sanyadnepr Posted May 27, 2014 Posted May 27, 2014 Угу, проблемы не у китайских машин, а у их владельцев. Каждый дрочит так как может, у остальных работает.
BARVIT Posted May 27, 2014 Posted May 27, 2014 (edited) Вроде нашел... после блокировки порта отпустило. пока наблюдаем 00004 597408 29992104 deny tcp from any to any dst-port 6881 tcpflags syn 00004 1748354 229779480 deny udp from any to any dst-port 6881 00004 26872 3606330 deny udp from any to any dst-port 49001 00004 21036 1063936 deny tcp from any to any dst-port 49001 tcpflags syn 4125/1260/5385 mbufs in use (current/cache/total) 4123/491/4614/25600 mbuf clusters in use (current/cache/total/max) 4123/485 mbuf+clusters out of packet secondary zone in use (current/cache) 0/77/77/12800 4k (page size) jumbo clusters in use (current/cache/total/max) 0/0/0/6400 9k jumbo clusters in use (current/cache/total/max) 0/0/0/3200 16k jumbo clusters in use (current/cache/total/max) 9281K/1605K/10886K bytes allocated to network (current/cache/total) 0/0/0 requests for mbufs denied (mbufs/clusters/mbuf+clusters) 0/0/0 requests for mbufs delayed (mbufs/clusters/mbuf+clusters) 0/0/0 requests for jumbo clusters delayed (4k/9k/16k) 0/0/0 requests for jumbo clusters denied (4k/9k/16k) 0/0/0 sfbufs in use (current/peak/max) 0 requests for sfbufs denied 0 requests for sfbufs delayed 298 requests for I/O initiated by sendfile 0 calls to protocol drain routines UPD: И Ростик вот это видать добавил, раньше блекхола не было net.inet.tcp.blackhole=2 net.inet.udp.blackhole=1 Edited May 27, 2014 by BARVIT
Al G Posted May 27, 2014 Posted May 27, 2014 Блокировать лучше не только 6881, но и 6881-6889, и именно входящий с внешки, так как блокировка исходящего трафика от пользователей по этим портам лишит возможности искать им пиров через DHT 04001 31409738 1851207434 deny ip from any to any dst-port 6881-6889 via igb1 in Да и правила лучше поэкономить, написать что-то вроде deny ip from any to any dst-port 6881-6889,49001 via igb1 in без разделения на tcp/udp
BARVIT Posted May 27, 2014 Posted May 27, 2014 (edited) у меня наружу igb0 приходит тег 1607, igb0.1607, если просто указать igb0 то зацепит влан или все таки с вланом указывать? Edited May 27, 2014 by BARVIT
BARVIT Posted May 28, 2014 Posted May 28, 2014 Такс... поиски продолжаются, после манипуляций с портами - попустило на пару дней, дальше вот что происходит. Полный ступор в консоли не реагирует, да в принципе на клаву тоже 0 внимания, отключаешь внешний канал (просто кабель из сетевой выдергиваю.) Машина начинает дышать включаю netstat -w1 с выводом в файл. до последеней строки это без кабеля в сетевке на инет. Далее втыкаю кабель - опять ступор, выдернул кабель и вышел из netstat. И вот какая хрень: sos.txt Так все порты закрыть можно...
Abram Posted May 28, 2014 Posted May 28, 2014 BARVIT, Вы с такими раскладами в конце-концов либо станете гуру FreeBSD, либо действительно перейдете на Linux.
DemonidZe Posted May 28, 2014 Posted May 28, 2014 сегодня было так : траф и колво пакетов начали естественно падать , бордер начал делать такое (<Info:DOSProt.AddACLOK> Added an ACL to port 1, srcIP 188.x.x.x to destIP 0.0.0.0, protocol any ) думинет начал жрать очень много , закрытие портов не помогло , ipfw nat с deny-in. поделитесь кто что на свичах закрывает ?
sanyadnepr Posted May 29, 2014 Posted May 29, 2014 Такс... поиски продолжаются, после манипуляций с портами - попустило на пару дней, дальше вот что происходит. Полный ступор в консоли не реагирует, да в принципе на клаву тоже 0 внимания, отключаешь внешний канал (просто кабель из сетевой выдергиваю.) Машина начинает дышать включаю netstat -w1 с выводом в файл. до последеней строки это без кабеля в сетевке на инет. Далее втыкаю кабель - опять ступор, выдернул кабель и вышел из netstat. И вот какая хрень: sos.txt Так все порты закрыть можно... Так чего молчиш ? Пиши. сегодня было так : cpu.png ppc.png traf.png траф и колво пакетов начали естественно падать , бордер начал делать такое (<Info:DOSProt.AddACLOK> Added an ACL to port 1, srcIP 188.x.x.x to destIP 0.0.0.0, protocol any ) думинет начал жрать очень много , закрытие портов не помогло , ipfw nat с deny-in. поделитесь кто что на свичах закрывает ? А что вы собрались на свичах закрывать ?
masters Posted May 29, 2014 Posted May 29, 2014 поделитесь кто что на свичах закрывает ? У меня PPPoE. На свичах фильтрую весь траффик кроме pppoe. http://forum.nag.ru/forum/index.php?showtopic=43551
KaYot Posted May 29, 2014 Posted May 29, 2014 наблюдаем, пока нет. Неужели вселенская мудрость улыбчивого СаниДнепр не работает?
wantmore Posted May 29, 2014 Posted May 29, 2014 Что и как планируете собирать ? Делитесь шагами,многим будет полезно.
BARVIT Posted May 30, 2014 Posted May 30, 2014 Подскажите, это допустимые значения или это х-ня не здоровая? Пол инета обрыл так и не понял в чем же это измеряется? что значит m и u
wantmore Posted May 30, 2014 Posted May 30, 2014 Подскажите, это допустимые значения или это х-ня не здоровая? Пол инета обрыл так и не понял в чем же это измеряется? что значит m и u Снимок.JPG U - наверняка это штук,а m - миллион.
l1ght Posted May 31, 2014 Author Posted May 31, 2014 Не совсем в тему, но из-за чего может выключатся и тут же включатся интерфейс. Редко бывает конечно, но не очень приятно.
sv-lex Posted May 31, 2014 Posted May 31, 2014 Подскажите, это допустимые значения или это х-ня не здоровая? Пол инета обрыл так и не понял в чем же это измеряется? что значит m и u Снимок.JPG http://forums.cacti.net/viewtopic.php?t=8168 10^-6 u - micro 10^-3 m - milli Такие значения получаются когда за 5 мин на счетчиках копится несколько ошибок.
BARVIT Posted May 31, 2014 Posted May 31, 2014 И все таки то что на графике, это много или это норма? И если много куда копать ?
supportod Posted May 31, 2014 Posted May 31, 2014 (edited) И все таки то что на графике, это много или это норма? И если много куда копать ? Кол-во входящих ошибок не критично. Но мусора на входе не должно быть. Edited May 31, 2014 by vlad11
BARVIT Posted May 31, 2014 Posted May 31, 2014 Где нужно рубить ошибки? На доступе либо на агрегации? И что рубить?
supportod Posted June 1, 2014 Posted June 1, 2014 (edited) Где нужно рубить ошибки? На доступе либо на агрегации? И что рубить? На доступе и на входе с аплинков. На агрегации и ядре уже поздно. Зеркалируйте траффик с ошибками на сервер и анализируйте/классифицируйте ошибки. Дальше, стройте фильтры на доступе. На наге были примеры типовых фильтров, но они не со 100% охватом ошибок. Edited June 1, 2014 by vlad11
Recommended Posts
Create an account or sign in to comment
You need to be a member in order to leave a comment
Create an account
Sign up for a new account in our community. It's easy!
Register a new accountSign in
Already have an account? Sign in here.
Sign In Now