Comment vider le suivi des connexion du netfilter ?

Recherche :

Mot : Pseudo : Filtrer
Page : 1 2 Page Suivante Page Précédente Bas de page
Auteur	Sujet : Comment vider le suivi des connexion du netfilter ?

fioul666

?

car si on fait un netstat ave la mule .c assez folclo, et a la reconnexion du soft le port 4662 est ..pris bien evidement !!

Message édité par fioul666 le 07-03-2004 à 13:21:01

Publicité

farib

Simple : la mule c'est de la merde, ça passe son temps à ouvrir des dizaines de connections et à blablater.

---------------
Bitcoin, Magical Thinking, and Political Ideology

fioul666

farib a écrit :

Simple : la mule c'est de la merde, ça passe son temps à ouvrir des dizaines de connections et à blablater.

t'as mieux ?

ps : ca n'empehe que hors mule le vidage du conntrack m'interesse....

ipnoz

Sapé comme jamais !

drapo , ca m'interesse aussi . J'ai jamais trouvé de reponse ...

fioul666

up pour les connoisseurs(es) !

udok

La racaille des barbus ©clémen

perso j'utilise pas le conntrack pour éviter ce genre de prob justement [:spamafote]
j'utilise les flag syn ... c'est un poil moins bien m'enfin ça me suffit

---------------
Non au projet de loi DADVSI ! (droits d'auteurs)

fioul666

udok a écrit :

perso j'utilise pas le conntrack pour éviter ce genre de prob justement [:spamafote]
j'utilise les flag syn ... c'est un poil moins bien m'enfin ça me suffit

quoiK ? :heink:
si tu fais du netfilter comment peux tu faire l'impasse sur le module *_conntrack_* ??

Il est partout !!!

fait un lsmod et reformule ta Phrase ...

Message édité par fioul666 le 08-03-2004 à 09:03:51

ZeBib

4tus

Je suis interessé aussi même si je pense que ce n'est pas faisable.
Netfilter étant statefull il garde les connexions en cours....

Mais si qqn a une solution je suis preneur

western

AJMM

/etc/init.d/iptables clear
ou restart
ou ...

fioul666

Zebib a écrit :

Je suis interessé aussi même si je pense que ce n'est pas faisable.
Netfilter étant statefull il garde les connexions en cours....

Mais si qqn a une solution je suis preneur

si c forcément possible.

car les connexion en cour sont dans /proc/syst ... (je sais plus ou) mais elle sont la !

Publicité

udok

La racaille des barbus ©clémen

fioul666 a écrit :

quoiK ? :heink:
si tu fais du netfilter comment peux tu faire l'impasse sur le module *_conntrack_* ??

Il est partout !!!

fait un lsmod et reformule ta Phrase ...

697 415K ACCEPT tcp -- ppp0 any anywhere anywhere tcp flags:!SYN,RST,ACK/SYN

---------------
Non au projet de loi DADVSI ! (droits d'auteurs)

fioul666

ca se passe la :

Code :

Apparently your ip_conntrack table is full, you can review your table
with:
# cat /proc/net/ip_conntrack
The max number of connections is set in
# cat /proc/sys/net/ipv4/ip_conntrack_max
You can increase it with:
# echo "some_number" > /proc/sys/net/ipv4/ip_conntrack_max
Which might resolve your problem.

en clair c ca :
cat /proc/net/ip_conntrack

et sur la ipcop 1.3 ben ma connexion est saturé à 8192 !!!
c quoi cette distro fw de merde !!!!

je vais reassayé la mnf sinon je vais tout refaire moi meme et en route un mdk 9.2 secure ...

lamentable ... pour une distro spécialisé

udok

La racaille des barbus ©clémen

ma regle elle te plait pas ?
c'est suffisant pourtant

---------------
Non au projet de loi DADVSI ! (droits d'auteurs)

fioul666

udok a écrit :

ma regle elle te plait pas ?
c'est suffisant pourtant

si si udok ... mais

treve de rire : ipcop c pourri ! j'ai perdu une aprem pour voir un ip_conntrack saturé c quoi cette distro de bouze!! :fou:

udok

La racaille des barbus ©clémen

fioul666 a écrit :

si si udok ... mais

hmmm ? y-a pas que le conntrack dans la vie
t'as une connection de merde et tu craches sur ta distro apres
si ton système suit pas, inutile de continuer à utiliser le conntrack
et sinon à part que ta table est rempli, ça fait des effets secondaires ?

---------------
Non au projet de loi DADVSI ! (droits d'auteurs)

fioul666

udok a écrit :

ouaih , y'a plus d'accés web etc ...

connexion de m... perso je download à 762 Ko/s ... (freebouze) effectivment c une connect de m ... :lol: :lol:

udok

La racaille des barbus ©clémen

ah c'est sur un freebox, bah voilà [:rofl]
la freebox supporte les haut débit mais c'est pas pour ça qu'elle supporte les grands nombres de connexions simultanées

---------------
Non au projet de loi DADVSI ! (droits d'auteurs)

fioul666

udok a écrit :

ah c'est sur un freebox, bah voilà [:rofl]
la freebox supporte les haut débit mais c'est pas pour ça qu'elle supporte les grands nombres de connexions simultanées

t'as rien capté toi c pas la freebox c l'ipcop qui par defaut n'encaisse pas les forts nombre de connect : ca veut dire qd entrprise c meme pas la peine !!

ps : pour info la freebox est (entre autre) un bridge avec dhcprelay ... elle ne gere aucun suivi de connect . :lol:

udok

La racaille des barbus ©clémen

fioul666 a écrit :

je sais bien qu'elle gère pas les connex mais elle gère les connex quand même et elle tient pas la charge stou [:mrbrelle]

---------------
Non au projet de loi DADVSI ! (droits d'auteurs)

fioul666

udok a écrit :

je sais bien qu'elle gère pas les connex mais elle gère les connex quand même et elle tient pas la charge stou [:mrbrelle]

allez bisous udok : :hello:

udok

La racaille des barbus ©clémen

fioul666 a écrit :

allez bisous udok : :hello:

bonne chance pour régler ton pb jamiroq :hello:

---------------
Non au projet de loi DADVSI ! (droits d'auteurs)

fioul666

udok a écrit :

bonne chance pour régler ton pb jamiroq :hello:

merci.

udok

La racaille des barbus ©clémen

fioul666 a écrit :

merci.

de rien, tout le plaisir est pour moi [:romf]

---------------
Non au projet de loi DADVSI ! (droits d'auteurs)

ipnoz

Sapé comme jamais !

fioul666 a écrit :

ca se passe la :

Code :

Apparently your ip_conntrack table is full, you can review your table
with:
# cat /proc/net/ip_conntrack
The max number of connections is set in
# cat /proc/sys/net/ipv4/ip_conntrack_max
You can increase it with:
# echo "some_number" > /proc/sys/net/ipv4/ip_conntrack_max
Which might resolve your problem.

je crois pas que se soit ipcop qui limite le nb. de connection , mais le noyau en fonction de ta ram . Enfin , j'avais lu un truc comme ca sur le net .

En tout cas , c'est pas la distro. qui choisit de limiter le nb. max

GUG

iptables -A allowed -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT

Voila, et faut pas mettre NEW car justement ca entraine ce comportement d'iptables

udok

La racaille des barbus ©clémen

GUG a écrit :

iptables -A allowed -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT

Voila, et faut pas mettre NEW car justement ca entraine ce comportement d'iptables

[:rofl2]
t'es sur de toi là ? [:god]

---------------
Non au projet de loi DADVSI ! (droits d'auteurs)

void_ppc

ipnoz a écrit :

je crois pas que se soit ipcop qui limite le nb. de connection , mais le noyau en fonction de ta ram . Enfin , j'avais lu un truc comme ca sur le net .

En tout cas , c'est pas la distro. qui choisit de limiter le nb. max

:jap:

dans net/ipv4/netfilter/ip_conntrack_core.c :

Code :

/* Idea from tcp.c: use 1/16384 of memory. On i386: 32MB
* machine has 256 buckets. >= 1GB machines have 8192 buckets. */
if (hashsize) {
ip_conntrack_htable_size = hashsize;
} else {
ip_conntrack_htable_size
= (((num_physpages << PAGE_SHIFT) / 16384)
/ sizeof(struct list_head));
if (num_physpages > (1024 * 1024 * 1024 / PAGE_SIZE))
ip_conntrack_htable_size = 8192;
if (ip_conntrack_htable_size < 16)
ip_conntrack_htable_size = 16;
}
ip_conntrack_max = 8 * ip_conntrack_htable_size;

Donc pour le monsieur qui braille que la distri elle pue, gnagna, bin pour un usage courant le nb max de connexions masqueradées est suffisant, et si il veut l'augmenter il suffit de mettre un bête "echo 32768 > /proc/sys/net/ipv4/ip_conntrack_max " dans un fichier exécuté au boot.

Et déjà, c'est bien beau d'avoir une distri sécurisée si on est pas foutu de lire une doc.

udok

La racaille des barbus ©clémen

void_ppc a écrit :

:jap:

dans net/ipv4/netfilter/ip_conntrack_core.c :

Code :

/* Idea from tcp.c: use 1/16384 of memory. On i386: 32MB
* machine has 256 buckets. >= 1GB machines have 8192 buckets. */
if (hashsize) {
ip_conntrack_htable_size = hashsize;
} else {
ip_conntrack_htable_size
= (((num_physpages << PAGE_SHIFT) / 16384)
/ sizeof(struct list_head));
if (num_physpages > (1024 * 1024 * 1024 / PAGE_SIZE))
ip_conntrack_htable_size = 8192;
if (ip_conntrack_htable_size < 16)
ip_conntrack_htable_size = 16;
}
ip_conntrack_max = 8 * ip_conntrack_htable_size;

c'est jamiroq aussi [:mrbrelle]

je suggere ça :

net/ipv4/ip_conntrack_max=32768

dans /etc/sysctl.conf
vu que c'est fait pour, autant l'utiliser

---------------
Non au projet de loi DADVSI ! (droits d'auteurs)

void_ppc

voilà :jap:

fioul666

void_ppc a écrit :

:jap:

dans net/ipv4/netfilter/ip_conntrack_core.c :

Code :

/* Idea from tcp.c: use 1/16384 of memory. On i386: 32MB
* machine has 256 buckets. >= 1GB machines have 8192 buckets. */
if (hashsize) {
ip_conntrack_htable_size = hashsize;
} else {
ip_conntrack_htable_size
= (((num_physpages << PAGE_SHIFT) / 16384)
/ sizeof(struct list_head));
if (num_physpages > (1024 * 1024 * 1024 / PAGE_SIZE))
ip_conntrack_htable_size = 8192;
if (ip_conntrack_htable_size < 16)
ip_conntrack_htable_size = 16;
}
ip_conntrack_max = 8 * ip_conntrack_htable_size;

toi t'as rien capté ...
evidement que le echo 32762 > /proc .... etc je sais faire !! :fou:

le pb n'est pas la , sur ipcop ce param est à 8192 c carrément insuffisant !! c tout
De base sur mdk (pas distrib secure et dedié routage filtrage etc..) les dev . l'ont mis à 32762 ... point barre.

void_ppc

fioul666 a écrit :

tête de noeud, puisque tu sais où et comment le régler, pourquoi tu chie une pendule ?

stupidduck

*prout* ding-dong :jap:

ps : pour détendre un peu l'athmosphère...

edit : :lol: , pas fait expres

Message édité par stupidduck le 08-03-2004 à 21:43:03

fioul666

void_ppc a écrit :

tête de noeud, puisque tu sais où et comment le régler, pourquoi tu chie une pendule ?

because je cherche la distro secu qui tue
et c pas le perou ...

dis toi qd meme que ma mule a eclater ipcop a cause de ce bug !
eclater = mettre au tas, pile a genoux ..pluqs rien en reqsal quoi :lol: :pt1cable:

ipnoz

Sapé comme jamais !

fioul666 a écrit :

pas vraiment eclaté , juste que le nb. max a été atteint , donc plus moyen d'etablir de connection tant que le nombre de connection n'a pas diminué. C'est pas la meme chose .

void_ppc

fioul666 a écrit :

pas bug, oubli

Envoi donc un mail sur la ML fr d'ipcop :
http://www.ipcop.org/cgi-bin/twiki [...] ingListsfr

Je suis sûr qu'ils seraient content de proposer ce réglage quelque part dans les outils de config

ipnoz

Sapé comme jamais !

GUG a écrit :

iptables -A allowed -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT

Voila, et faut pas mettre NEW car justement ca entraine ce comportement d'iptables

tiens j'ai pas capté la :??:

c'est quoi ce allowed :??:

de quel comportement d'iptables tu parle :??:

c'est pour remplacer le conntrack ?

GUG

udok a écrit :

[:rofl2]
t'es sur de toi là ? [:god]

[/citation] euh oui presque :whistle: [:buzzmoon] [:crusty128]

Mjules

Modérateur
Parle dans le vide

fioul666 a écrit :

le pb n'est pas la , sur ipcop ce param est à 8192 c carrément insuffisant !! c tout
De base sur mdk (pas distrib secure et dedié routage filtrage etc..) les dev . l'ont mis à 32762 ... point barre.

[jules@tue_amour jules]$ cat /proc/sys/net/ipv4/ip_conntrack_max
16384

Mandrake 9.0 sans tuning du conntrack :whistle:

---------------
Celui qui pose une question est idiot 5 minutes. Celui qui n'en pose pas le reste toute sa vie. | Membre du grand complot pharmaceutico-médico-scientifico-judéo-maçonnique.

fioul666

void_ppc a écrit :

j'ose pas je me sens pas encore a la hauteur de rapporter des bugs.
et c pas de conneries, style "ouaih ca deconne" et l'autre te dit "mais non coco ...tu sais pas faire" ...

fioul666

Mjules a écrit :

[jules@tue_amour jules]$ cat /proc/sys/net/ipv4/ip_conntrack_max
16384

Mandrake 9.0 sans tuning du conntrack :whistle:

pas sur 9.2 ma poule

Publicité

Page : 1 2

Page Suivante

Page Précédente

Haut de page

FORUM HardWare.fr

Linux et OS Alternatifs

réseaux et sécurité

Comment vider le suivi des connexion du netfilter ?

Sujets relatifs
Comment vider automatiquement le spooler	[gentoo] install sans connexion
partage connexion adsl winxp déconnexion de l'acces a distance	[RECHERCHE] Connexion CVS à travers un Proxy/Firewall
[FreeBSD 5.2] Partage connexion	Problème connexion avec noyau 2.6.3
Question bête : connexion refusée	connexion internet (sous mandrake -gnome)
[Debian] Prob connexion	Connaitre le temps de connexion sur Linux / Mandrake
Plus de sujets relatifs à : Comment vider le suivi des connexion du netfilter ?

Page générée en 0.151 secondes