|
|
ru.linux- RU.LINUX --------------------------------------------------------------------- From : Alexander Trotsai 2:5020/400 07 Dec 2003 19:41:23 To : Il'ya Teterin Subject : Re: Re: Re: Re: так ли необходим сетевой экран? -------------------------------------------------------------------------------- On Sun, Dec 07, 2003 at 05:15:24AM +0000, Il'ya Teterin wrote: IyT>Sat Dec 06 2003 23:23, Alexander Trotsai wrote to Il'ya Teterin: IyT> IyT>> AT> опять же - есть ack flood IyT> IyT>> AT> приводит в 100% загрузке процессора IyT> IyT>> AT> сильно снижает онуюю загрузку connection tracking и state IyT> IyT>> AT> match IyT> IyT>> Hе верю. Из общих соображений - что это такое может сделать conntrack IyT> IyT>> для защиты стека, чего теоретически не умеет сам стек? Или IyT> IyT>> теоретически умеет, но не умеет практически? Тогда дописывать его IyT> IyT>> надо, а не фигней страдать с сабджами. IyT> AT> с connection tracking фильтр становится statefull и он IyT> AT> "знает", что эти пакеты относятся к легитимному открытому IyT> AT> соединению, а эти - вообще непонятно к чему и на основании IyT> AT> этого знания такие "левые" ack просто дропают IyT> AT> а без этого знания ядру приходится пробегать по всей таблице IyT> AT> наличных tcp соединения на предмет, а не сюда ли пришел ack IyT>А разве connection tracking не приходится делать то же самое? Или оно IyT>определяет, не сюда ли пришел ack, телепатически, без бегания по всей IyT>(своей) таблице соединений? приходится, но видать поиск по оной таблице проходит быстрее, что снижает нагрузку на процессор - проверял - снижает, минимум в 2 раза -- Best regard, Aleksander Trotsai aka MAGE-RIPE aka MAGE-UANIC My PGP key at ftp://blackhole.adamant.ua/pgp/trotsai.key[.asc] Побывал в интернете. Узнал много старого и бесполезного --- ifmail v.2.15dev5.1 * Origin: Adamant ISP news server (2:5020/400) Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор Архивное /ru.linux/1843795198b61.html, оценка из 5, голосов 10
|