Results 1 to 11 of 11

Thread: wl-500gp сервера за NAT

  1. 01-10-2008, 11:09 #1
    ostin
    ostin is offline Junior Member
    Send a message via ICQ to ostin
    Join Date
    Jun 2006
    Posts
    20

    wl-500gp сервера за NAT

    Приветствую.

    Наклюнулась тут проблемка.. Имею 2 сервера за роутером (http, socks). На роутере оба сервера добавлены в virtual servers
    Но существует проблема. Достучаться до серверов извне крайне проблематично. Особенно если делать это в несколько потоков (сразу несколько клиентов http или несколько запросов по socks). Пакеты не теряются, а как будто становятся в дикую очередь и никак не пролазят
    Был бы рад дельному совету.

    Спасибо.
    Reply With Quote Reply With Quote
  2. 01-10-2008, 12:09 #2
    6opoga
    6opoga is offline Member
    Join Date
    May 2006
    Posts
    97
    Quote Originally Posted by ostin View Post
    Приветствую.

    Наклюнулась тут проблемка.. Имею 2 сервера за роутером (http, socks). На роутере оба сервера добавлены в virtual servers
    Но существует проблема. Достучаться до серверов извне крайне проблематично. Особенно если делать это в несколько потоков (сразу несколько клиентов http или несколько запросов по socks). Пакеты не теряются, а как будто становятся в дикую очередь и никак не пролазят
    Был бы рад дельному совету.

    Спасибо.
    Имею такую же байду. При этом ситуация очень неустойчивая - "дикая очередь" наблюдается только с одной из моих площадок. С других все нормально, с проблемной площадки на винт прямо на роутере - тоже нормально.
    Причем проблема именно с аплоадом в локалку сквозь роутер, и безразлично, принимает их ftp в режиме port, passive или вообще scp. Если же я тупо делаю изнутри wget проблемная-площадка/чего-нибудь-толстое, то всасывается все на ура.
    Такое ощущение, что на роутере как-то коряво работает связка conntrack/dnat.
    Reply With Quote Reply With Quote
  3. 02-10-2008, 11:52 #3
    ostin
    ostin is offline Junior Member
    Send a message via ICQ to ostin
    Join Date
    Jun 2006
    Posts
    20
    может с mtu поиграться?
    tcpdump на роутере периодически выдает:

    шлюз_провайдера > ИП_моего_сервера: icmp 68: time exceeded in-transit
    Last edited by ostin; 02-10-2008 at 12:02.
    Reply With Quote Reply With Quote
  4. 02-10-2008, 18:31 #4
    tiny
    tiny is offline Member
    Join Date
    Nov 2007
    Posts
    82
    Quote Originally Posted by 6opoga View Post
    на роутере как-то коряво работает связка conntrack/dnat.
    Я думаю, вы правы. Не может свойство VSERVER добавлять одну строку в nat_rules а PRE/POSTROUTING при этом быть гораздо сложнее
    Reply With Quote Reply With Quote
  5. 03-10-2008, 08:23 #5
    6opoga
    6opoga is offline Member
    Join Date
    May 2006
    Posts
    97
    Quote Originally Posted by tiny View Post
    Я думаю, вы правы. Не может свойство VSERVER добавлять одну строку в nat_rules а PRE/POSTROUTING при этом быть гораздо сложнее
    У меня сложилось ощущение, что не работает mtu path discovery. И не работать оно может если не проходит icmp. Вот только почему оно через SNAT работает, а через DNAT - нет?
    Reply With Quote Reply With Quote
  6. 03-10-2008, 10:09 #6
    tiny
    tiny is offline Member
    Join Date
    Nov 2007
    Posts
    82
    Quote Originally Posted by 6opoga View Post
    У меня сложилось ощущение, что не работает mtu path discovery. И не работать оно может если не проходит icmp. Вот только почему оно через SNAT работает, а через DNAT - нет?
    Вам же доступны файлы /tmp/filter_rules и /tmp/nat_rules
    Посмотрите, покурите маны по их модификации, сравните настройки DNAT и SNAT.

    Хотя, делать statefull проброс icmp на сервер за nat имхо не целесообразно, нужно по-другому делать path mtu discovery между роутером провайдера и компьютером за nat.

    Можно просто статически изменить mtu.

    Второй вариант - поставить и настроить вместо NAT прокси в реверс-режиме.
    Reply With Quote Reply With Quote
  7. 03-10-2008, 10:17 #7
    tiny
    tiny is offline Member
    Join Date
    Nov 2007
    Posts
    82
    Кстати, может быть просто несоответствие mtu внутри и снаружи, тогда может быть нужно поставить mtu поменьше для локалки и интернета, заведомо меньше того, что предлагает роутер провайдера.
    Reply With Quote Reply With Quote
  8. 03-10-2008, 14:04 #8
    6opoga
    6opoga is offline Member
    Join Date
    May 2006
    Posts
    97
    Quote Originally Posted by tiny View Post
    Вам же доступны файлы /tmp/filter_rules и /tmp/nat_rules
    Посмотрите, покурите маны по их модификации, сравните настройки DNAT и SNAT.
    Спасибо за совет. Курю уже третью неделю Не говоря уже о том, что 15 лет работаю с сетями. К сожалению, все не так просто.

    У меня в роутер входят два внешних интерфейса. Один - ppp0 с mtu 1460. Второй - ethernet с mtu 1500. Картина идентична для обоих. Зато вот анализ трафика с проблемной площадкой показывает, что обмен идет пакетами размером 1300, т.е. заведомо в рамках обоих mtu. Т.е. выставляет такой размер кто-то по пути между площадкой и роутером.

    Я вообще сюда написал с целью новых идей получить, пусть самых бредовых. Потому что у меня идеи уже кончились.
    Reply With Quote Reply With Quote
  9. 03-10-2008, 14:34 #9
    Power
    Power is offline wl-500gp user
    Join Date
    May 2007
    Location
    Истра
    Posts
    1,246
    Quote Originally Posted by ostin View Post
    Достучаться до серверов извне крайне проблематично. Особенно если делать это в несколько потоков (сразу несколько клиентов http или несколько запросов по socks). Пакеты не теряются, а как будто становятся в дикую очередь и никак не пролазят
    Может, это работает защита от DoS (в iptables цепочка SECURITY)? Она как раз занимается ограничением частоты новых соединений.
    Reply With Quote Reply With Quote
  10. 06-10-2008, 13:30 #10
    6opoga
    6opoga is offline Member
    Join Date
    May 2006
    Posts
    97
    Quote Originally Posted by Power View Post
    Может, это работает защита от DoS (в iptables цепочка SECURITY)? Она как раз занимается ограничением частоты новых соединений.
    Нет, не она - проверено.
    Reply With Quote Reply With Quote
  11. 25-01-2009, 08:32 #11
    ostin
    ostin is offline Junior Member
    Send a message via ICQ to ostin
    Join Date
    Jun 2006
    Posts
    20
    В настройках Internet Firewall есть пункт "Number of connections to track" по умолчанию стоит 4096 вроде
    увеличил до 8192 - проблем больше не наблюдаю.
    Reply With Quote Reply With Quote
« Previous Thread | Next Thread »

Similar Threads

  1. How can I detect the Hardware Version of the 500gP ?
    By nipec in forum WL-500gP Q&A
    Replies: 14
    Last Post: 26-04-2008, 22:36

Posting Permissions

  • You may not post new threads
  • You may not post replies
  • You may not post attachments
  • You may not edit your posts
  •  

Forum Rules