Dotaz: bug v jadre >= 2.6.27.8 ???

[semtex]

Ahoj,

na svym serveru prubezne upgraduju vanilla jadro. Naposled jsem tam mel 2.6.27.6 a po upgradu na 2.6.27.8 resp. 2.6.27.9 zaclo dochazet k padu serveru po 1 az 8 hod. behu. Ovsem stroj sel stale opingat a dokonce nmap mi ukazal otevrene porty, jinak nic i pres klavesnici byl stroj mrtvej, na obrazovce nic, jen poprve byla obrazovka zahlcena hlaskou neco jako ip_conntrack table is full (presne uz si nepamatuju)... Tak jsem si rek, ze tam dam distribucni jadro a bude (2.6.24-etchnhalf.1-686) a uz to zase slape... Nicmene o zadnym bugu v 27.8 a 27.9 jadre jsem se nikde nedocetl... Netusi nekdo problem?

Odpovědi

[Pavel]

Velikost ip conntrack tabulky se da nastavit. Doporucuju zvetsit. Napada me jen, ze distribucni jadro ji ma ve vychozim stavu vetsi nez vanilla.

[semtex]

No ale jak jsem psal, tak vanilla 2.6.27.6 tam jeste taky slapal...

[michich]

Verze 2.6.27.8 skutečně nejméně jednu regresi přinesla, a to patchem "lib/idr.c: fix rcu related race with idr_find". Oprava bude v 2.6.27.10.

[Ivan]

Nakonfiguruj si konzoli na seriovym portu. Pripoj k tomu nejakej notebook, minicom a ukladej komunikaci do souboru. Az to spadne pouzij sysrq. ALT+SysRq+t a kernel ti vypise seznam vsech svych threadu vcetne stackrace. Tim ziskas prvni informace a budes moct pokracovat dal v investigaci. Tohle je vice-mene standartni postup jak se takovyhle probemy resi.

[R]

Presne rovnaky problem mam v 2.6.26.7. Stroj pada po niekolkych dnoch (teraz ma uptime 5 dni). Pingovat sa da, ale neda sa pripojit. Daju sa klavesnicou prepinat konzoly, ale neda sa nic napisat. Ked som dal killnut vsetky procesy (Alt+SysRq+neviemco), tak sa vsetko normalne ukoncilo a restartovalo! Podla nejakeho vypisu z Alt+SysRq+neviemco_ine to vyzeralo akoby boli vsetky procesy v stave D.

V logoch nebolo vobec nic, len jedna vec: pyzor: check failed: Can't fork at /usr/lib/perl5/vendor_perl/5.8.8/Mail/SpamAssassin/Util.pm line 1393

[Adam Pribyl]

To by celkem odpovidalo preplneni contrack tabulky. System pak v podstate neprijima dalsi pripojeni a i  z konzole se muze jevit tuhy. Tento problem se stava na libovolnem jadre. Reseni jsou dve - nepouzivat na routeru contrack (blacklist) nebo si udelat skript, ktery to hlida a velikost tabulky zvetsuje, protoze kernel ji ma nastavenou fixne podle velikosti RAM. Duvodem problemu nemusi byt ani tak novy kernel, jako novy sosac PtP na siti.

[semtex]

no on to teda neni router, ale jen web, mail, ftp... server a conntrack pouyivam prave kvuli ftp serveru... predpokladam, ze pokud je nekdo na te same siti a sosa z p2p, tak by to muj server ovlivnit nemelo?

[petr_p]

Hloupost. Plná conntrack tabulka pouze způsobí, že není kam přidávat nová spojení, a tak není možné navázat nová síťová spojení. Ale jinak je stroj zcela normálně živý a zdravý.

[Luboš Doležel (Doli)]

Dodal bych, že jako zadní vrátka pro případ zaplněné conntrack tabulky může pomoci nastavení 'notrack' na vybrané IP adresy v iptables.