Dotaz: Omezení počtu spojení na IP

[Zdenek.k]

Ahoj, mám takový problém.Pouzivam linux router v konfiguraci : DEBIAN WOODY 2.6.16, IPTABLES 1.3.5, IPP2P patch. Snazim se tu ted kvuli klientum pouzivajici P2P site omezit pocet spojeni na jednu IP. Bohuzel se mi pri zadavani prikazu objevi chybova hlaska z iptables. ( unknown error ... ). Na googlu jsem nasel lidi s podobnym probleme ale reseni bohuzel ne. Proto bych se chtel zeptat jestli jste uz nekdo neresili podobny problem. Moc by mi to pomohlo. Diky Zdenek

Odpovědi

[Filip Jirsák]

Asi by pomohlo napsat, při zadání jakého příkazu a jaká chybová hláška se objeví.

[Zdenek.k]

Ahoj jasne omlouvam se to jsem mel udelat hned. Pri zadani prikazu :

iptables -A FORWARD -p tcp -s 192.168.1.100 -m connlimit --connlimit-above 300 --connlimit-mask 32 -j REJECT --reject-with

me to hlasi chybu :

Unknown error 4294967295

Nevim kde je chyba a nedari se mi najit reseni. Zdenek

[Filip Jirsák]

To je tedy opravdu výstižná chybová hláška… Nechybí tam parametr za --reject-with (asi icmp-host-prohibited nebo icmp-admin-prohibited)?

[Zdenek.k]

Dobry den, diky za radu ale stale stejna chyba v iptables. Nemeli byste prosim jeste nekdo nejaky napad ? Diky Zdenek

[Opičák]

a máš zkompilovanou podporu Connlimit? je to myslím v Patch-o-matic pro iptables. Bez toho to chodit nebude.

[Zdenek.k]

Zdravim ano modul CONNMARK mam v jadre zkompilovany. Ale jen jako modul. Nevim jestli to musi byt primo v jadre nebo modul staci. Vyzkousim to prekompilovat a dat ho jako soucast jadra. Zdenek

[RadekM]

connlimit a CONNMARK jsou rozdilne moduli a kazdy slouzi k necemu jinemu.

[RadekM]

Preklep opr. moduli ma bejt samozrejmne moduly

[Opičák]

psal jsem o connlimit ne o connmark. Connlimit slouží k omezení počtu spojení, kdežto connmark slouží ke značení paketů patřící k jednomu spojení.

[Zdenek.k]

Zdravim diky za odpoved. Rozdil mezi connlimit a connmark je mi jasny. Byla to moje chyba prepsal jsem se a prekouknul jsem se v konfiguraci jadra. Samozrejmne modul CONNMARK je pritomny a modul CONNLIMIT neni. CHyba bude predpokladam tady. Mohli byste mi tedy prosim poradit kde sezenu patch na CONNLIMIT ? Diky Zdenek

[Opičák]

já ti ale o pár příspěvků výše psal, že je v patch-o-matic. Takže si ho na stránkách netfilteru stáhni a postupuj podle návodů.

[Zdenek.k]

Zdravim diky vsiml jsem si ze jste se o tom zminoval ale myslel jsem ze od kernelu rady 2.6.X se jiz patch-o-matic nepouziva... ale zda se ze se pletu mrknu na to na strankach a uvidim jak se s tim vyporadam. Diky za radu ozvu se s vysledkem. Zdenek

[Petr Šobáň]

Jak psali přede mnou ta chybová hláška je dost všeobecná a vyskytuje se většinou pokud máš staré iptables nebo nějaká funkce není v jádře dostupná.

Takže jak psal přede mnou skontroluj si zda máš modul connlimit a skus ho zavést pomocí modprobe.

[Zdenek.k]

Zdravim zkusim sedrzet jejich rad. Pouzivam iptables verze 1.3.5, protoze to jsou posledni kde mi fungoval modul IPP2P. U verze 1.3.6 a vyse se mi ho jiz nepodarilo zkompilovat. Ale chyba bude asi v tom ze nemam modul connlimit v jadre. Jak jsem psal vyse zkusim se s tim poprat. Diky za radu Zdenek.