
périphériques réseaux utilisent de protocole par défaut pour découvrir les
hôtes du réseau, de cette façon ça marche tout seul sous windows.

Dernière modification par enicar (12-08-2019 12:45:00)

anonyme

Invité

Re : [resolu]Migration de iptables a nftables sur une passerelle

avahi daemon supprimé , ça c'est réglé

je connais mais debian me le remet parfois , comme cups qui coche le partage. (au mise a jour ou au dist-upgrade )

pour l'imprimante je pense que je peu le désactiver "netbios" , donc le choix:   accept , reject ou stopper le service sur l' imprimante.

Dernière modification par anonyme (12-08-2019 12:45:06)

enicar

Membre

Lieu : pas ici

Distrib. : sid

Noyau : Linux 6.5.3

(G)UI : openbox

Inscription : 26-08-2010

Re : [resolu]Migration de iptables a nftables sur une passerelle

Pour la masquerade j'aurais bien vu une règle comme ça dans la
chaîne postrouting de la table ip nat :

chain POSTROUTING {
    type nat hook postrouting priority 100; policy accept;
    ip saddr 192.168.10.0/24 oifname "enp6s0f0" masquerade
  }
 

Ça limite le snat au sous réseau 192.168.10.0/24 qui est relié à l'interface enp6s0f1.
Ça devrait fonctionner.

enicar

Membre

Lieu : pas ici

Distrib. : sid

Noyau : Linux 6.5.3

(G)UI : openbox

Inscription : 26-08-2010

Re : [resolu]Migration de iptables a nftables sur une passerelle

Une autre optimisation serait d'utiliser « iif » à la place de « iifname » et « oif » à la place
de « oifname ». La différence c'est que iifname fait une comparaison de chaîne de caractère
alors que iif compare juste l'index numérique de l'interface qui est un entier sur 32 bits.

Il ne faut pas utiliser iif et oif pour les interfaces qui peuvent être créés et détruites dynamiquement,
comme ppp. Mais pour les interfaces ethernet ça ne devrait pas poser de problème.

anonyme

Invité

Re : [resolu]Migration de iptables a nftables sur une passerelle

je vois que l'on optimise #172 et 173 
l'ancien "nat"

table ip nat {
  chain PREROUTING {
    type nat hook prerouting priority -100; policy accept;
  }

  chain INPUT {
    type nat hook input priority 100; policy accept;
  }

  chain POSTROUTING {
    type nat hook postrouting priority 100; policy accept;
    oifname "enp6s0f0" masquerade
  }

  chain OUTPUT {
    type nat hook output priority -100; policy accept;
  }
 

modifié ceci sur la passerelle

chain POSTROUTING {
    type nat hook postrouting priority 100; policy accept;
    ip saddr 192.168.10.0/24 oif "enp6s0f0" masquerade
  }
 

accept => autorise uniquement 192.168.10.0/24 => oif (index numérique de la carte réseau) "enp6s0f0" masquerade
ps: pour l'instant sur un client , donc pas fait la modification encore

Dernière modification par anonyme (12-08-2019 14:42:38)

anonyme

Invité

Re : [resolu]Migration de iptables a nftables sur une passerelle

voila j'ai modifié la chain POSTROUTING comme ci dessus
mais j'ai un souci , surtout sur les clients au niveau de la boucle locale.
j'ai les performances qui sont fortement ralenti
par exemple si le gpu tourne a 400000 , il n'est plus que a 80000.
peu importe la signification du chiffre (juste le rapport directement lié au temp)
au plus le temp est court au plus le chiffre est élevé.
ps: le même principe avec une conversion de format d un fichier vidéo par exemple .
pour le confirmer je peu désactiver nftables , mais je comprend pas trop pourquoi
comme je suis en pause depuis un moment il est possible que les calculs soient plus difficile et plus long dans ce cas rien a voir avec le filtrage.
en gros le calcul utilise le gpu a 100% et un core cpu
ça donne ceci

nvidia-smi
Mon Aug 12 16:25:37 2019      
+-----------------------------------------------------------------------------+
| NVIDIA-SMI 418.74       Driver Version: 418.74       CUDA Version: 10.1     |
|-------------------------------+----------------------+----------------------+
| GPU  Name        Persistence-M| Bus-Id        Disp.A | Volatile Uncorr. ECC |
| Fan  Temp  Perf  Pwr:Usage/Cap|         Memory-Usage | GPU-Util  Compute M. |
|===============================+======================+======================|
|   0  GeForce GTX 970     On   | 00000000:04:00.0  On |                  N/A |
|  0%   74C    P2   148W / 200W |    169MiB /  4042MiB |     97%      Default |
+-------------------------------+----------------------+----------------------+
                                                                               
+-----------------------------------------------------------------------------+
| Processes:                                                       GPU Memory |
|  GPU       PID   Type   Process name                             Usage      |
|=============================================================================|
|    0      2580      G   /usr/lib/xorg/Xorg                            80MiB |
|    0      3577      C   ...D64/NVIDIA/Fermi/Core_21.fah/FahCore_21    75MiB |
+-----------------------------------------------------------------------------+
 

ps: le gpu est a 97% sur la passerelle
a priori rien a voir , un stop sur nftables ne change rien (ce qui me semble normal)
donc une grosse bêtise de ma part 

pour comparaison une GTX980 donne 309000 , une gtx1060 80000.
au plus le chiffre est gros , au plus le calcul est rapide
en théorie une GTX1060 est beaucoup plus puissante (ou du moins pas moins )
donc rien a voir avec le filtrage , il profite des avancées sur l'informatique pour faire des calculs plus difficiles.
un peu comme l' IA qui avance a grand pas avec du matériel plus performant
/fin du hors sujet 

Dernière modification par anonyme (12-08-2019 15:46:12)