LINUX.ORG.RU
решено Форум — Admin  

Странное поведение iptables (требует периодического рестарта)

 , ,


0

1

Добрый вечер.

Имеется сервер под CentOS-ом, в который воткнуты:

  • на eth0 шнур от провайдера со статичным ip
  • на eth1 локалка

и такие правила для iptables:

*nat
:PREROUTING ACCEPT [75:3566]
:POSTROUTING ACCEPT [7:368]
:OUTPUT ACCEPT [108:7163]
-A POSTROUTING -o eth0 -j SNAT --to-source <ip от провайдера>
COMMIT

Всё вроде работает нормально, но периодически весь форвардинг отрубается (чаще всего тогда, когда в интернет пытается ломиться какой-нибудь комп, который довольно долго в этом плане был пассивен), пока не сделаешь iptables restart на серваке, после чего всё чудесным образом возвращается и работает.

Куда вообще копать?



Последнее исправление: ostronom (всего исправлений: 1)

Ответ на: комментарий от ostronom

Если я правильно понимаю, то

Я ему про Фому, а он мне про Ерему. Ну какое отношение имеет файловая система к сети? Во что смотри 

sysctl -a | grep conn
Можно конечно цифры подкрутить, но правильно выщемить подлеца сниффером и показать где раки зимуют. В помощь книга.

andrew667 ★★★★★
()

Вот вам в помощь. 

echo "256000">/proc/sys/net/ipv4/netfilter/ip_conntrack_max

Если не поможет, в крон добавьте 

iptables -Z -t nat
где-то раз в 5-15 минут. Это будет обнулять счётчики ядра фаервола. Я в своё время столкнулся с проблемой проседания производительности из-за них. Но, думаю, это не ваш случай.

nickleiten ★★★
()

Прочитайте сообщения в dmesg, если там будет ″ip_conntrack: table full, dropping packet″, то, как посоветовали, увеличивайте ″ip_conntrack_max″ или анализируйте вывод команды ″conntrack -L″, разбирайтесь почему их так много.

mky ★★★★★
()
Ответ на: комментарий от mky

Проблема оказалось в нескольких виндовых машинах, которые состояли зомбями в ботнете и устраивали периодический флуд на разные адреса. Вылечилось вчера ночью отключением их от сети.

Спасибо всем за советы и помощь.

ostronom
() автор топика
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
Admin