prod/AWG2_harness
0
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases 2 Wiki Activity

Traffic: исправить детект ingress redirect для реального вывода tc

Browse Source 
has_ingress_redirect_to_ifb переведён на case-insensitive разбор и поддержку обоих вариантов: dev <ifb> и device <ifb>. Добавлены тесты на lowercase dev-формат и отрицательный кейс с другим ifb.

Также синхронизирован docs/ANTI_TORRENT.md: единая шкала threshold (100 default, 150 мягче, 200/250 permissive, 70 агрессивный), и антипример over 200 явно помечен как non-default/non-production.
This commit is contained in:
Crimson
2026-05-10 18:07:05 +05:00
parent b83f2ee3a9
commit a4bb7adb4f
2 changed files with 28 additions and 9 deletions
Download Patch File Download Diff File Expand all files Collapse all files
docs/ANTI_TORRENT.md
+5 -5
View File
@@ -10,7 +10,7 @@
## 2. Важное исправление к простой команде
Не использовать такую форму как production rule:
Не использовать такую форму как production rule (это антипример; `200` здесь не default и не production-рекомендация):
```nft
nft add rule inet filter forward ip saddr 10.8.1.0/24 ct count over 200 drop
@@ -75,10 +75,10 @@ max_connections_per_peer = 100
Практические варианты:
- `150` — агрессивнее, больше риск задеть редкие легитимные сценарии.
- `100` — production default.
- `150` — мягче и более permissive при редких жалобах.
- `200/250` — ещё более permissive варианты, если нужно дополнительно снизить риск false positives.
- `100` — production default, более строгий режим.
- `150` — мягче, если есть жалобы на false positives.
- `200/250` — ещё более permissive варианты.
- `70` — агрессивный режим только после наблюдения реального трафика.
## 5. Почему это должно быть в orchestrator