The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"iptables logging"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Открытые системы на сервере (Firewall, Фильтрация пакетов)
Изначальное сообщение [ Отслеживать ]

"iptables logging"  +/
Сообщение от core (ok) on 17-Янв-12, 14:38 
Здравствуйте господа.
Следующий вопрос:
Есть шлюз с пробросом портов на компьютер в локальной сети.
Так вот на этот компьютер порой проброшенные пакеты не доходят.
Когда делаю на шлюзе tcpdump то по его завершению получаю
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on eth1, link-type EN10MB (Ethernet), capture size 96 bytes
134 packets captured
15064 packets received by filter
14771 packets dropped by kernel

Что это за пакеты такие 14771 packets dropped by kernel ?
Можно ли как либо включить логирование дропнутых ядром пакетов средствами iptables ну или хотябы просмотреть при помощи tcpdump или еще как либо?


Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "iptables logging"  +/
Сообщение от Дядя_Федор on 17-Янв-12, 15:45 
> 134 packets captured
> 15064 packets received by filter
> 14771 packets dropped by kernel
> Что это за пакеты такие 14771 packets dropped by kernel ?

Читать документацию ( а конкретно man tcpdump) не пробовали? Говорят, что это очень часто помогает.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "iptables logging"  +/
Сообщение от anonymous (??) on 17-Янв-12, 16:04 
>[оверквотинг удален]
> Так вот на этот компьютер порой проброшенные пакеты не доходят.
> Когда делаю на шлюзе tcpdump то по его завершению получаю
> tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
> listening on eth1, link-type EN10MB (Ethernet), capture size 96 bytes
> 134 packets captured
> 15064 packets received by filter
> 14771 packets dropped by kernel
> Что это за пакеты такие 14771 packets dropped by kernel ?
> Можно ли как либо включить логирование дропнутых ядром пакетов средствами iptables ну
> или хотябы просмотреть при помощи tcpdump или еще как либо?

tcpdump -nn
Хотя чтение документации все равно настоятельно рекомендуется.
Есть куча отличных статей (не просто документации!), где все детально разжевано.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

3. "iptables logging"  +/
Сообщение от core (ok) on 17-Янв-12, 16:16 
>[оверквотинг удален]
>> listening on eth1, link-type EN10MB (Ethernet), capture size 96 bytes
>> 134 packets captured
>> 15064 packets received by filter
>> 14771 packets dropped by kernel
>> Что это за пакеты такие 14771 packets dropped by kernel ?
>> Можно ли как либо включить логирование дропнутых ядром пакетов средствами iptables ну
>> или хотябы просмотреть при помощи tcpdump или еще как либо?
> tcpdump -nn
> Хотя чтение документации все равно настоятельно рекомендуется.
> Есть куча отличных статей (не просто документации!), где все детально разжевано.

Ок. Это просто пакеты не поместившиеся в буфер тцпдампа, если я верно понял.
Но в любом случае проблема остается. На компьютер во внутренней сети пакеты пробрасываются не всегда. Как можно отследить подобное?

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

4. "iptables logging"  +/
Сообщение от Дядя_Федор on 17-Янв-12, 17:07 
> Ок. Это просто пакеты не поместившиеся в буфер тцпдампа, если я верно
> понял.

Неверно Вы поняли. Это пакеты, которые были помещены в буфер ядра, но не были обработаны тцпдампом по причине переполнения буфера (вариант - осуществлялся ДНС - резолвинг - поэтому Вам и предложили отключить его при помощи -n), отведенного ядром. В итоге эти пакеты были перезаписаны в буфере и не были обработаны тцпдампом.

> Но в любом случае проблема остается. На компьютер во внутренней сети пакеты
> пробрасываются не всегда. Как можно отследить подобное?

Что Вы понимаете под этими словами - лчино мне неведомо. Раскройте тему. Они, например, могут быть не "проброшены" по причине того, что на сетевой карте стоит большой поток и они просто дропаются - тут Вам ethtool в помощь. Они могут быть дропнуты Вашим файрволлом по той или иной причине - тут перед запрещающим правилом (DROP) можно поставить, например, -j LOG --log-prefix="DROPPED:" - тогда Вы отследите дропнутые пакеты (но только в случае, если их причиной было запрещающее правило файрволла). Собственно, в этом случае общую статистику можно увидеть напротив запрещающего правила, если выдать команду iptables -nvL INPUT (или FORWARD - если пакеты ходят во внутреннюю сеть через сервер).

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

5. "iptables logging"  +/
Сообщение от core (ok) on 17-Янв-12, 17:20 
>[оверквотинг удален]
>  Что Вы понимаете под этими словами - лчино мне неведомо. Раскройте
> тему. Они, например, могут быть не "проброшены" по причине того, что
> на сетевой карте стоит большой поток и они просто дропаются -
> тут Вам ethtool в помощь. Они могут быть дропнуты Вашим файрволлом
> по той или иной причине - тут перед запрещающим правилом (DROP)
> можно поставить, например, -j LOG --log-prefix="DROPPED:" - тогда Вы отследите дропнутые
> пакеты (но только в случае, если их причиной было запрещающее правило
> файрволла). Собственно, в этом случае общую статистику можно увидеть напротив запрещающего
> правила, если выдать команду iptables -nvL INPUT (или FORWARD - если
> пакеты ходят во внутреннюю сеть через сервер).

Я делал iptables -L -x -v по счетчикам есть несколько срабатываний на правилах которые делают DROP но это не совсем то.

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

6. "iptables logging"  +/
Сообщение от core (ok) on 17-Янв-12, 17:24 
>[оверквотинг удален]
>  Что Вы понимаете под этими словами - лчино мне неведомо. Раскройте
> тему. Они, например, могут быть не "проброшены" по причине того, что
> на сетевой карте стоит большой поток и они просто дропаются -
> тут Вам ethtool в помощь. Они могут быть дропнуты Вашим файрволлом
> по той или иной причине - тут перед запрещающим правилом (DROP)
> можно поставить, например, -j LOG --log-prefix="DROPPED:" - тогда Вы отследите дропнутые
> пакеты (но только в случае, если их причиной было запрещающее правило
> файрволла). Собственно, в этом случае общую статистику можно увидеть напротив запрещающего
> правила, если выдать команду iptables -nvL INPUT (или FORWARD - если
> пакеты ходят во внутреннюю сеть через сервер).

[root@gateway ~]# ethtool eth1
Settings for eth1:
        Supported ports: [ TP ]
        Supported link modes:   10baseT/Half 10baseT/Full
                                100baseT/Half 100baseT/Full
                                1000baseT/Full
        Supports auto-negotiation: Yes
        Advertised link modes:  10baseT/Half 10baseT/Full
                                100baseT/Half 100baseT/Full
                                1000baseT/Full
        Advertised auto-negotiation: Yes
        Speed: 1000Mb/s
        Duplex: Full
        Port: Twisted Pair
        PHYAD: 1
        Transceiver: internal
        Auto-negotiation: on
        Supports Wake-on: pumbag
        Wake-on: g
        Current message level: 0x00000001 (1)
        Link detected: yes

Если это может чем то помочь.

Они, например, могут быть не "проброшены" по причине того, что на сетевой карте стоит большой поток и они просто дропаются - тут Вам ethtool в помощь. - Как это проверить?

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

7. "iptables logging"  +/
Сообщение от Дядя_Федор on 17-Янв-12, 17:46 
> Они, например, могут быть не "проброшены" по причине того, что на сетевой
> карте стоит большой поток и они просто дропаются - тут Вам
> ethtool в помощь. - Как это проверить?

Буду банален, но man ethtool. Та информация, которую Вы выше привели - абсолютно бесполезна. Ну, разве что показывает, что карта на гиге стоит. Поток на инфтерфейсах показывает iptraf (например) - ну, или его новый клон - iptraf-ng. ifconfig показывает дропнутые (в том числе) пакеты. Попутно могу сказать, что пакеты могут (например) не дойти до внутренних машин (в LAN) - если применяется шейпинг и загрузка процессора велика, или очередь какого-нибудь HTB (или чего там в качестве дисциплины) мала.

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

8. "iptables logging"  +/
Сообщение от core (ok) on 17-Янв-12, 18:03 
>> Они, например, могут быть не "проброшены" по причине того, что на сетевой
>> карте стоит большой поток и они просто дропаются - тут Вам
>> ethtool в помощь. - Как это проверить?
>  Буду банален, но man ethtool. Та информация, которую Вы выше привели
> - абсолютно бесполезна. Ну, разве что показывает, что карта на гиге
> стоит. Поток на инфтерфейсах показывает iptraf (например) - ну, или его
> новый клон - iptraf-ng. ifconfig показывает дропнутые (в том числе) пакеты.
> Попутно могу сказать, что пакеты могут (например) не дойти до внутренних
> машин (в LAN) - если применяется шейпинг и загрузка процессора велика,
> или очередь какого-нибудь HTB (или чего там в качестве дисциплины) мала.

[root@gateway ~]# ifconfig
eth0      Link encap:Ethernet  HWaddr 00:E0:81:D4:DA:01
          inet addr:91.197.49.170  Bcast:91.197.49.175  Mask:255.255.255.248
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:27928876 errors:1 dropped:0 overruns:0 frame:1
          TX packets:8360001 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:9252091885 (8.6 GiB)  TX bytes:459525864 (438.2 MiB)
          Interrupt:177 Memory:f7be0000-f7c00000

eth1      Link encap:Ethernet  HWaddr 00:E0:81:D4:DA:02
          inet addr:91.197.48.90  Bcast:91.197.48.91  Mask:255.255.255.252
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:975755609 errors:2 dropped:0 overruns:0 frame:2
          TX packets:836150127 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:645441548598 (601.1 GiB)  TX bytes:215316370425 (200.5 GiB)
          Interrupt:169 Memory:f7ae0000-f7b00000

eth4      Link encap:Ethernet  HWaddr 00:1B:21:51:2F:08
          inet addr:192.168.0.1  Bcast:192.168.0.255  Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:429276126 errors:0 dropped:0 overruns:0 frame:0
          TX packets:451634654 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:123166572203 (114.7 GiB)  TX bytes:214753381677 (200.0 GiB)
          Memory:f8be0000-f8c00000

eth5      Link encap:Ethernet  HWaddr 00:1B:21:51:2F:09
          inet addr:192.168.1.1  Bcast:192.168.1.255  Mask:255.255.255.0
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:372642955 errors:0 dropped:0 overruns:0 frame:0
          TX packets:449583577 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:145357047623 (135.3 GiB)  TX bytes:474256967059 (441.6 GiB)
          Memory:f9ae0000-f9b00000

lo        Link encap:Local Loopback
          inet addr:127.0.0.1  Mask:255.0.0.0
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:5506 errors:0 dropped:0 overruns:0 frame:0
          TX packets:5506 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:444072 (433.6 KiB)  TX bytes:444072 (433.6 KiB)
Тут я так понимаю мы можем видеть что пакеты не дропаются аппаратно. Так?

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

9. "iptables logging"  +/
Сообщение от Дядя_Федор email on 17-Янв-12, 22:06 
> Тут я так понимаю мы можем видеть что пакеты не дропаются аппаратно.
> Так?

Ну - явно их не видно. :) А man ethtool так и остался неохвачен? Он намного больше информации дает. Правил iptables много? Шейпинг есть? Надо еще смотреть iptraf - параметр PPS (пакетов в секунду). Трафик может быть и небольшим, но с большим количеством мелких пакетов (пример, торренты). Практика показывает, что без дополнительного тюнинга роутеры на Линукс начинают терять пакеты где-то на величине порядка 30К PPS (вроде так у нас было - пока от софтовых роутеров не перешли на CISCO SCE-2000). От типов сетевых карт тоже очень сильно зависит способность "держания" большие сетевые нагрузки. Интеловские карты с большим количество аппаратных очередей показывают очень приличные показатели. Но и стоят недурно... А вообще - если у Вас речь идет о "гиговых" каналах - сетевой стек надо тюнить. Вроде статья по тюнингу была даже здесь - на опеннете.

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

10. "iptables logging"  +/
Сообщение от core (ok) on 18-Янв-12, 17:43 
>[оверквотинг удален]
> секунду). Трафик может быть и небольшим, но с большим количеством мелких
> пакетов (пример, торренты). Практика показывает, что без дополнительного тюнинга роутеры
> на Линукс начинают терять пакеты где-то на величине порядка 30К PPS
> (вроде так у нас было - пока от софтовых роутеров не
> перешли на CISCO SCE-2000). От типов сетевых карт тоже очень сильно
> зависит способность "держания" большие сетевые нагрузки. Интеловские карты с большим количество
> аппаратных очередей показывают очень приличные показатели. Но и стоят недурно... А
> вообще - если у Вас речь идет о "гиговых" каналах -
> сетевой стек надо тюнить. Вроде статья по тюнингу была даже здесь
> - на опеннете.

Сетевые карты интеловые и есть
модели сейчас не вспомню
но четырехпортовые гигабитные пси-е да там цены порядка тыщи уе за штуку.
Ладно будем пытаться охватить ethtool

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

11. "iptables logging"  +/
Сообщение от core (ok) on 18-Янв-12, 18:06 
>[оверквотинг удален]
> секунду). Трафик может быть и небольшим, но с большим количеством мелких
> пакетов (пример, торренты). Практика показывает, что без дополнительного тюнинга роутеры
> на Линукс начинают терять пакеты где-то на величине порядка 30К PPS
> (вроде так у нас было - пока от софтовых роутеров не
> перешли на CISCO SCE-2000). От типов сетевых карт тоже очень сильно
> зависит способность "держания" большие сетевые нагрузки. Интеловские карты с большим количество
> аппаратных очередей показывают очень приличные показатели. Но и стоят недурно... А
> вообще - если у Вас речь идет о "гиговых" каналах -
> сетевой стек надо тюнить. Вроде статья по тюнингу была даже здесь
> - на опеннете.

x Total rates:       2788.0 kbits/sec        Broadcast packets:            1                                                                                           x
x                     957.0 packets/sec      Broadcast bytes:             82                                                                                           x
x                                                                                                                                                                      x
x Incoming rates:    2211.7 kbits/sec                                                                                                                                  x
x                     497.4 packets/sec                                                                                                                                x
x                                            IP checksum errors:           0                                                                                           x
x Outgoing rates:     576.3 kbits/sec                                                                                                                                  x
x                     459.6 packets/sec  

Оно?

Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

12. "iptables logging"  +/
Сообщение от Дядя_Федор email on 18-Янв-12, 22:03 
> Оно?

Понятия не имею. Возможно - и "оно". А "оно" - это "что" должно быть? PPS - там мизер. Общего трафика - тоже с гулкин ...нос.


Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Спонсоры:
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2021 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру