Dotaz: ip_conntrack: table full, dropping packet

[super_luser]

Zdravim. Mohol by mi niekto objasnit o co ide? Predpokladam, ze "table" bude tabluka spojeni. Mozem k tomu dojst na 1 domacom PC (pri nmapovani siete, dial-up)?

[root@luser /root]# cat /proc/sys/net/ipv4/ip_conntrack_max
2048

[root@luser /root]# wc -l /proc/net/ip_conntrack
   1941 /proc/net/ip_conntrack

Je to chyba? Co vlasne dropuje? Nove spojenie, al. uz vytvorene? Ako zistim co droplo? Ako to odstranit? Dal som logovat pripojenia na port 80, ale tie logy mi hadze rovno na konzolu. RH6.2, nejaky update mdk7.2, kernel 2.4.21, iptables 1.2.5 Kde sa o tychto veciach docitam nieco podrobnejsie? V Doc k jadru som sa vela nedozvedel. Vdaka.

Odpovědi

[unchallenger]

Ta hodnota je nastavitelná, takže zkus něco jako

echo 65528 >/proc/sys/net/ipv4/ip_conntrack_max

Dropnou se pakety nových spojení, když už není v tabulce místo, aby se zapamatovalo další spojení.

[superluser]

Vdaka. Myslel som to tak. Este to vypisovanei tej hlasky na konzolu. Ako to urobit, aby to logovalo len do syslogu a nehadzalo na konzolu? A este to logovanie drop paketov (ale aj o celych iptables). Kde sa o tom dozviem viac?

[rastos]

target LOG loguje pomocou systému syslog. To kam to syslog pošle sa definuje v syslog.conf (spravidla v adresári /etc).

Alternativne môžeš použiť target ULOG, ktorý to môže písať napr. aj do databázy.

[petr_p]

Je mozne pres nejake ioctl tu tabulku nasilne vyprazdnit?

[Ruda]

Je to možné?

[Karsoft]

Ahoj, snad jsem nasel na netu zpusob, jak to vycistit.

http://lists.netfilter.org/pipermail/netfilter/2003-June/045094.html

ja mel problem s ping: sendmsg: Operation not permitted

[Heron]

Co na tom děláš, že máš 2000 connectů?

[Lubos Kopecky]

Ja s tim mel ten samej problem - od nejake doby se mi zacly hromadit spojeni - a delal mi to na serveru apache, pac je nedokazal vykillovat - problem mi vyresil apache2.

[Petr Šobáň]

Jinak co si taky přečíst ip_conntrack neunosny pocet spojeni

ip_conntrack_max, ip_conntrack_tcp_timeout_established