关于网速变慢与iptables的关系

suiyi2599

现在公司网络变得很慢，但是我每次重启iptables
的时候网速又会快起来，但过不了一会儿，网速
又会慢了下来的了，请教大家了！！！

springwind426

你可以在网关机器上抓包看看是否有网络蠕虫的踪迹！

看看/proc/net/ip_conntrack中的信息。

如果有蠕虫的话，在nat表的PREROUTING链上做一些限制，这样就可以将许多废包去掉，省得它们占用宝贵的系统资源。

cexoyq

原帖由 springwind426 于 2006-5-17 13:16 发表
你可以在网关机器上抓包看看是否有网络蠕虫的踪迹！

看看/proc/net/ip_conntrack中的信息。

如果有蠕虫的话，在nat表的PREROUTING链上做一些限制，这样就可以将许多废包去掉，省得它们占用宝贵的系统资源。

网络蠕虫的踪迹的具体表现形式是什么？
怎么限制？
可以讲一下吗？
谢谢了。

suiyi2599

上面的朋友能不能说清楚一点啊！

platinum

原帖由 springwind426 于 2006-5-17 13:16 发表
你可以在网关机器上抓包看看是否有网络蠕虫的踪迹！

看看/proc/net/ip_conntrack中的信息。

如果有蠕虫的话，在nat表的PREROUTING链上做一些限制，这样就可以将许多废包去掉，省得它们占用宝贵的系统资源。

不知道“网络蠕虫的踪迹”指的是什么？
不知道看过 /proc/net/ip_conntrack 后能得出什么结论？
不知道为何要在 nat 表的 PREROUTING 链做限制？

springwind426

我以前碰到过这个问题：

网络中冲击波病毒泛滥（在网关上抓包可以看到）

然后看/proc/net/ip_conntrack连接数非常多

后来我在nat表的PREROUTING链中直接将这种类型的数据包DROP掉了

再抓包，看连接数就降下来了！

platinum

原帖由 springwind426 于 2006-5-19 09:35 发表
我以前碰到过这个问题：

网络中冲击波病毒泛滥（在网关上抓包可以看到）

然后看/proc/net/ip_conntrack连接数非常多

后来我在nat表的PREROUTING链中直接将这种类型的数据包DROP掉了

再抓包，看连接数 ...

抓包可以看到？看到什么？什么样的包是冲击波？
连接数非常多？多少算多？你对“多”的衡量标准是什么？
在 nat 表的 PREROUTING 链做 DROP，为什么在这里做而不在别的地方做？

cwmould

我在是forward链上将135,445之类DROP掉，不知道怎么样在PREROUTING链中直接将这种类型的数据包DROP掉？如果禁掉135（冲击波），请DX定一下语句

springwind426

iptables -t nat -A PREROUTING -p tcp -m multiport --ports 135,137,138,139,445 -j DROP
iptables -t nat -A PREROUTING -p udp -m multiport --ports 135,137,138,139,445 -j DROP

因为我的内网对外是不需要进行文件共享方式访问的，因此我将这些端口全部关闭



to platinum ：

如果我的连接数正常情况下为2000多，那么出现5万的情况下我认为就是太多了。

因为我的内网正常情况下没有对外网的文件共享请求，因此我抓包的时候出现135,137,139,445的端口的访问，我就认为这不是正常的访问！

您说对不！

suiyi2599

我看了ip_conntrack的内容，里面没有你说的那些端口信息，
我做了网关的端口镜像，用sniffer抓了包，不过不知道怎么来定义那些病毒
的特征，你是怎么观看的，我公司电脑大概240台，能上网的大概140台，
在ip_conntrack下面大概有2500个连接，请教了！