Comment vider le suivi des connexion du netfilter ?

Marsh Posté le 07-03-2004 à 13:18:22

?

car si on fait un netstat ave la mule .c assez folclo, et a la reconnexion du soft le port 4662 est ..pris bien evidement !!

Message édité par fioul666 le 07-03-2004 à 13:21:01

Reply

Marsh Posté le 07-03-2004 à 13:18:22

Reply

Marsh Posté le 07-03-2004 à 13:58:12

Simple : la mule c'est de la merde, ça passe son temps à ouvrir des dizaines de connections et à blablater.

---------------
Bitcoin, Magical Thinking, and Political Ideology

Reply

Marsh Posté le 07-03-2004 à 14:20:24

farib a écrit :

Simple : la mule c'est de la merde, ça passe son temps à ouvrir des dizaines de connections et à blablater.

t'as mieux ?

ps : ca n'empehe que hors mule le vidage du conntrack m'interesse....

Reply

Marsh Posté le 07-03-2004 à 14:39:43

drapo , ca m'interesse aussi . J'ai jamais trouvé de reponse ...

Reply

Marsh Posté le 08-03-2004 à 01:07:33

up pour les connoisseurs(es) !

Reply

Marsh Posté le 08-03-2004 à 02:16:29

perso j'utilise pas le conntrack pour éviter ce genre de prob justement [:spamafote]
j'utilise les flag syn ... c'est un poil moins bien m'enfin ça me suffit

---------------
Non au projet de loi DADVSI ! (droits d'auteurs)

Reply

Marsh Posté le 08-03-2004 à 09:03:38

udok a écrit :

perso j'utilise pas le conntrack pour éviter ce genre de prob justement [:spamafote]
j'utilise les flag syn ... c'est un poil moins bien m'enfin ça me suffit

quoiK ? :heink:
si tu fais du netfilter comment peux tu faire l'impasse sur le module *_conntrack_* ??

Il est partout !!!

fait un lsmod et reformule ta Phrase ...

Message édité par fioul666 le 08-03-2004 à 09:03:51

Reply

Marsh Posté le 08-03-2004 à 10:39:34

Je suis interessé aussi même si je pense que ce n'est pas faisable.
Netfilter étant statefull il garde les connexions en cours....

Mais si qqn a une solution je suis preneur

Reply

Marsh Posté le 08-03-2004 à 11:45:00

/etc/init.d/iptables clear
ou restart
ou ...

Reply

Marsh Posté le 08-03-2004 à 12:04:34

Zebib a écrit :

Je suis interessé aussi même si je pense que ce n'est pas faisable.
Netfilter étant statefull il garde les connexions en cours....

Mais si qqn a une solution je suis preneur

si c forcément possible.

car les connexion en cour sont dans /proc/syst ... (je sais plus ou) mais elle sont la !

Reply

Marsh Posté le 08-03-2004 à 12:04:34

Reply

Marsh Posté le 08-03-2004 à 13:15:46

fioul666 a écrit :

quoiK ? :heink:
si tu fais du netfilter comment peux tu faire l'impasse sur le module *_conntrack_* ??

Il est partout !!!

fait un lsmod et reformule ta Phrase ...

697 415K ACCEPT tcp -- ppp0 any anywhere anywhere tcp flags:!SYN,RST,ACK/SYN

---------------
Non au projet de loi DADVSI ! (droits d'auteurs)

Reply

Marsh Posté le 08-03-2004 à 14:55:09

ca se passe la :

Code :

Apparently your ip_conntrack table is full, you can review your table
with:
# cat /proc/net/ip_conntrack
The max number of connections is set in
# cat /proc/sys/net/ipv4/ip_conntrack_max
You can increase it with:
# echo "some_number" > /proc/sys/net/ipv4/ip_conntrack_max
Which might resolve your problem.

en clair c ca :
cat /proc/net/ip_conntrack

et sur la ipcop 1.3 ben ma connexion est saturé à 8192 !!!
c quoi cette distro fw de merde !!!!

je vais reassayé la mnf sinon je vais tout refaire moi meme et en route un mdk 9.2 secure ...

lamentable ... pour une distro spécialisé

Reply

Marsh Posté le 08-03-2004 à 15:14:15

ma regle elle te plait pas ?
c'est suffisant pourtant

---------------
Non au projet de loi DADVSI ! (droits d'auteurs)

Reply

Marsh Posté le 08-03-2004 à 15:17:03

udok a écrit :

ma regle elle te plait pas ?
c'est suffisant pourtant

si si udok ... mais

treve de rire : ipcop c pourri ! j'ai perdu une aprem pour voir un ip_conntrack saturé c quoi cette distro de bouze!! :fou:

Reply

Marsh Posté le 08-03-2004 à 15:19:13

fioul666 a écrit :

si si udok ... mais

hmmm ? y-a pas que le conntrack dans la vie
t'as une connection de merde et tu craches sur ta distro apres
si ton système suit pas, inutile de continuer à utiliser le conntrack
et sinon à part que ta table est rempli, ça fait des effets secondaires ?

---------------
Non au projet de loi DADVSI ! (droits d'auteurs)

Reply

Marsh Posté le 08-03-2004 à 15:21:03

udok a écrit :

hmmm ? y-a pas que le conntrack dans la vie
t'as une connection de merde et tu craches sur ta distro apres
si ton système suit pas, inutile de continuer à utiliser le conntrack
et sinon à part que ta table est rempli, ça fait des effets secondaires ?

ouaih , y'a plus d'accés web etc ...

connexion de m... perso je download à 762 Ko/s ... (freebouze) effectivment c une connect de m ... :lol: :lol:

Reply

Marsh Posté le 08-03-2004 à 15:32:18

ah c'est sur un freebox, bah voilà [:rofl]
la freebox supporte les haut débit mais c'est pas pour ça qu'elle supporte les grands nombres de connexions simultanées

---------------
Non au projet de loi DADVSI ! (droits d'auteurs)

Reply

Marsh Posté le 08-03-2004 à 15:39:38

udok a écrit :

ah c'est sur un freebox, bah voilà [:rofl]
la freebox supporte les haut débit mais c'est pas pour ça qu'elle supporte les grands nombres de connexions simultanées

t'as rien capté toi c pas la freebox c l'ipcop qui par defaut n'encaisse pas les forts nombre de connect : ca veut dire qd entrprise c meme pas la peine !!

ps : pour info la freebox est (entre autre) un bridge avec dhcprelay ... elle ne gere aucun suivi de connect . :lol:

Reply

Marsh Posté le 08-03-2004 à 15:42:47

fioul666 a écrit :

t'as rien capté toi c pas la freebox c l'ipcop qui par defaut n'encaisse pas les forts nombre de connect : ca veut dire qd entrprise c meme pas la peine !!

ps : pour info la freebox est (entre autre) un bridge avec dhcprelay ... elle ne gere aucun suivi de connect . :lol:

je sais bien qu'elle gère pas les connex mais elle gère les connex quand même et elle tient pas la charge stou [:mrbrelle]

---------------
Non au projet de loi DADVSI ! (droits d'auteurs)

Reply

Marsh Posté le 08-03-2004 à 15:43:31

udok a écrit :

je sais bien qu'elle gère pas les connex mais elle gère les connex quand même et elle tient pas la charge stou [:mrbrelle]

allez bisous udok : :hello:

Reply

Marsh Posté le 08-03-2004 à 15:47:07

fioul666 a écrit :

allez bisous udok : :hello:

bonne chance pour régler ton pb jamiroq :hello:

---------------
Non au projet de loi DADVSI ! (droits d'auteurs)

Reply

Marsh Posté le 08-03-2004 à 16:03:25

udok a écrit :

bonne chance pour régler ton pb jamiroq :hello:

merci.

Reply

Marsh Posté le 08-03-2004 à 16:06:40

fioul666 a écrit :

merci.

de rien, tout le plaisir est pour moi [:romf]

---------------
Non au projet de loi DADVSI ! (droits d'auteurs)

Reply

Marsh Posté le 08-03-2004 à 20:06:23

fioul666 a écrit :

ca se passe la :

Code :

Apparently your ip_conntrack table is full, you can review your table
with:
# cat /proc/net/ip_conntrack
The max number of connections is set in
# cat /proc/sys/net/ipv4/ip_conntrack_max
You can increase it with:
# echo "some_number" > /proc/sys/net/ipv4/ip_conntrack_max
Which might resolve your problem.

en clair c ca :
cat /proc/net/ip_conntrack

et sur la ipcop 1.3 ben ma connexion est saturé à 8192 !!!
c quoi cette distro fw de merde !!!!

je vais reassayé la mnf sinon je vais tout refaire moi meme et en route un mdk 9.2 secure ...

lamentable ... pour une distro spécialisé

je crois pas que se soit ipcop qui limite le nb. de connection , mais le noyau en fonction de ta ram . Enfin , j'avais lu un truc comme ca sur le net .

En tout cas , c'est pas la distro. qui choisit de limiter le nb. max

Reply

Marsh Posté le 08-03-2004 à 20:43:20

iptables -A allowed -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT

Voila, et faut pas mettre NEW car justement ca entraine ce comportement d'iptables

Reply

Marsh Posté le 08-03-2004 à 20:49:22

GUG a écrit :

iptables -A allowed -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT

Voila, et faut pas mettre NEW car justement ca entraine ce comportement d'iptables

[:rofl2]
t'es sur de toi là ? [:god]

---------------
Non au projet de loi DADVSI ! (droits d'auteurs)

Reply

Marsh Posté le 08-03-2004 à 20:51:22

ipnoz a écrit :

je crois pas que se soit ipcop qui limite le nb. de connection , mais le noyau en fonction de ta ram . Enfin , j'avais lu un truc comme ca sur le net .

En tout cas , c'est pas la distro. qui choisit de limiter le nb. max

:jap:

dans net/ipv4/netfilter/ip_conntrack_core.c :

Code :

/* Idea from tcp.c: use 1/16384 of memory. On i386: 32MB
* machine has 256 buckets. >= 1GB machines have 8192 buckets. */
if (hashsize) {
ip_conntrack_htable_size = hashsize;
} else {
ip_conntrack_htable_size
= (((num_physpages << PAGE_SHIFT) / 16384)
/ sizeof(struct list_head));
if (num_physpages > (1024 * 1024 * 1024 / PAGE_SIZE))
ip_conntrack_htable_size = 8192;
if (ip_conntrack_htable_size < 16)
ip_conntrack_htable_size = 16;
}
ip_conntrack_max = 8 * ip_conntrack_htable_size;

Donc pour le monsieur qui braille que la distri elle pue, gnagna, bin pour un usage courant le nb max de connexions masqueradées est suffisant, et si il veut l'augmenter il suffit de mettre un bête "echo 32768 > /proc/sys/net/ipv4/ip_conntrack_max " dans un fichier exécuté au boot.

Et déjà, c'est bien beau d'avoir une distri sécurisée si on est pas foutu de lire une doc.

Reply

Marsh Posté le 08-03-2004 à 20:57:00

void_ppc a écrit :

:jap:

dans net/ipv4/netfilter/ip_conntrack_core.c :

Code :

/* Idea from tcp.c: use 1/16384 of memory. On i386: 32MB
* machine has 256 buckets. >= 1GB machines have 8192 buckets. */
if (hashsize) {
ip_conntrack_htable_size = hashsize;
} else {
ip_conntrack_htable_size
= (((num_physpages << PAGE_SHIFT) / 16384)
/ sizeof(struct list_head));
if (num_physpages > (1024 * 1024 * 1024 / PAGE_SIZE))
ip_conntrack_htable_size = 8192;
if (ip_conntrack_htable_size < 16)
ip_conntrack_htable_size = 16;
}
ip_conntrack_max = 8 * ip_conntrack_htable_size;

Donc pour le monsieur qui braille que la distri elle pue, gnagna, bin pour un usage courant le nb max de connexions masqueradées est suffisant, et si il veut l'augmenter il suffit de mettre un bête "echo 32768 > /proc/sys/net/ipv4/ip_conntrack_max " dans un fichier exécuté au boot.

Et déjà, c'est bien beau d'avoir une distri sécurisée si on est pas foutu de lire une doc.

c'est jamiroq aussi [:mrbrelle]

je suggere ça :

net/ipv4/ip_conntrack_max=32768

dans /etc/sysctl.conf
vu que c'est fait pour, autant l'utiliser

---------------
Non au projet de loi DADVSI ! (droits d'auteurs)

Reply

Marsh Posté le 08-03-2004 à 20:59:17

voilà :jap:

Reply

Marsh Posté le 08-03-2004 à 21:33:13

void_ppc a écrit :

:jap:

dans net/ipv4/netfilter/ip_conntrack_core.c :

Code :

/* Idea from tcp.c: use 1/16384 of memory. On i386: 32MB
* machine has 256 buckets. >= 1GB machines have 8192 buckets. */
if (hashsize) {
ip_conntrack_htable_size = hashsize;
} else {
ip_conntrack_htable_size
= (((num_physpages << PAGE_SHIFT) / 16384)
/ sizeof(struct list_head));
if (num_physpages > (1024 * 1024 * 1024 / PAGE_SIZE))
ip_conntrack_htable_size = 8192;
if (ip_conntrack_htable_size < 16)
ip_conntrack_htable_size = 16;
}
ip_conntrack_max = 8 * ip_conntrack_htable_size;

Donc pour le monsieur qui braille que la distri elle pue, gnagna, bin pour un usage courant le nb max de connexions masqueradées est suffisant, et si il veut l'augmenter il suffit de mettre un bête "echo 32768 > /proc/sys/net/ipv4/ip_conntrack_max " dans un fichier exécuté au boot.

Et déjà, c'est bien beau d'avoir une distri sécurisée si on est pas foutu de lire une doc.

toi t'as rien capté ...
evidement que le echo 32762 > /proc .... etc je sais faire !! :fou:

le pb n'est pas la , sur ipcop ce param est à 8192 c carrément insuffisant !! c tout
De base sur mdk (pas distrib secure et dedié routage filtrage etc..) les dev . l'ont mis à 32762 ... point barre.

Reply

Marsh Posté le 08-03-2004 à 21:39:57

fioul666 a écrit :

toi t'as rien capté ...
evidement que le echo 32762 > /proc .... etc je sais faire !! :fou:

le pb n'est pas la , sur ipcop ce param est à 8192 c carrément insuffisant !! c tout
De base sur mdk (pas distrib secure et dedié routage filtrage etc..) les dev . l'ont mis à 32762 ... point barre.

tête de noeud, puisque tu sais où et comment le régler, pourquoi tu chie une pendule ?

Reply

Marsh Posté le 08-03-2004 à 21:42:41

*prout* ding-dong :jap:

ps : pour détendre un peu l'athmosphère...

edit : :lol: , pas fait expres

Message édité par stupidduck le 08-03-2004 à 21:43:03

Reply

Marsh Posté le 08-03-2004 à 21:43:01

void_ppc a écrit :

tête de noeud, puisque tu sais où et comment le régler, pourquoi tu chie une pendule ?

because je cherche la distro secu qui tue
et c pas le perou ...

dis toi qd meme que ma mule a eclater ipcop a cause de ce bug !
eclater = mettre au tas, pile a genoux ..pluqs rien en reqsal quoi :lol: :pt1cable:

Reply

Marsh Posté le 08-03-2004 à 21:50:22

fioul666 a écrit :

because je cherche la distro secu qui tue
et c pas le perou ...

dis toi qd meme que ma mule a eclater ipcop a cause de ce bug !
eclater = mettre au tas, pile a genoux ..pluqs rien en reqsal quoi :lol: :pt1cable:

pas vraiment eclaté , juste que le nb. max a été atteint , donc plus moyen d'etablir de connection tant que le nombre de connection n'a pas diminué. C'est pas la meme chose .

Reply

Marsh Posté le 08-03-2004 à 21:51:40

fioul666 a écrit :

because je cherche la distro secu qui tue
et c pas le perou ...

dis toi qd meme que ma mule a eclater ipcop a cause de ce bug !
eclater = mettre au tas, pile a genoux ..pluqs rien en reqsal quoi :lol: :pt1cable:

pas bug, oubli

Envoi donc un mail sur la ML fr d'ipcop :
http://www.ipcop.org/cgi-bin/twiki [...] ingListsfr

Je suis sûr qu'ils seraient content de proposer ce réglage quelque part dans les outils de config

Reply

Marsh Posté le 08-03-2004 à 21:54:46

GUG a écrit :

iptables -A allowed -p TCP -m state --state ESTABLISHED,RELATED -j ACCEPT

Voila, et faut pas mettre NEW car justement ca entraine ce comportement d'iptables

tiens j'ai pas capté la :??:

c'est quoi ce allowed :??:

de quel comportement d'iptables tu parle :??:

c'est pour remplacer le conntrack ?

Reply

Marsh Posté le 08-03-2004 à 21:58:55

udok a écrit :

[:rofl2]
t'es sur de toi là ? [:god]

[/citation] euh oui presque :whistle: [:buzzmoon] [:crusty128]

Reply

Marsh Posté le 08-03-2004 à 22:05:51

fioul666 a écrit :

le pb n'est pas la , sur ipcop ce param est à 8192 c carrément insuffisant !! c tout
De base sur mdk (pas distrib secure et dedié routage filtrage etc..) les dev . l'ont mis à 32762 ... point barre.

[jules@tue_amour jules]$ cat /proc/sys/net/ipv4/ip_conntrack_max
16384

Mandrake 9.0 sans tuning du conntrack :whistle:

---------------
Celui qui pose une question est idiot 5 minutes. Celui qui n'en pose pas le reste toute sa vie. | Membre du grand complot pharmaceutico-médico-scientifico-judéo-maçonnique.

Reply

Marsh Posté le 08-03-2004 à 22:24:40

void_ppc a écrit :

pas bug, oubli

Envoi donc un mail sur la ML fr d'ipcop :
http://www.ipcop.org/cgi-bin/twiki [...] ingListsfr

Je suis sûr qu'ils seraient content de proposer ce réglage quelque part dans les outils de config

j'ose pas je me sens pas encore a la hauteur de rapporter des bugs.
et c pas de conneries, style "ouaih ca deconne" et l'autre te dit "mais non coco ...tu sais pas faire" ...

Reply

Marsh Posté le 08-03-2004 à 22:25:35

Mjules a écrit :

[jules@tue_amour jules]$ cat /proc/sys/net/ipv4/ip_conntrack_max
16384

Mandrake 9.0 sans tuning du conntrack :whistle:

pas sur 9.2 ma poule

Reply

Marsh Posté le

Reply

Comment vider le suivi des connexion du netfilter ?

Sujets relatifs:

Leave a Replay