[FREEBSD] Problemen met connection tracking

[nightwatcher_b]

Dag allen,

Ik zit met een flink probleem.
Wij verlenen internet aan dorpsgenoten.
We hebben twee wifi netwerken in ons dorp. 1 Loopt via een freebsd server bij mij thuis hier zitten maar een paar gebruikers op.. Deze doet het perfect.
De ander loopt via een collaga van mij, dit is tevens weer een freebsd server.

Nu hebben de gebruikers bij de server van mijn collega last van o.a Mns, yahoo ect uitval.
Soms zitten ze er nog maar een minuut op en verliezen ze al verbinding.
Echter ligt dit NIET aan de internet verbinding. downloads, http, mail, pings etc lopen gewoon door.
Er zitten zo'n 32 gebruikers in zijn netwerk, die nu na ruim een half jaar aardig geiriteerd worden.

We kennen dit probleem al een aantal maanden, mijn collega die tevens ook netwerkbeheerder (vooral linux) is en ik kunnen het probleem niet vinden.
We denken dat het inkomende verkeer, de juiste poort verliest.

Ik ben verder niet heel erg bekend met freebsd, alleen de basis.

Hier wat specs over het netwerk:
De server draaid dus als gateway..

Met vier netwerk kaarten
1e -> modem
2e -> verbinding naar mijn server
3e -> lokaal netwerk
4e -> Wifi netwerk

Ook uitval in het lokaal netwerk, dus ligt niet aan het wifi gedeelte.

Ipfw show output:
00300 0 0 deny ip from 127.0.0.0/8 to any
64000 22586 7562729 divert 8668 ip from any to any via rl1
64500 38 9666 allow ip from any to any via lo0
65000 44759 14968739 allow ip from any to any
65535 0 0 deny ip from any to any

Als jullie nog andere specs instellingen of iets dergelijks nodig hebben, vraag gerust!

Hopelijk hebben jullie wat ideen, wij hebben al vanalles geprobeerd.

[lvh]

Ik denk dat je best vraagt om dit topic in NOS [Non-Windows Operating Systems] te zetten.

[nightwatcher_b]

racoontje schreef op dinsdag 07 december 2004 @ 07:47:
Ik denk dat je best vraagt om dit topic in NOS [Non-Windows Operating Systems] te zetten.

Ja, misschien dat ze daar wat meer weten?

[Verwijderd]

Had ik ook last van bij freebsd 5.2 met 3com (atheros chip) wifi kaart.
draai het nu op freebsd 5.3 beta (nogwat) en geen last meer van.

misschien een upgrade uitvoeren?

[Verwijderd]

Move NT > NOS

[nightwatcher_b]

Verwijderd schreef op donderdag 09 december 2004 @ 14:41:
Had ik ook last van bij freebsd 5.2 met 3com (atheros chip) wifi kaart.
draai het nu op freebsd 5.3 beta (nogwat) en geen last meer van.

misschien een upgrade uitvoeren?

Had je ook last van connectie verlies?
Beide servers zitten realtek kaartjes in, de een loopt wel goed de ander niet.
Zou het dan uitmaken?

[Verwijderd]

Je vergeet je FreeBSD versie te vermelden Wel raar probleem though... Heb je mischien nog wat nuttigs in je dmesg staan? (tx errors, rx errors, dat soort ongein). Hoe vaak worden die bakken up to date gehouden?

[nightwatcher_b]

Verwijderd schreef op donderdag 09 december 2004 @ 16:45:
Je vergeet je FreeBSD versie te vermelden Wel raar probleem though... Heb je mischien nog wat nuttigs in je dmesg staan? (tx errors, rx errors, dat soort ongein). Hoe vaak worden die bakken up to date gehouden?

Het is de FreeBSD 5.2-RELEASE
een output van dmesg:
ipfw: Accounting cleared.
ipfw: Accounting cleared.
etc...
Dec 9 00:00:00 syslogd: /var/log/messages: No such file or directory
Dec 9 00:00:00 syslogd: /var/log/cron: No such file or directory
ipfw: Accounting cleared.
ipfw: Accounting cleared.
etc..

ipfw: Accounting cleared komt zeer vaak voor kweet niet waar het voor staat?

[imdos]

volgens deze site moet je dit doen! sysctl -w net.inet.ip.fw.verbose=0

[xzenor]

imdos schreef op donderdag 09 december 2004 @ 19:51:
volgens deze site moet je dit doen! sysctl -w net.inet.ip.fw.verbose=0

Ja handig dan zet je je logging dus juist uit van ipfw....

maar die meldingen he

Dec 9 00:00:00 syslogd: /var/log/messages: No such file or directory
Dec 9 00:00:00 syslogd: /var/log/cron: No such file or directory

Probeer dit eens als root: touch /var/log/messages /var/log/cron
dan worden er lege files aangemaakt zodat in iedergeval de logmessages weggeschreven kunnen worden. Kan je tenmiste wat aflezen he, is misschien wel handig...

Verder, geef eens op met wat voor opties je natd draait (ik neem aan dat je natd draait met ipfw)
En je filewall rules enzo,(maskeer je externe ip desnoods effe) misschien heb je daar wel een fout in staan..

Maar info info info dus.........
We kunnen niet ruiken wat er misgaat.
En het jomanda gehalte is niet zo hoog hier

[nightwatcher_b]

possamai schreef op vrijdag 10 december 2004 @ 15:31:

Probeer dit eens als root: touch /var/log/messages /var/log/cron

Verder, geef eens op met wat voor opties je natd draait (ik neem aan dat je natd draait met ipfw)
En je filewall rules enzo,(maskeer je externe ip desnoods effe) misschien heb je daar wel een fout in staan..

Heb net: touch /var/log/messages /var/log/cron ingevoerd.

Wat meer info:
Hier rc.conf:

gateway_enable="YES"
linux_enable="YES"
sshd_enable="YES"
usbd_enable="NO"
firewall_enable="yes"
firewall_type="open"
saver="deamon"
sendmail_enable="YES"
# router_flags="-q"
# router="/sbin/routed"
# router_enable="YES"

natd_program="/sbin/natd" # path to natd, if you want a different one.
natd_enable="YES" # Enable natd (if firewall_enable == YES).
natd_interface="rl1" # Public interface or IPaddress to use.
natd_flags="-f /etc/natd.conf" # Additional flags for natd.

# named. It may be possible to run named in a sandbox, man security for
# details.
named_rcng="NO" # XXX Temporary. Enable to use new rc
# functionality in support of named. See
# variables below.
named_enable="YES" # Run named, the DNS server (or NO).
named_program="/usr/sbin/named" # path to named, if you want a different one.
named_flags="-u bind -g bind" # Flags for named
named_pidfile="/var/run/named/pid" # Pid file
named_chrootdir="" # Chroot directory (or "" not to auto-chroot it)
named_chroot_autoupdate="YES" # Automatically install/update chrooted
# components of named. See /etc/rc.d/named.
named_symlink_enable="YES" # Symlink ${named_pidfile} and /var/run/ndc
# to their chrooted counterparts.

ntpdate_flags="ntp1.theinternetone.net"
ntpdate_enable="YES"

ifconfig_rl0="inet 192.168.1.1 netmask 255.255.255.0"
ifconfig_rl1="inet 192.168.0.1 netmask 255.255.255.0"
ifconfig_rl2="inet 192.168.2.1 netmask 255.255.255.0"
ifconfig_rl3="inet 192.168.3.1 netmask 255.255.255.0"
hostname="home.***.com"
defaultrouter="192.168.0.138"
# This file now contains just the overrides from /etc/defaults/rc.conf.
# Please make all changes to this file, not to /etc/defaults/rc.conf.

# Enable network daemons for user convenience.
# Created: Wed Apr 7 17:00:53 2004
# -- sysinstall generated deltas -- # Wed Apr 7 17:00:53 2004
nfs_server_enable="YES"
rpcbind_enable="YES"
nfs_client_enable="YES"

Firewall staat in m'n first post, zit nog wel wat meer in maar dat zijn allemaal counts.
Aan de firewall hebben we al flink zitten trekken, maar dat help niet. Zelfs met hem helemaal open blijft het probleem.

Natd.conf:

use_sockets yes
same_ports yes
port 8668
interface rl1

[nightwatcher_b]

a.s dinsdag gaan we upgraden naar 5.3 kijken of dat iets oplost.
Ports upgraden en nieuwe kernel met de huidige trafic shaping erbij (dummynet)

Iemand nog andere iedeëen?

[nightwatcher_b]

Gisteren en vandaag hebben we de server zitten upgraden naar freebsd 6
De upgrade is uiteindelijk gelukt.
Echter blijft het probleem...
Iemand nog suggesties?

Als je twee ssh's opend en de een ff een tijdje niet gebruikt, valt hij weg.
Als je keepalives op bv 10 sec zet, is er geen probleem, kun je met 2 ssh's werken

[ Voor 34% gewijzigd door nightwatcher_b op 16-12-2004 11:57 ]

[AVL]

nightwatcher_b schreef op donderdag 16 december 2004 @ 11:54:
Gisteren en vandaag hebben we de server zitten upgraden naar freebsd 6
De upgrade is uiteindelijk gelukt.
Echter blijft het probleem...
Iemand nog suggesties?

6 als in 6-CURRENT? Is dat niet een beetje extreem voor een server waar meer mensen dan jij alleen op werken? Ik zou het bij 5.3-RELEASE houden, of hoogstens 5-STABLE als je daar iets uit nodig hebt.

Over je probleem:
Ik heb een dergelijk probleem eerder gezien met ipfw/natd. Uiteindelijk ben ik toen overgestapt op ipfilter/ipnat, en toen was het probleem verdwenen. Misschien ook eens iets om te proberen? Aangezien je firewall zo te zien helemaal open staat, hoef je geen eens regels voor ipfilter te maken - alleen ipnat is genoeg. Simpele configuratiebestanden hiervoor zijn op het internet overal te vinden, maar als je er toch geen kan vinden dan geef ik er graag een paar aan je.

[_JGC_]

6.0 is wel een hele grote stap naar de onbekende instabiele speeltuin

Zelf heb ik goede ervaring met pf, de firewall van OpenBSD. Deze is gewoon via ports te installeren op FreeBSD 5.x, alhoewel de latere FreeBSD (5.3 AFAIK) releases dit tegenwoordig in de base hebben zitten.

Het mooie van pf vind ik dat het zo enorm overzichtelijk is:

nat on sis0 from 10.10.0.0/24 -> sis0

Vind ik persoonlijk heel wat netter dan die iptables rotzooi die je met linux ziet. Hoe het met FreeBSD zn ipfw of ipfilter zit weet ik niet, maar zelf heb ik geen enkel probleem met pf, niet op OpenBSD, niet op FreeBSD.

[nightwatcher_b]

Ja freebsd 6 was een foutje tijdens installatie, had met mijn stomme kop standard-supfile gepakt ipv. de stable.

Gelukkig draaid ook freebsd 6 mooi stabiel, echter is het probleem niet opgelost.
We gaan volgend weekend een hardwarematige router er tussen gooien om uit te sluiten dat het in de modem zit. Mocht het toch in de server zitten, stel ik een nieuwe server samen met een nieuwe freebsd installatie.

[AVL]

Je gaat niet ipf/ipnat (of pf) uitproberen? Dat is namelijk niet ingewikkeld, en het zou erg handig zijn als je dan al gelijk de oplossing van je probleem gevonden hebt.

Wat je daarvoor moet doen (ipf/ipnat case):
1) compile een kernel met de volgende opties:

code:

options         IPFILTER                #ipfilter support
options         IPFILTER_LOG            #ipfilter logging

Haal de opties die je erin gezet had voor ipfw weg.

2) Maak een configuratiebestand aan voor ipnat, /etc/ipnat.rules:

code:

map rl0 0/0 -> 0/32 proxy port ftp ftp/tcp
map rl0 0/0 -> 0/32 portmap tcp/udp auto
map rl0 0/0 -> 0/32

(rl0 vervangen door je externe netwerkkaart)

3) Zet ipnat aan in /etc/rc.conf (en verwijder verwijzingen naar ipfw/natd)

code:

ipnat_enable="YES"

Meer is niet nodig als je geen firewall wilt gebruiken.

[ Voor 5% gewijzigd door AVL op 19-12-2004 20:27 ]

[Niek]

Het lijkt erop dat ik hetzelfde probleem heb, maar dan met een Linux bak. Volledig random disconnects, soms een keer om de zoveel minuten, soms gaat het uren lang goed. Erg irritant met bijv IRC, waarbij je telkens disconnect en opnieuw moet verbinden.
Ik heb al geprobeerd m'n connecties omhoog te schroeven (echo 65535 > /proc/sys/net/ipv4/ip_conntrack_max), maar dat help allemaal niet. Het liefste zou ik connection tracking uitzetten, maar dat schijnt niet mogelijk te zijn als je NAT gebruikt.
BTW, mijn firewall staat hier: http://niekvandermaas.nl/zooi/firewall.sh.txt
Iemand die een ideetje heeft?

[nightwatcher_b]

Ik wilde nog even opmerken dat het probleem is opgelost.
Het heeft al die tijd aan de adsl-modem gelegen.
Was schijnbaar een brakke modem. Heb er nu een Linksys modem tussen gezet.
En alles draaid perfect. Ondanks het wifi-netwerk, valt msn of andere verbindingen helemaal niet meer uit.
En wat betreft freebsd 6, we laten het maar zo, hij draaid mooi stabiel, geen problemen mee.
Als freebsd 6 stable uitkomt gaan we het wel weer updaten.
Allen bedankt voor jullie reacties!