IPFW 确实让我失望。

Darleter

刚接触时，感觉很好。甚至痴迷。
后来遇到什么都用它来做。
最难的就是用它写了三线（2ADSL和1光纤）的线路负载均衡。
成功完成后相当开心，之后实际环境上。发现prob这个断包有着致命问题。
最后只能放弃IPFW当3线网关的想法。改由其他替代方案。
后一台ipfw+apache反向代理，机器还没有死机，进程数都正常的情况下
7000个连接数都没有问题。2000个apache进程数。
结果跑了几周后，频频死机。远程上去后，apache没有死，进程数也不多，就是ping不了外网。
不由怀疑ipfw问题。遂ipfw disable firewall.
到目前为止没有问题。
唉。
难道真的是IPFW不行？？

kisswen

pf飘过～

axlrose

因为pf可以在三个BSD下用，所以选的pf来学习

lsstarboy

楼主加了状态表了吧，ipfw如果不加状态表的话，感觉还是很稳定的。我们学校现在５００台机器，还给四台web服务器做端口映射及nginx的反向代理，除了停电的时候，ipfw一直工作的很好，最长连续运行时间接近２００天，感觉要比几千元的路由器要强。

加上状态规则（keep state 和 limit），一天也撑不过去，死掉没商量。

ipfw最郁闷的地方是fwd功能，想做个包劫持实在不容易。

iceblood

估计是开了动态规则的原因。
net.inet.ip.fw.dyn_max: 4096
net.inet.ip.fw.dyn_count: 1138
这个为目前使用数，看看是不是已经接近4096了
如果是就设置net.inet.ip.fw.dyn_max这个到65535试试看。
另外你的apache怎么2000个进程？进程模式？并且保持连接？这非常吃资源。
关闭保持连接。

[ 本帖最后由 iceblood 于 2009-11-27 08:52 编辑 ]

firecpk

难道IPFW 真的 比PF 弱一点 ？？？

Darleter

原帖由 iceblood 于 2009-11-27 08:49 发表
估计是开了动态规则的原因。
net.inet.ip.fw.dyn_max: 4096
net.inet.ip.fw.dyn_count: 1138
这个为目前使用数，看看是不是已经接近4096了
如果是就设置net.inet.ip.fw.dyn_max这个到65535试试看。
另外你 ...

多谢回复
没有keep-state
没有limit等
另apache keepalive off后 后果就是 load average 非常高。
我是开了keepalive 但调低了 keepalivetimeout 。
高手还有没有其他更好的解决方案。
谢拉。

macafee

楼主不会是拿个古董鸡想跑出个超过XEON 5500系列的水平吧？

lsstarboy

同意楼上，如果没有蹩脚的规则，ipfw抗7000个连接应该没有问题。

楼主最好还是放一下完整的脚本，我们都参考一下，或许还有可以改进的空间。

zhengwei_zw

我不觉得ipfw不行呢。iptables我也觉得可以，pf也觉得可以。

只是觉得 windows的天网防火墙 不行。