¿Cómo convertir iptables sin estado?


17

Estoy ejecutando un servidor Linux que, de vez en cuando, se enfrenta a una gran carga y la tabla conntrack se desborda. Como su conjunto de reglas de firewall de iptables es muy simple, me gustaría convertirlo en modo sin estado. Sé que iptables puede operar en modo de seguimiento de conexión con estado y en modo sin estado.

Mis reglas de firewall están en su lugar. Estoy bastante seguro de que no tienen estado, pero mi pregunta es ¿cómo puedo verificar que el firewall realmente esté funcionando en modo sin estado?

Respuestas:


19

Debe especificar algunas reglas de iptables para evitar que los paquetes se integren:

iptables -t raw -I PREROUTING -j NOTRACK
iptables -t raw -I OUTPUT -j NOTRACK

en realidad es "-t raw" y no "-t RAW", pero esa fue la pieza faltante. ¡Gracias!
tex

2
Lo sentimos, pero esto no responde a su pregunta, ya que en realidad era "¿cómo puedo verificar que el firewall realmente funciona en modo sin estado".
poige

Por favor disculpe mi redacción. Mi inglés no es perfecto, pero esa fue exactamente la solución para mi problema.
tex

4

cat /proc/net/ip_conntrack muestra todo el seguimiento de la conexión.

Entonces, si no tiene estado, la salida del comando anterior debe estar vacía.

(Alternativamente, use cat /proc/net/nf_conntrack)


3

Instale conntrack y mire la salida. Estoy bastante seguro de que si no tiene estado, no se mostrarán las conexiones.

Al usar nuestro sitio, usted reconoce que ha leído y comprende nuestra Política de Cookies y Política de Privacidad.
Licensed under cc by-sa 3.0 with attribution required.