论坛徽章:: 0

电梯直达

1楼 [收藏(0)] [报告]

发表于 2007-09-09 10:00 |只看该作者 |倒序浏览

1 从理论上将,内核的ip_conntrack的hash表总有满的时候,此时dmesg就会出现ip conntrack table full,droping packet......

增加ip_conntrack_max的值和修改ip_conntrack_tcp_established_timeout等的值也不是终极解决方案,如果我用一个udp的洪水攻击攻击,
源地址,目的地址,源端口,目的端口均是伪造的.并且速率适中,则随着时间的推移,hash表肯定会满.
谁能够提高一个能够完美解决此问题的方案?
2 ip_conntrack模块为何对访问本机的也写入到hash表中去了?这样做意义何在?

文库|博客

platinum

广告杀手

论坛徽章:: 0

2楼 [报告]

发表于 2007-09-09 22:15 |只看该作者

访问本机的也写入 hash，是为了 ip_conntrack_helper，例如 ftp 这样的协议
若本机架设 FTP 服务，在只开 TCP/21 的情况下，若不使用 ip_conntrack_ftp，则 FTP 的被动模式是无法连通的

实战分享：从技术角度谈机器学习入门| 【大话IT】RadonDB低门槛向MySQL集群下战书 | ChinaUnix打赏功能已上线！ | 新一代分布式关系型数据库RadonDB知多少？

返回列表

Chinaunix › 论坛 › 程序设计 › 内核源码 › 理论上,conntrack表总有满的时候......

理论上,conntrack表总有满的时候...... [复制链接]

浏览过的版块