LINUX.ORG.RU
Форум — Admin  

Пролема с интернет шлюзом.


0

0
Имеется интернет шлюз c двумя интерфейсами: eth0 - интернет (с выделенным ip адресом), eth1 - локалка 192.168.1.245(192.168.1.0/24, 20 машин). На шлюзе установлен ASP linux 11.2, настроен NAT. В локалке имеется контроллер домена (192.168.1.240), на котором запущен DHCP и DNS, он диктует всем машинам в локалке адрес основного шлюза 192.168.1.245 и адрес DNS сервера 192.168.1.240. На контроллере домена в DNS прописано, что если он не может обработать запрос DNS сам, то обращается к DNS провайдера. Интернет в локалке хорошо работает 1-2 дня, после чего начинает дико тормозить. Но если выключить большинство компов в локалке, то на оставшихся включенными инет опять "оживает". После настройки шлюза я слил его образ, и если залить образ только что настроенного шлюза, то опять все хорошо работает, но только не долго :-(. В чем может быть проблема? (ширина инет канала 128 кбит/сек, но это же не мешает нормально работать 1-2 дня!)

Конфиг iptables:

*nat

-A POSTROUTING -o eth0 -j SNAT --to-source inet_addres

COMMIT

*filter

:INPUT ACCEPT [0:0]

:FORWARD ACCEPT [0:0]

:OUTPUT ACCEPT [0:0]

-A INPUT -i eth0 -p tcp -m tcp --tcp-flags FIN,SYN,ACK SYN -j LOG --log-level 7 --log-tcp-options

-A INPUT -i eth0 -p tcp -m tcp --tcp-flags FIN,SYN,ACK SYN -j REJECT --reject-with icmp-port-unreachable

-A FORWARD -s 192.168.1.0/24 -p icmp -i eth1 -j ACCEPT

-A FORWARD -d 192.168.1.0/24 -p icmp -o eth1 -j ACCEPT

-A FORWARD -s 192.168.1.0/24 -p udp -m udp --dport 53 -i eth1 -j ACCEPT

-A FORWARD -d 192.168.1.0/24 -p udp -m udp --sport 53 -o eth1 -j ACCEPT

-A FORWARD -s 192.168.1.0/24 -p tcp -m multiport --dports 20,21,25,80,110,8080 -i eth1 -j ACCEPT

-A FORWARD -d 192.168.1.0/24 -p tcp -m multiport --sports 20,21,25,80,110,8080 -o eth1 -j ACCEPT

-A FORWARD -s 192.168.1.0/24 -p ! icmp -m state --state INVALID -i eth1 -j DROP

-A FORWARD -d 192.168.1.0/24 -p ! icmp -m state --state INVALID -o eth1 -j DROP

-A FORWARD -o eth0 -j DROP

-A FORWARD -o eth1 -j DROP

COMMIT

← [ connect c разных ip]
traceroute в графике →
мысль №1 - надо указывать uname -a и говорить какие ещё сервисы крутятся на шлюзе

мысль №2 - надо выяснять причину торможения - смотреть/показывать tail /var/messages, dmesg, free

с похожим торможением шлюза сталкивался на CentOS4, там штатный squid сжирал память и всё тормозило. Лечилось service squid restart в кроне на ночь

MKuznetsov ★★★★★
()
Ответ на: комментарий от MKuznetsov
Спасибо за ответ.

По поводу мысли №1 - точно сказать какие еще сервисы крутятся смогу завтра, когда сяду за шлюз, потому как в линуксе только 1 мес. работаю, и удаленный доступ не настроил еще) Но никаких дополнительных сервисов не должно быть, при установке выбирал тип - сервер, и ничего кроме iptables не настраивал.

По поводу мысли №2 - выяснить смогу тоже завтра.

Squid тоже не настраивал.

anonymous
()
Ответ на: комментарий от anonymous
Не знаю, что подразумевается в АСПЕ под типом "сервер" - но туда могут нафигачить пачку ненужных тебе сервисов (включая тот же самый сквид)

На счет iptables - уважуха - всего месяц, а уже практически осилил

siniy-p ★
()
Ответ на: комментарий от siniy-p
Но если бы был запущен Squid, то он был бы в списке запускаемых служб? а там его нет. я специально убирал из списка ненужные. из всех обнаружил только sendmail. Самбы, DHCP, DNS, httpd, mysql там не было.

"осилил" :-) у меня такое впечатление, что как раз из-за моих настроек все тормозит), кстати я еще не указал в конфиге перенаправление из инета на контроллер домена, чтобы удаленно заходить на него. Может из-за этого?

annigik
() автор топика
iptraf`ом смотри (ну или iftop). Возможно некоторые компьютеры в локальной сети являются частью ботнета и "кладут" внешний канал.

capricorn20 ★
()
Ответ на: комментарий от capricorn20
tcp открой для ДНС (BIND 9) у меня он из-за того что этот порт был закрыт, сжирал все процессорное время
deimos
()
Что значит "Интернет в локалке"?
Deleted
()
имхо это злостные ословоды в сети , надо траффик посмотреть кто что качает и выборочно поотключать .
j262 ★★
()
iptables освоил, осваивай теперь tcpdump и iptraf какой-нибудь что ли...
anonymous
()
Ответ на: комментарий от MKuznetsov
В выходные "осиливал" ssh (наконец-то могу заходить удаленно на сервер!) и настроил простой учет трафика (ipcad).

#uname -a

Linux xxxxxxx.xxxxxx.ru 2.6.17-1.2157.1asp #1 Fri Aug 11 03:02:11 EEST 2006 i686 i686 i386 GNU/Linux

#tail /var/messages, dmesg, free

tail: невозможно открыть `/var/messages,' для чтения: Нет такого файла или каталога tail: невозможно открыть `dmesg,' для чтения: Нет такого файла или каталога tail: невозможно открыть `free' для чтения: Нет такого файла или каталога ...

Пробывал искусственно загрузить канал - запускал закачку письма с вложением 7 Mb в The Bat! одновременно на 3-х компьютерах из локалки.

Результат -

закачка письма на 3-ем компе зависает примерно на 20% и больше не продолжается, даже после того, как первые два получили всю почту. (повторный прием почты проходит нормально, когда 1-ый и 2-ой освобождают канал).

Во время приема почты пингую mail.ru (с любого компа: ping -n 100 mail.ru): - получаю в среднем 18-25% потерь. A в то время, когда письма не качаю: - потерь 0%.

Tcp порт для DNS как советовали открыл. (ничего не изменилось) При всем при этом сам шлюз не тормозит! Средняя загрузка проца - 3-4%. свободная память тоже есть в наличии. (с кде около 200мб из 512мб) Вирусов в сети не обнаружил. при включенных компах без явно запущенных инет приложений, трафик не идет.

Не знаю уже на что и грешить. С тем же провайдером раньше стоял шлюз на вин 2000 + UserGate. Таких проблем не было. при получении больших писем у остальных просто падала скорость, но соединение не обрывалось. А хочу все-таки чтобы шлюз был на Linux, потому как система нравится все больше и больше...

annigik
() автор топика
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
← [ connect c разных ip]
Admin
traceroute в графике →