Отлично, надо будет как-нибудь поэкспериментировать, спасибо всем)

Не ловит пакеты если оффлоадинг включен

А без него вообще есть преимущество у nftables перед iptables в прозводительности?

Хз. У меня все в iptables, но у меня в основном xt_nat, он не так нагрузку дает и правил дай бог 10 в цепочке

А xt_nat с ipt_netflow нормально сосуществуют?

Да

Понял, спасибо.

Под него же вроде есть патч на наге

Вообще в теории евенты должны ловиться, вроде как nft на тот же коннтрак полагается, а ipt_netflow  в него тупо callback функцию ставит в цепочку обработки

Надо будет как нить код глянуть...

Эм...видимо мимо  меня пролетело..

Не сорян это походу под xt_nat было

Коллеги, наткнулся на проблему. Поставил два наса в параллель. Один основной, один резервный. Обращаются они к UTM Radius. И обнаружился глюк - если абоненту привязан ip пул, то все норм, а если один адрес - возникают периодические отлупы авторизации.
Выяснилось похоже вот что - на радиус прилетают два Access-Request от двух насов, и после первого он помечает адрес как занятый. Если первый запрос пришел от резервного наса, то основному идет отлуп, а он главный по weight. Соответственно, на главном создается временная сессия.

Кажется я даже видел где-то на форуме что ли про такую проблему... не могу найти ((

Работают евенты у меня

Ну да утмовский на уже занятый адрес отлуп даст. Тут либо проксировать как-то, либо менять на фрирадиус и писать запросы к бд

Мда, печаль… в существующем раскладе не решается?

Скорее всего нет. Но надо порыть, т.к. у меня тоже  лаг в 3 минуты при переходе от основного к резервному акселю (у меня старт по up)

Немного странно по акцепту стартовать сессию

Ну биллингу виднее канеш