ry0
23-02-2004, 14:20
Ho un problema sul firewall aziendale che mi tedia da qualche giorno:
Amministro una tipica rete aziendale con composta da una LAN (192.168.x.y), una DMZ (con ip pubblici) e un router che instrada la connessione con internet.
Al centro di tutto c'è una linuxbox rh9 con 3 eth (0 x router, 1 x LAN, 2 x DMZ).
Durante la normale giornata lavorativa capita che una macchina della LAN venga letteralmente bannata dal firewall per circa 5 minuti, che impedisce l'instadamento dei pacchetti TCP alla DMZ e a Internet.
La stranezza è che UDP e ICMP invece passano senza problemi.
Ho l'impressione che il problema sia legato al numero di richieste/secondo che arrivano dalla LAN alla eth1.
Ho controllato infatti il modulo ip_conntrack e stranamente durante il periodo di BAN la macchina della LAN non riceve risposte ai pacchetti SYN, mandando tutti i servizi TCP in timeout.
Facendo un cat /proc/net/ip_conntrack non riesco a vedere nessuna connessione della macchina bannata, usando tcpdump sulla interfaccia/gateway della LAN vedo le richieste del client in ingresso, ma non vedo i pacchetti uscire da nessun'altra interfaccia.
Durante il periodo di BAN, se faccio un flush delle regole (riavviando lo script iptables) il problema persiste.
Ho inoltre provato ad aumentare il numero di connessioni massime di ip_conntrack, ma senza esito.
Ho provato a disabilitare tcp_syncookies > 0, ma nada anche lì.
Idem anche per ECN (Explicit Congestion Notification), senza risultati.
Sospetto che il problema a questo punto stia nel numero massimo di connessioni che può gestire la scheda di rete collegata alla LAN.
Consigli e test sono ben accetti!
Vi ringrazio in anticipo per l'aiuto.
Amministro una tipica rete aziendale con composta da una LAN (192.168.x.y), una DMZ (con ip pubblici) e un router che instrada la connessione con internet.
Al centro di tutto c'è una linuxbox rh9 con 3 eth (0 x router, 1 x LAN, 2 x DMZ).
Durante la normale giornata lavorativa capita che una macchina della LAN venga letteralmente bannata dal firewall per circa 5 minuti, che impedisce l'instadamento dei pacchetti TCP alla DMZ e a Internet.
La stranezza è che UDP e ICMP invece passano senza problemi.
Ho l'impressione che il problema sia legato al numero di richieste/secondo che arrivano dalla LAN alla eth1.
Ho controllato infatti il modulo ip_conntrack e stranamente durante il periodo di BAN la macchina della LAN non riceve risposte ai pacchetti SYN, mandando tutti i servizi TCP in timeout.
Facendo un cat /proc/net/ip_conntrack non riesco a vedere nessuna connessione della macchina bannata, usando tcpdump sulla interfaccia/gateway della LAN vedo le richieste del client in ingresso, ma non vedo i pacchetti uscire da nessun'altra interfaccia.
Durante il periodo di BAN, se faccio un flush delle regole (riavviando lo script iptables) il problema persiste.
Ho inoltre provato ad aumentare il numero di connessioni massime di ip_conntrack, ma senza esito.
Ho provato a disabilitare tcp_syncookies > 0, ma nada anche lì.
Idem anche per ECN (Explicit Congestion Notification), senza risultati.
Sospetto che il problema a questo punto stia nel numero massimo di connessioni che può gestire la scheda di rete collegata alla LAN.
Consigli e test sono ben accetti!
Vi ringrazio in anticipo per l'aiuto.