Do agbis.
Nie chce mi się cytować - odpowiem na Twoje dwa posty razem.
1) Parametr kompilacji jądra:
NIE Nie chodziło mi o czasy przez jakie ip_conntrack trzyma połaczenia a o parametr HASZOWANIA tablicy wpisów . Ogólnie jest to podobne do indeksowania - jak dużo wpisów to nie przegląda LINIOWO tylko INDEKSOWO i jest to TRAGICZNE przyspieszenie przy dużewj ilości wpisów.
( powyższe jest napisane poglądowo a nie technicznie - więc się nie czepiać słów).
2)
Cytuj:
I chyba najlepiej to robić na wejściu z internetu do lanu, bo te które wygenerują kompy w lanie to i tak muszą przejść przez APki zanim je router ubije.
NIE - należy wyłapać i zabić wirusy na komputerze w sieci u usera.
Innego wyjscia nie ma poza zmianą APków na wydajniejsze.
Zwróć uwagę, że te połaczenia sa z sieci WEWNĘTRZNEJ do internetu i do ... SIECI WEW.
Ja teraz walcze z polaczeniami z wewnatrz z niedozwolonych IP oraz z wewnątrz na niedozwolone IP (od razu widzę skanowanie sieci)
3)
Cytuj:
. Ale w świetle poprzedniej informacji nie ma sensu dalej zajmować się limitowaniem ilości połączeń.
TAK chociaż ktoś powinien sformułowac problem POPRAWNIE:
- Jak ograniczyć ilość lecących pakietów UDP
Tu widać, że nie ma znaczenia czy leca pakiety UDP po tych samych portach czy po innych ( prócz wpisów w ip_conntrack - co umówmy się nie ma znaczenia [pomijam, że jest wpisów np. 20 tysięcy i conntrack zwalnia z powodu wydajności])
4)
Cytuj:
Popracuję nad odpowiednimi wpisami do firewalla, któreby limitowały ilość małych pakietów.
Patrz punkt 2). Może pokusimy się o ponowne POPRAWNE sformułowanie problemu:
- Nie są problemem małe pakiety czy ilosci małych pakietów, probleme jest KAZA i jej pochodne I WIRUSY oraz TROJANY które wysyłają TRAGICZNIE dużo pakietów na lewo i prawo próbując skanowac sieć lub znaleźć 1500 innych komputerów
A jak już to zrobiliśmy to rozwiązanie jest proste :
- wykryć je i zabić.
(jak user nie współpracuje to odłaczyć )
5)
Cytuj:
...Ja myślałem o czymś takim jak connlimit dla tcp, ...1)..2)..3)..4)..
Jakbyś opisywał mój skrypt il_polk.
Aby nie było za łatwo to :
- nie robi punktu 3) - nie zakłada blokady
- co ważniejsze w obecnej wersji liczy TYLKO 'połaczenia' UDP a powinien liczyć pakiety UDP (to jest doś poważny mankament)
Do tasiorek
Masz racje w ostatnim poście.
Blokada powinna być stała rozumiena w sensie : NIE POZWALA NA WIĘCEJ NIŻ...
Agbis pragnie niepotrzebnie okresowej blokady.
Czasami taka blokada się przydaje: jak mi ktoś za mocno przegina - czyli np. nie chce powstrzymać ilości połaczeń Kazyy to przycinam mu tak by internet mu kapał i wtedy jak zgłosi problemy to z nim rozmawiam.
_________________
Określenie przy nicku to tylko dla 'jaj'; tytuł za ilość postów.
Ja ciągle się uważam za niewinne dziecię w sprawach linuksa; żaden guru czy inny moderator
Zaloguj się
Zarejestruj się
FAQ
Szukaj
)
