Google Groups no longer supports new Usenet posts or subscriptions. Historical content remains viewable.
Dismiss

iptables, connection tracking

0 views
Skip to first unread message

BEREGNYEI Balazs

unread,
Sep 21, 2008, 6:20:11 AM9/21/08
to

Hali,

Egy 2.6.22-es gepen "make oldconfig"-gal csinaltam egy ujabb, 2.6.25-os
kernelt. Fura modon az uj kernelben mintha elromlott volna a netfilter
connection tracking support, mert erre az iptables szabalyra
ujabban egyetlen csomag sem passzol:

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Tehat nem tudok ratelnetelni egy masik gep 80-as portjara, mert a
visszafele irany nem mukodik. Csak akkor mukodik, ha direktben beengedem:

iptables -I INPUT -s tavoli_gep_ip -p tcp --sport 80 -j ACCEPT

Termeszetesen az uj kernel konfigjaban benne van a conn. track.
Vajon miert nem mukodik?

Koszi,
BB

_________________________________________________
linux lista - li...@mlf.linux.rulez.org
http://mlf2.linux.rulez.org/mailman/listinfo/linux

Budacsik Attila

unread,
Sep 21, 2008, 7:16:54 AM9/21/08
to

BEREGNYEI Balazs wrote:
> Hali,
>
> Egy 2.6.22-es gepen "make oldconfig"-gal csinaltam egy ujabb, 2.6.25-os
> kernelt. Fura modon az uj kernelben mintha elromlott volna a netfilter
> connection tracking support, mert erre az iptables szabalyra
> ujabban egyetlen csomag sem passzol:
>
> iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
>
> Tehat nem tudok ratelnetelni egy masik gep 80-as portjara, mert a
> visszafele irany nem mukodik. Csak akkor mukodik, ha direktben beengedem:
>
> iptables -I INPUT -s tavoli_gep_ip -p tcp --sport 80 -j ACCEPT
>
> Termeszetesen az uj kernel konfigjaban benne van a conn. track.
> Vajon miert nem mukodik?
>

nf_conntrack modul be van töltve?
/proc/net/nf_conntrack-ban kellene lennie a kapcsolatoknak.

/proc/sys/net/netfilter/nf_conntrack_max
ebben van, hogy max mennyi kacsolatkövetést figyel

/proc/sys/net/netfilter/nf_conntrack_count
ebben, hogy éppen most mennyi kapcsolatot figyel

Remélem jól írtam

--
Üdv / Attila

Balazs Beregnyei

unread,
Sep 21, 2008, 10:12:58 AM9/21/08
to

Szia,

Budacsik Attila wrote:

> nf_conntrack modul be van töltve?
> /proc/net/nf_conntrack-ban kellene lennie a kapcsolatoknak.
>
> /proc/sys/net/netfilter/nf_conntrack_max
> ebben van, hogy max mennyi kacsolatkövetést figyel

Modul betoltve, a kapcsolatok maximuma 4096,

> /proc/sys/net/netfilter/nf_conntrack_count
> ebben, hogy éppen most mennyi kapcsolatot figyel

... epp 12 kapcsolatot figyel, es mindegyik olyan tipusu, hogy SYN_SENT,
[UNREPLIED], azaz mintha tenyleg elromlott volna a conntrack :(


BB

0 new messages