Dotaz: zakazani conntrack na Ovislinku 1120

[Rozik]

Zdravim. V posledni dobe mi ovisek zacal propoustet "pingy", jak se mu zlibilo. Po nekolika resetech, ktere to vzdy vyresily, jsem zjistil z vypisu jadra, ze ma plnou conntrack tabulku. Nevite nekdo, jak prinutit Linux, aby ji vubec nepouzival? (Nat nepouzivam a preci jenom ten Ovislink ma jen 4MB RAM a tak se "zasekava" pomerne casto.) V ovislinku je firmware od Lukyce.

Odpovědi

[Rozik]

a jadro je tam 2.4.18-MIPS-01.00.

[Evka]

Zkus zjistit co tu tabulku plni, to je rozumnejsi nez hledat jak ji zrusit, predpokladam ze nejaky BUF ma vir a laduje na portu 139 nebo 445 nejaky vir bordel

[Rozik]

plni to DC protokol - bohuzel jsem si uz toho vedom...

[Rozik]

navic tu tabulku vazne nepotrebuju, protoze tam nat nepouzivam, takze je pro me rozumejsi ji vyradit z provozu, nez usmernovat tok paketu.

[Libor Klepac]

nestacilo by snizit ttl tech spojeni? ... take jsem s tim mel problemy, kdyz mi nekolikrat spadla emula a pokazde zanechala asi 400 spojeni, a ve vychozim stavu si to ta spojeni pamatuje asi tyden ;)

hledal bych v /proc/sys/net/ipv4/netfilter (soubor ip_conntrack_tcp_timeout_established) ... ale na 2.4 jadru nevim

[Rozik]

Tak nic takoveho jsem tam nenasel . Jedine, co znelo prijatelne je soubor ip_conntrack_max (to mi asi moc platne nebude, pac bych rekl, ze to akorat jeste vice omezim) a soubor ip_default_ttl, kde je hodnota 64 a netusim k cemu se vaze.

[kupe]

ako sa da znizit a zvysit TTL ? Dakujem

[Libor Klepac]

zapsanim hodnoty do toho souboru? samozrejme pokud existuje, ale obavam se ze to je zalezitost pouze novejsiho conntracku v 2.6 jadrech

[Rozik]

Nekde jsem slysel, ze se to da snad nejak zakazat pres iptables, ale nevite jak?

[zabza]

Stačí v pravidlech firewallu nepoužívat State extension (-m state). Ovšem jestli vám stačí stateless firewall, to netuším...

[Rozik]

Na tom oviskovi jsou iptables uplne prazdne. Firewall je az na routeru za nim .

[Rozik]

Nevite alespon, jak tu ip_conntrack table vyprazdnit? Zkousel jsem cat "" > /proc/net/ip_conntrack, ale to nezabira :(.

[kupe]

mozno

cat /dev/null > SUBOR

[Rozik]

To jsem si myslel taky, ale bohuzel - bud jej okamzite obnovi a oni se tam zpet zapisou, nebo se to proste neprovede. Take jsem to zkousel pres echo "" > soubor, coz melo stejny vysledek.

[Libor Klepac]

pokud je to jako modul tak mozna odebranim modulu, pokud nebude busy

[Rozik]

Bohuzel je ten modul zakompilovan jiz v jadre Take me to napadlo..., ale i tak diky moc za radu

[Rozik]

A jeste je hacek v tom, ze veze iptables je tam v1.2.6a,ktera neumi pracovat s IPTABLES -A XXX -m conntrack...

[Rozik]

a modul ip_conntrack je zakompilovan jiz v jadre