Dotaz: Firewall - zpomalení stránek

[sir Turbis]

Ahoj, na serveru provozuji několik služeb (FTP,WWW).

Nedávno jsem zjistil,že mám na 5.8 napojeno několik lidí na černo, bohužel na jádře 2.4 musím jet na starých ovladačích madwifi,které nemají mac filtr ani nic podobného..proto jsem se uráčil zakázat i vše co jde ze sítě ven a nastavil jsem pustit vše z IP adres,které jsou platící.

Problém se naskytl po spuštění firewallu, stránky se načítají dlouho,jinak vše funguje normálně...

Mohl by mi někdo poradit, jak upravit script,aby se načítaly normálně i stránky?

Ještě bych zapomněl, po spuštění firewallu se spustí HTB script, který mi dělí rychlost do IP,které už mám uvedené ve firewallu.

Zde je script firewallu a script omezení rychlosti.

Všem děkuji za pomoc.

Odpovědi

[Petr Šobáň]

Asi problém s portem 113

# Sluzbu AUTH neni dobre filtrovat pomoci DROP, protoze to muze
# vest k prodlevam pri navazovani nekterych spojeni. Proto jej
# sice zamitneme, ale tak, aby nedoslo k nezadoucim prodlevam.
$IPTABLES -A FORWARD -p TCP --dport 113 -j REJECT --reject-with tcp-reset #AUTH server

Tak podobně pro input a povolit v outputu.

[sir Turbis]

Tuto možnost jem zkoušel taky...nemá to s tím co společného...bohužel..

Podívejte se na traffic

máme jen 1Mbit linku a ty na černo připojení to sosají...když pustím firewall ustálí se to tak, jak má(odpojí je to), ale na ukor rychlosti stranek..necvíte co tedy s tím?

[Aldagautr]

pokud ti s tema ovladacema nejde WPA, tak to muzes resit treba pres OpenVPN

[:::]

ehm nejde se na ten server dostat, ani na www.vdffree.net ani na ten prvni, co jsi uvedl... ://

[Jiří Veselský]

Ten skript je děsně dlouhý a nechce se mi ho studovat, takže jenom takové obecné řeči, co mě jen tak napadlo:

• Různá "prahová" pravidla (syn-flood třeba) možná zahazujou i to, co nemají. Zkuste accountovat, kolik toho taková pravidla zahazují a případně to logovat, třeba omylem zahazujete spoustu oprávněného provozu.
• Fatální chyba nastavení - třeba nepovolujete provoz na svůj primární DNS a všechny dotazy vytimeoutují a realizuje je až sekundár. Zkuste si na tom firewallu spustit tcpdump na vnějším i vnitřním rozhraní se správnou filtrací, generovat ze třetího stroje nějaký provoz a koukněte, jestli oběma směry prochází vše, co by projít mělo.
• Používáte stavový firewall, takže (podle objemu a typu provozu) může docházet k přeplňování conntrack tabulky. Zmiňoval by se o tom syslog, případně rovnou zvětšete /proc/sys/net/ipv4/ip_conntrack_max.
• No a konečně ten firewall nemusí stíhat (stavový firewall je při větším provozu docela hodně náročný) - ověřte loadaverage, kolik má natočeno proces [ksoftirqd] a jestli ten stroj všeobecně reaguje např. při ssh tak svižně, jak by měl.

[Filip Jirsák]

Nepochopil jsem spojení firewallu a omezení rychlosti.

Pokud přidáváte omezení rychlosti až teď spolu s firewallem, nedivím se, že je omezena rychlost Na odpojení černochů stačí firewall.

Každopádně bych zkusil pustit jen firewall bez omezovače rychlosti, zda se budou stránky načítat správně.

Na firewallu pak doporučuji pustit tcpdump na vnitřní síťovce a na vnější a porovnávat, zda prochází vše co procházet má.

[sir Turbis]

Firewall a omezení rychlosti jsou dva navzájem nezávislé scripty..Jen firewall bez omezení rychlosti jsem taky zkoušel a výsledek byl stejný...jen díky zakázáním OUTPUT jsem docílil toho,že net jde dobre,jen rychhlost v siti je pretizena..jelikoz ty lidi snad chteji ty AP oddělat...

[sir Turbis]

Nevíte náhodou někdo,jak zakázat nalogování na AP (nějaký macfilter) který by fungoval na jádře 2.4 se starými ovladači madwifi?