Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!
Ogłoszenie
Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundacji Dzieciom zdazyć z Pomocą.
Więcej informacji na dug.net.pl/pomagamy/.
#1 2016-05-16 12:42:20
morfik - 
Cenzor wirtualnego świata
Reset tablicy conntrack
Orientuje się może ktoś jak zresetować tablicę conntracka? Chodzi generalnie o potrzebę usunięcia wszelkich połączeń znajdujących się w tej tablicy przy resetowaniu, czy też ponownym wczytywaniu, reguł iptables. Ten mechanizm co jest w OpenWRT potrafi czyścić tablicę conntracka ale niestety nie ma tam informacji na temat jak on to robi. Czyszczenie tej tablicy przy resetowaniu reguł, czy przy zakładaniu nowej polityki firewalla jest o tyle ważne, że czasem niektóre połączenia po takim resecie mogą być zaakceptowane, np. przez stan ESTABLISHED. Gdy ta tablica zostanie opróżniona, takie połączenie zostanie zablokowane i zrzucone. W efekcie host będzie musiał się jeszcze raz połączyć i zostanie zaakceptowany, jest nowa polityka reguł na to pozwoli.
___
Wygląda na to, że na debianie można to robić za pomocą pakietu conntrack w poniższy sposób:
Kod:
# conntrack -C 651 # conntrack -F conntrack v1.4.3 (conntrack-tools): connection tracking table has been emptied. # conntrack -C 0
Ciekawe czy jest jakiś inny sposób, bo na OpenWRT nie ma takiego narzędzia nawet. xD
Niby to działa na OpenWRT:
Kod:
# echo f > /proc/net/nf_conntrack
Tyle, że na debianie nie chce:
Kod:
# echo f > /proc/net/nf_conntrack echo: write error: Input/output error
Jakiś pomysł czemu nie wchodzi to powyższe polecenie?
Offline
#2 2016-05-16 19:47:27
Jacekalex - Podobno człowiek...;)
- Jacekalex
- Podobno człowiek...;)
- Skąd: /dev/random
- Zarejestrowany: 2008-01-07
Re: Reset tablicy conntrack
Po co resetować?
Ustaw sobie timeout przez sysctl, żeby się nie zapychała, i po krzyku.
Domyślna wartość timeout'u to chyba 1800, zmien na 300 sekund, powinno radykalnie pomóc.
W demokracji każdy naród ma taką władzę, na jaką zasługuje ;)
Si vis pacem para bellum ;) | Pozdrawiam :)
Offline
#3 2016-05-16 21:14:33
morfik - Cenzor wirtualnego świata
Re: Reset tablicy conntrack
Tu nie chodzi o zapychanie, tylko o ubijanie aktywnych sesji podczas przeładowywania polityki zapory. Mi się wydaje logiczne, że sesje nie powinny być aktywne, gdy zmieniasz reguły. W taki sposób przecie niektóre połączenia mogą być w stanie ESTABLISHED podczas aplikowania reguł. Tych reguł, które mają np. blokować pakiety w stanie NEW na jakiś port. Jeśli teraz masz połączenie w stanie ESTABLISHED, to ono dalej będzie aktywne po przeładowaniu zapory, a nie powinno. xD Dlatego moim zdaniem przy każdej zmianie polityki fw, powinna być czyszczona tablica conntracka, by te wszystkie aktywne połączenia przerobić na INVALID i zrzucić wymuszając tym jeszcze raz nawiązanie sesji, która przejdzie weryfikację w oparciu o nowe reguły iptables.
Offline