Re: ipnat

From

Mikhail M Krivenkov (2:5020/400)

To

Dmitry Afanasiev

Date

2009-02-25T16:23:48Z

Area

RU.UNIX.SOLARIS

From: "Mikhail M Krivenkov" <krivenkov@tagtech.ru>

> MMK> переподключается, и так покругу. На 8 подобного не происходит. 
> ipfilter
> MMK> используется штатный, конфиги одинаковые, ну разумеется за 
> исключением
> MMK> имен
> MMK> сетевых адаптеров. Если есть соображения, помогите пожалуйста, уже 
> незнаю
> MMK> что и искать.
> сносить штатный ipfilter к ... матери, собирать свежЫй ipfilter руками.
> у штатного как-то мягко говоря странно keep state работает. он у меня даже
> ping-и default router-а терять умудрялся.
> хотя и с собранным руками не всё так хорошо, как хотелось бы.
> кстати. надо проверить - pfil то починили или он так и не работает на 
> свежЫх
> ядрах?

Вроде как починили, так как до этого "ремонта" return-rst не работал вовсе.
Я пробывал собирать до этого сам, но результат именно из-за pfil был
плачевным, пришлось даже бэкапы откатывать. Попробывал включить логи ната в
реальном времени, картинки очень похожие, соединения устанавливаются,
работают и экспирятся. У меня складывается такое ощущение, что он от аськи
соединение просто экспирит раньше чем надо (причем не только от аськи,
многие проги требующие постоянного соединения но не передающие данные
постоянно), или гдето теряет причины по котором его надо держать открытым.
Посмотрел настраиваемые параметры ядра по нему, вроде ничего страшного не
видно, некоторые в планах тюнинга даже уменьшают чайсть таймаутов, чтобы не
переполнялась таблица соединений. К сожалению таким способом не могу
посмотреть значения на восьмерке, там ипфильтр старый и этих опций нет
вовсе. Кстати пока они pfil не починили насколько я помню у меня оно вообще
не натилось. В идеале найти причину, почему он рвет соединения, если кто
знает как, подскажите. Кстати какой параметр отвечает за таймаут экспиреда ?
просто уж очень подозрительно это время, молторы - две минуты, там несколько
таймаутов 120. Переставлять ipfilter и особенно pfil очень не хотелось бы,
сервера для тестов сейчас нет, а на живых это делать очень опасно учитывая
прошлый опыт. Может ли причиной быть какие-либо изменения дефолтных настроек
самого tcp/ip в десятке относительно восьмерки ?


--- ifmail v.2.15dev5.4
 * Origin: MTU-Intel ISP (2:5020/400)
SEEN-BY: 236/100 450/1024 461/640 469/142 999 4625/8 5000/5000 5006/1 5007/1
SEEN-BY: 5010/70 5011/13 5012/46 5015/28 5019/40 5020/175 194 400 545 902 1922
SEEN-BY: 5020/2238 4441 5021/29 5025/3 5030/1080 1957 5035/38 5036/1 5045/7
SEEN-BY: 5051/15 5054/1 4 8 9 28 37 5060/88 5061/15 120 5062/10 5064/7 5066/18
SEEN-BY: 5075/5 35 5080/68 5085/13 5095/20 5096/18 6001/10 6009/1

PATH: 5020/400 545 5054/1 37