Re: iptables ip_conntrack

On Tue, 16 Mar 2004 16:32:29 +0100, Matthias Borrack wrote:

> mit -m state übergebe ich ein Paket innerhalb ip-tables dem Stateful.
> Dafür benötige ich, sofern ich das richtig verstehe, ip_conntrack.
> Wiederrum wenn ich es richtig verstehe gemäß netfilter.org, kann ich
> zwar bei einigen Ports das Stateful weglassen, aber ip_conntrack würde
> trotzdem gefüllt werden.
> 
> Das ganze stellt mich vor ein Dilemma.
> Innerhalb von wenigen Tagen leben im ip_conntrack mehr asl 12000
> Verbindung. Ein echo "0" in die ip_conntrack reinjagen bringt nicht
> wirklich viel, einzig die Tables flushen und das modul ip_conntrack neu
> laden macht einen reboot nicht erforderlich.
> 
> Es muß doch, abgesehen von den Patch für selbstkompilierer, eine
> Möglichkeit geben, zu alte Verbindung rauszuwerfen?

Ja, und zwar per REJECT oder DROP Regel an passender Stelle. Andernfalls
warten zunehmend Verbindungen auf ihr Time-Out. Den Wert in
/proc/sys/net/ipv4/netfilter/ip_conntrack_max hochzusetzen bringt Dir in
dem Fall auch wenig, höchstens bei sehr viel Speicher.

--