Public feed #894174

Someone

public text v1 · immutable
Raw Edit
·published 2008-02-06 19:14 UTC
rendered paste body
[Wed Feb 6 2008] [18:57:19] <cilly>	Was haltet ihr davon:
[Wed Feb 6 2008] [18:57:23] <cilly>	http://rafb.net/p/YE0j6c15.html
[Wed Feb 6 2008] [18:58:03] <cilly>	Wo sind die Feuerwand-Geeks?
[Wed Feb 6 2008] [19:07:08] <cilly>	Da ist nur ein Problem noch, --state INVALID tut nicht richtig, obwohl ich conntract drin hab
[Wed Feb 6 2008] [19:10:34] <cilly>	Wenn ich state INVALID hab, dann wird bei mir im Browser oft die Verbindung gekappt, nach 20-30 Minuten.
[Wed Feb 6 2008] [19:10:58] <cilly>	Oder eine offene SSH-Verbindung stirbt mit state INVALID öfters... so nach 2-3 Stunden.
[Wed Feb 6 2008] [19:31:55] <cilly>	knorke: hast du eine Idee, warum state INVALID eine 2-3 stündige SSH-Verbindung kappt?
[Wed Feb 6 2008] [19:32:18] <knorke>	cilly: was genau ist state INVALID?
[Wed Feb 6 2008] [19:33:59] <cilly>	knorke: es gibt state: ESTABLISHED, RELATED, NEW und INVALID
[Wed Feb 6 2008] [19:34:00] <knorke>	cilly: könnt ich nur rumraten
[Wed Feb 6 2008] [19:38:38] <aroedl>	cilly: Connection-Tracking wird nicht funktionieren ohne einer RELATED Rule.
[Wed Feb 6 2008] [19:39:19] <cilly>	aroedl: die ist natürlich gesetzt
[Wed Feb 6 2008] [19:39:24] <aroedl>	cilly: Ausserdem solltest Du schon, wenn Du so wild herumfilterst, sehr genau selber wissen, was Du da tust. Alles andere wäre jetzt Reverse-Engineering.
[Wed Feb 6 2008] [19:39:26] <aroedl>	cilly: Wo?
[Wed Feb 6 2008] [19:39:45] <cilly>	aroedl: in meiner Firewall, wo sonst
[Wed Feb 6 2008] [19:39:58] <cilly>	aroedl: sah das so aus, dass ich nicht weiß was ich tue?
[Wed Feb 6 2008] [19:39:59] <aroedl>	cilly: Wo sehe ich das im Script?
[Wed Feb 6 2008] [19:40:13] <cilly>	aroedl: gar nicht, ich paste doch nicht meine kompletten Firewall regeln
[Wed Feb 6 2008] [19:40:19] <cilly>	aroedl: das ist nur eine einzige Chain
[Wed Feb 6 2008] [19:40:20] <andy_>	schaaaade :P
[Wed Feb 6 2008] [19:40:48] <aroedl>	cilly: Ah. Na dann kannste selbst weitersuchen, woran das liegt, wenn Du nur eine Chain pastest.
[Wed Feb 6 2008] [19:41:34] <aroedl>	cilly: Jedenfalls filterst Du da Dinge, die erheblichen Einfluss auf die (Stabilität der) Verbindungen haben.
[Wed Feb 6 2008] [19:41:42] <cilly>	aroedl: das ist doch Standard: ${IPTABLES} -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
[Wed Feb 6 2008] [19:41:49] <cilly>	aroedl: ach geh Heim und trink nen Kaffee
[Wed Feb 6 2008] [19:42:05] <aroedl>	Tolle Antwort.
[Wed Feb 6 2008] [19:42:56] <cilly>	Ich hab die Vermutung, dass das contracking von iptables irgendwann den Speicher voll hat oder die conntracks vergisst.
[Wed Feb 6 2008] [19:43:08] <cilly>	und dann wird irgendwas sehr schnell zum INVALID
[Wed Feb 6 2008] [19:43:14] <cilly>	Könnte auch ein ICMP error sein.
[Wed Feb 6 2008] [19:43:52] <cilly>	aroedl: das was ich filtere sind eh ungültige TCP-Flag-Kombis und das hält mir sogar meine Dienste sauber.
[Wed Feb 6 2008] [19:45:20] <aroedl>	cilly: Bezweifle ich, dass es an der Anzahl der ConnTracks liegt. Du kannst das in /proc/sys/net/netfilter/* nachsehen.
[Wed Feb 6 2008] [19:46:13] <aroedl>	cilly: Die Defaults reichen für ein LAN mit mehreren hundert Clients.
[Wed Feb 6 2008] [19:46:13] <cilly>	cat /proc/sys/net/netfilter/nf_conntrack_tcp_timeout_close
[Wed Feb 6 2008] [19:46:14] <cilly>	10
[Wed Feb 6 2008] [19:46:15] <cilly>	ah ja
[Wed Feb 6 2008] [19:46:17] <cilly>	alles klar
[Wed Feb 6 2008] [19:46:22] <cilly>	da ist ein Timeout drauf
[Wed Feb 6 2008] [19:47:21] <cilly>	D.h. der vergisst irgendwann...
[Wed Feb 6 2008] [19:47:54] <cilly>	Jetzt war mir auch klar, warum eine offene Webseite nach 20 oder so Minuten nicht mehr offen war, wenn nix über die Leitung ging.
[Wed Feb 6 2008] [19:48:16] <cilly>	aroedl: danke für die Hilfe mit /proc/sys/net/netfilter/nf*
[Wed Feb 6 2008] [19:53:07] <aroedl>	cilly: Du solltest diesen Timeout allerdings _nicht_ hochsetzen, denn er gilt für CLOSED TCP-Verbindungen, die dann nach 10 Sekunden aus der Conntrack-Liste entfernt werden. Diese sind Closed und nutzen Dir sowieso nichts mehr.
[Wed Feb 6 2008] [19:54:11] <cilly>	aroedl: ich les erst mal was die einzelnen Parameter bedeuten, im Kernel sind teilweise eh unsinnige Werte gesetzt, z.B. tcp timeout.
[Wed Feb 6 2008] [19:54:12] <aroedl>	cilly: Das hat auch nichts mit "eine offene Website" zu tun, die "nach 20 oder so Minuten nicht mehr offen war", weil bei HTTP dann (mit Ausnahme von keepalive), die TCP-Verbindung geschlossen wird (CLOSE).
[Wed Feb 6 2008] [19:54:16] <cilly>	... von mehreren Tagen
[Wed Feb 6 2008] [19:54:36] <cilly>	aroedl: da sind ja noch viele andere Parameter
[Wed Feb 6 2008] [19:54:41] <cilly>	aroedl: und ganz doof bin ich auch nicht
[Wed Feb 6 2008] [19:55:14] <aroedl>	cilly: Wo ist da ein Timeout von mehreren Tagen gesetzt?
[Wed Feb 6 2008] [19:55:53] <cilly>	aroedl: net.ipv4.netfilter.ip_conntrack_tcp_timeout_established 5 Tage! so ein Schmarrn
[Wed Feb 6 2008] [19:56:12] <cilly>	aroedl: und hier auch: net.ipv4.netfilter.ip_conntrack_sctp_timeout_established
[Wed Feb 6 2008] [19:56:39] <cilly>	aroedl: damit kannst jeden Router platt walzen
[Wed Feb 6 2008] [19:57:02] <cilly>	aroedl: schließ mal 5 clients an und starte mit jedem so ca. 2000-3000 Verbindungen... dem Router geht der Speicher aus.
[Wed Feb 6 2008] [19:57:15] <cilly>	aroedl: fängt sogar an zu swappen
[Wed Feb 6 2008] [19:57:23] <aroedl>	cilly: Ich habe diese Werte allerdings nicht.
[Wed Feb 6 2008] [19:57:41] <cilly>	aroedl: lies es mal mit sysctl aus
[Wed Feb 6 2008] [19:57:55] <aroedl>	cilly: Du kannst mir glauben, dass man mit den Default-Werten auch sehr grosse Netze per NAT/Conntrack bedienen kann.
[Wed Feb 6 2008] [19:58:06] <aroedl>	cilly: Rate mal, was ich gerade getan hab.
[Wed Feb 6 2008] [19:58:21] <cilly>	aroedl: dann hast kein sysctl support?
[Wed Feb 6 2008] [19:58:25] <aroedl>	cilly: Rate mal, was ich gerade getan hab.
[Wed Feb 6 2008] [19:58:29] <cilly>	aroedl: oder kein linux, proc?
[Wed Feb 6 2008] [19:58:47] <aroedl>	cilly...
[Wed Feb 6 2008] [19:58:58] <cilly>	sysctl net.ipv4.netfilter.ip_conntrack_tcp_timeout_established
[Wed Feb 6 2008] [19:58:58] <cilly>	net.ipv4.netfilter.ip_conntrack_tcp_timeout_established = 3600
[Wed Feb 6 2008] [19:59:10] <cilly>	aroedl: ^^^
[Wed Feb 6 2008] [19:59:32] <aroedl>	cilly: Welcher Kernel?
[Wed Feb 6 2008] [19:59:52] <cilly>	22er Tree
[Wed Feb 6 2008] [20:00:15] <aroedl>	cilly: Bitte... Du sagst, dass "net.ipv4.netfilter.ip_conntrack_tcp_timeout_established 5 Tage!"???
[Wed Feb 6 2008] [20:00:24] <aroedl>	cilly: Also das dieses Timeout 5 Tage beträgtß
[Wed Feb 6 2008] [20:00:26] <aroedl>	?
[Wed Feb 6 2008] [20:00:40] <aroedl>	cilly: Und dann pastest Du die "3600"??? (Sekunden immerhin)
[Wed Feb 6 2008] [20:01:54] <aroedl>	cilly: Wie kommst Du dann auf "5 Tage", wenn Du doch etwas pastest, das auf "3600" gesetzt ist - wie bei mir übrigens auch?
[Wed Feb 6 2008] [20:04:04] <aroedl>	cilly: [19:41] <cilly> aroedl: ach geh Heim und trink nen Kaffee     <-- Eher etwas, das Du tun solltest.
[Wed Feb 6 2008] [20:12:11] <aroedl>    Hm...