|
ru.linux
- RU.LINUX ---------------------------------------------------------------------
From : Eugene B. Berdnikov 2:5020/400 12 Aug 2002 17:35:14
To : Dmitry Bodyonov
Subject : Re: Странная почта
--------------------------------------------------------------------------------
Dmitry Bodyonov <bodyonov@karelia.ru> wrote:
>> Eugene B. Berdnikov <berd@desert.ihep.su> wrote:
>> Errata: tcpdump -nl '(host 193.229.0.46 and port
>> 25) or icmp'
DB>
DB> tcpdump: listening on eth0
DB> 16:34:07.522337 217.107.180.73.4170 > 193.229.0.46.smtp: S
DB> 1874074160:1874074160(0) win 5840 <mss 1460,sackOK,timestamp 52276850
DB> 0,nop,wscale 0> (DF)
DB> 16:34:07.578314 193.229.0.46.smtp > 217.107.180.73.4170: S
DB> 3647963934:3647963934(0) ack 1874074161 win 65160 <nop,nop,timestamp
DB> 355100931 52276850,nop,wscale 0,mss 1460> (DF)
[мелкие пакеты поскипаны]
DB> 16:34:07.889207 217.107.180.73.4170 > 193.229.0.46.smtp: P 136:804(668) ack
DB> 379 win 5840 <nop,nop,timestamp 52276887 355100962> (DF)
DB> 16:34:07.895254 192.168.37.70 > 217.107.180.73: icmp: 193.229.0.46
DB> unreachable - need to frag (mtu 512) [tos 0xc0]
Hу вот оно - то, что подозревалось. Path MTU = 512 на транзитном роутере,
который торчит к нам интерфейсом 192.168.37.70 (от фонаря поставили,
наверное, но это неважно).
Однако это icmp явно не доходит до 217.107.180.73 - запрошенной фрагментации
не видно, вместо этого идут одни ретрансмиссии:
DB> 16:34:07.895470 217.107.180.73.4170 > 193.229.0.46.smtp: . 136:636(500) ack
DB> 379 win 5840 <nop,nop,timestamp 52276888 355100962>
DB> 16:34:08.185382 217.107.180.73.4170 > 193.229.0.46.smtp: . 136:636(500) ack
DB> 379 win 5840 <nop,nop,timestamp 52276917 355100962>
DB> 16:34:08.765365 217.107.180.73.4170 > 193.229.0.46.smtp: . 136:636(500) ack
DB> 379 win 5840 <nop,nop,timestamp 52276975 355100962>
DB> 16:34:09.925382 217.107.180.73.4170 > 193.229.0.46.smtp: . 136:636(500) ack
DB> 379 win 5840 <nop,nop,timestamp 52277091 355100962>
DB> 16:34:12.245447 217.107.180.73.4170 > 193.229.0.46.smtp: . 136:636(500) ack
DB> 379 win 5840 <nop,nop,timestamp 52277323 355100962> (DF)
И так далее. Короче, надо найти того вредителя, который перекрыл icmp,
и приговорить к 15 суткам каторжного RTFM с целованием RFC... :)
DB> BTW -- 192.168.37.70 -- это машина вне моей сетки, она
DB> принадлежит провайдеру и (насколько я знаю) находится за
DB> шлюзом к которому подключен наш сервер. Это нормально
DB> что она в логе присутствует?
Oчевидно, это роутер, через который идет трафик и который режет большие
пакеты. В принципе, имеет право (ему, провайдеру, виднее, какая дальше
среда и какое на его шнурке должно быть mtu), делает он это совершенно
корректно (высылая icmp), а вот игнорировать icmp никому HИЗЗЯ! :)
--
Eugene Berdnikov
--- ifmail v.2.15dev5
* Origin: Institute for High Energy Physics, Protvino, Russia (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
