Nie jesteś zalogowany.
Jeśli nie posiadasz konta, zarejestruj je już teraz! Pozwoli Ci ono w pełni korzystać z naszego serwisu. Spamerom dziękujemy!
Ogłoszenie
Prosimy o pomoc dla małej Julki — przekaż 1% podatku na Fundacji Dzieciom zdazyć z Pomocą.
Więcej informacji na dug.net.pl/pomagamy/.
#1 2016-10-08 18:23:28
sqrtek - 
Użytkownik
- sqrtek
- Użytkownik
- Skąd: /bin/true
- Zarejestrowany: 2012-06-14
conntrack a czyszczenie tablicy
Cześć,
Mam pytanie czy w momencie czyszczenia tablicy conntracka zrywane są wszelkie nawiązane połączenia?
"Nie pozwól by zgiełk opinii innych ludzi, zagłuszył Twój wewnętrzny głos" ~ [i]Steve Jobs[/i]
Offline
#2 2016-10-08 18:39:13
Jacekalex - Podobno człowiek...;)
- Jacekalex
- Podobno człowiek...;)
- Skąd: /dev/urandom
- Zarejestrowany: 2008-01-07
Re: conntrack a czyszczenie tablicy
Nie zrywane tylko blokowane, FW wtedy traci kluczową informację, jak kwalifikować pakiety do poszczególnych połączeń, i wszystkie się załapią na inne reguły albo najczęściej na domyślną politykę.
Dynamiczny firewall jak Netfilter rozróżnia pakiety na podstawie listy połączeń w tablicy conntrack.
Odpowiada za to taka regułka:
Kod:
-A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT
gdzie decyzja modułu conntack zależy od tego, czy połączenie jest zapisane na liście [b]/proc/net/ip_conntrack[/b].
W demokracji każdy naród ma taką władzę, na jaką zasługuje ;)
Si vis pacem para bellum ;) | Pozdrawiam :)
Offline
#3 2016-10-09 00:54:50
sqrtek - Użytkownik
- sqrtek
- Użytkownik
- Skąd: /bin/true
- Zarejestrowany: 2012-06-14
Re: conntrack a czyszczenie tablicy
Dzięki za informacje, teraz wszystko jasne :)
"Nie pozwól by zgiełk opinii innych ludzi, zagłuszył Twój wewnętrzny głos" ~ [i]Steve Jobs[/i]
Offline
#4 2016-10-20 12:03:57
bobycob - Członek z Ramienia
- bobycob
- Członek z Ramienia
- Skąd: Wrocław
- Zarejestrowany: 2007-08-15
Re: conntrack a czyszczenie tablicy
Jacek
Co łańcuch INPUT ma do śledzenia połączeń?
Zawsze sądziłem, że natowany ruch to najczęściej przechodzy przez router - a więc łańcuch FORWARD.
Wskazana linijka przy domyślnej polityce ACCEPT nie ma najmniejszego znaczenia, śledzenie połączeń działa zaraz po załadowaniu odpowiedniego modułu kernela. Bez specjalnych reguł.
Natomiast blokowanie/blokowanie z punktu widzenia hosta będą cego za routerem wykonującym NAT, to połączenie jest utracone=zerwane.
Ostatnio edytowany przez bobycob (2016-10-20 12:04:45)
Offline
#5 2016-10-20 18:21:10
Jacekalex - Podobno człowiek...;)
- Jacekalex
- Podobno człowiek...;)
- Skąd: /dev/urandom
- Zarejestrowany: 2008-01-07
Re: conntrack a czyszczenie tablicy
Wszystkie połączenia przechodzące przez tablice filter, nat i mangle są odnotowywane w tablicy Conntrack.
Tylko tablica raw jest poza mechanizmem conntrack.
Co łańcuch INPUT ma do śledzenia połączeń?[/quote]
co zawiasy majπą do drzwi?
Przecież to właśnie w łańcuchach INPUT i PREROUTING wszystkich tablic jest podejmowana decyzja, co zrobić z pakietem, czy go wpuścić, czy przekazać do FORWARDu, czy upuścić.
Pozdro
W demokracji każdy naród ma taką władzę, na jaką zasługuje ;)
Si vis pacem para bellum ;) | Pozdrawiam :)
Offline
#6 2016-10-21 08:53:40
bobycob - Członek z Ramienia
- bobycob
- Członek z Ramienia
- Skąd: Wrocław
- Zarejestrowany: 2007-08-15
Re: conntrack a czyszczenie tablicy
Jeśli w prerouting stwierdzi, że pakiet jest forwardowany, do INPUT nic nie trafia - to nie ipchains :)
Offline
#7 2016-10-21 11:09:56
uzytkownikubunt - Zbanowany
- uzytkownikubunt
- Zbanowany
- Zarejestrowany: 2012-04-25
Re: conntrack a czyszczenie tablicy
3238
Ostatnio edytowany przez uzytkownikubunt (2016-12-01 01:46:25)
Offline
#8 2016-10-21 15:30:23
bobycob - Członek z Ramienia
- bobycob
- Członek z Ramienia
- Skąd: Wrocław
- Zarejestrowany: 2007-08-15
Re: conntrack a czyszczenie tablicy
Masz rację,
Samoloty też mają koła :)
Offline
Informacje debugowania
| Time (s) | Query |
|---|---|
| 0.00013 | SET CHARSET latin2 |
| 0.00006 | SET NAMES latin2 |
| 0.00144 | SELECT u.*, g.*, o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='3.147.103.202' WHERE u.id=1 |
| 0.00289 | REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '3.147.103.202', 1714869612) |
| 0.00032 | SELECT * FROM punbb_online WHERE logged<1714869312 |
| 0.00044 | SELECT topic_id FROM punbb_posts WHERE id=306192 |
| 0.00090 | SELECT id FROM punbb_posts WHERE topic_id=29037 ORDER BY posted |
| 0.00090 | SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=29037 AND t.moved_to IS NULL |
| 0.00029 | SELECT search_for, replace_with FROM punbb_censoring |
| 0.00075 | SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=29037 ORDER BY p.id LIMIT 0,25 |
| 0.00143 | UPDATE punbb_topics SET num_views=num_views+1 WHERE id=29037 |
| Total query time: 0.00955 s | |