epoll模型的使用及其描述符耗尽问题的探讨

思一克

你可以设置一个timeout, 超过的cfd(在ACCPTE处）一律关闭

思一克

可能不是好方法：

while( ......... accept()  ....) {


  ....这里检查全局的time_t fd_create[5000];

}

关闭时设置fd_create[fd] = 0;

思一克

wyezl,

攻击不会影响FD。FD是已经建立的连接没close.

思一克

这个帖子可以做为精华了。因为问题微妙又棘手，有普遍性，尤其对与EPOLL

思一克

应该不是epoll本身的问题。epoll采样事件，如果事件没有来它也无能为力。timeout是必须的

思一克

TO nuclearweapon，

你说的对。但他的问题是accept之后的fd被耗尽了，那就是有连接的socket.

如果那些DDOS攻击，往往是半连接（部分IP包），accept不了。

原帖由 nuclearweapon 于 2006-8-22 15:25 发表


我记得和斑竹有一些出入。
因为：
只要有socket就会有一个inode，也就会有一个fd。而不是连接以后才会有fd的。
对于linux2。6来说
每当在内核创建完struct socket后，就会调用sock_map_fd()在调用进程创建 ...

思一克

To nuclearweapon,

也有可能是攻击引起的。让他继续实验。
半连接accept能成功返回fd吗？我不是十分肯定。

思一克

TO nuclearweapon,

你肯定没有建立的连接，没有accept的也消耗KERNEL中的fd吗？ 我不SURE

思一克

TO nuclearweapon，

我刚才看了KERNEL代码，看到fd消耗只有3个函数socket() , accept(), socketpair(), 而且都是成功后才消耗fd. 网络程序其它任何地方没有看到用fd的？

半连接能消耗fd吗，我不是很清楚。如果你清楚就写出来。

谢谢

原帖由 nuclearweapon 于 2006-8-22 15:45 发表
对于半连接来说accpet是不能返回了，但是在内核中fd已经建立起来了，也就消耗了一个进程的可用fd数量。

思一克

TO LZ,

我的服务器也有许多攻击 SYN_RECV. 但基本不影响，更没有fd没有了的情况。