[讨论] 清除本地服务器已建立TCP连接的方法[有了一个实现方法]

Godbach

呵呵，网上很多结果都是说用hping来发送RST包，指定srcip, sport, dip,dport。

唉，要么只能看他的源码了。

白金兄使用以前测试过吗？

Godbach

转过来一个mailist上的解决方法，同样是用hping。作者自己测试结果说works well.

杨华  youngh0702@21cn.com
Wed, 25 Jun 2003 11:06:53 +0800

    * Previous message: clear the ip_conntrack entry
    * Next message: clear the ip_conntrack entry
    * Messages sorted by: [ date ] [ thread ] [ subject ] [ author ]

Hi everyone :
        I have notice that many request about how to clear the
/proc/net/ip_conntrack entry , and someone suggest that it have no
resolution except restart the interface .
        I think the answer : send a fake ip packet (with RST set) to
firewall , to let it think the connection terminate .
        By this methode , I have the following script written , it work
well for me.
        To use this script , you must have hping2 installed , it can be
download from http://www.hping.org
--------- clr_conns start  ------------------
echo
echo "############################"
echo "# Edit by Youngh 2003.06.24 v1.1 "
echo "# Usage : clr_conns IpAddress"
echo "#            This will clear all connections from this IP_Address"
echo "# Example:/root/clr_conns  10.0.3.3 "
echo "############################"
echo



if [ -z $1 ] ; then
        exit
fi


grep -E "^tcp .{10,25}ESTABLISHED src=$1 " /proc/net/ip_conntrack | while read line ; do
        S_IP=`echo $line | awk '{print substr($5,5)}'`
        S_SOCK=`echo $line | awk '{print substr($7,7)}'`
        D_IP=`echo $line | awk '{print substr($6,5)}'`
        D_SOCK=`echo $line | awk '{print substr($8,7)}'`       
        echo "$S_IP:$S_SOCK $D_IP:$D_SOCK"

        hping2 $D_IP -R -s $S_SOCK -p $D_SOCK -a $S_IP -k -c 1 >/dev/null 2>/dev/null &

done       

----------------clr_conns end --------------------------------

platinum

很遗憾，我没有测试过……

Godbach

是否可以考虑内核态做一些工作呢：
记下内核中所有新建连接对应的sock，然后需要删除的时候，对相应的sock调用tcp_close函数。

Godbach

初步验证了hping的实现，可参考1楼的实现方法。

急不通

回复 13# Godbach


    conntrack是做连接跟踪，如果连接很规范的断开，conntrack表项当然就会被清除掉，否则就要等到表项timeout，各种连接状态下，timeout值是不同的，tcp established状态默认要5天才timeout。

Godbach

，tcp established状态默认要5天才timeout。

这个值好像也是和conntrack关联的，我测试了，将其修改的时间短一些，conntrack的记录是没有了，但是netstat的结果还有的

heidern

回复 1# Godbach


    怎么获得连接的序列号?

Godbach

回复  Godbach


    怎么获得连接的序列号?
heidern 发表于 2010-08-13 09:54

你问的就是关键问题。
如果获取某个已经建立连接的序列号，准确点说，就是客户端下次发包应该使用的序列号。

大家可以讨论一下，有哪些好的方法？

heidern

....一天了没人回复{:3_180:}