慎用 pf 中的 scrub in all

hightman

在 freebsd 缺省的 pf.conf 及常见的配置里都有一句

scrub in all

今天碰到一个大问题就是它产生的，Ａ服务器提供pgsql服务，运行 freebsd 6.0 + pf (含scrub in all)
所有客户机过来连接取数据时，如果数据量比较小没有问题完全健康

当数据量大时，即一个包的数据可能超过网卡的ＭＴＵ值，这时包会切开，可能恰恰是这个 scrub in all
调整的数据包，结果导致客户机始终等待收包．．．汗晕死

结果就是ＰＧＳＱＬ的大堆连接不断开，死悄悄了

把 scrub in all 前加个#，问题解决，呵呵，这个智能调包还可能是有些小问题，建议慎用！！

hightman

顺便提一下，这句最好不要用，因为和客户的上网方式（现在上网的路由器千奇百怪，什么都有）和服务器的网卡（也是很多，目前我都单网卡绑双线ＩＰ）都有关系

所以 scrub in all 难免会出错，建议不要用．

突然想起，上周一个很奇怪的问题，客户访问我们的服务器（ＷＥＢ／８０）连接建立（从netstat中看到）很多，有３０条，但他们说一个网页也打不开，只有少量比较短的页面可以．

看来同一个原因啊！！晕死


[总结一下] 使用 scrub in all 可能导致传输中丢数据包或数据包被改了后chksum不对之类，而使client陷入苦等，甚至不断的发起连接

congli

嗯,只习惯在外网卡上用.
scrub in on $ext_if

hightman

原帖由 congli 于 2007-5-23 11:27 发表
嗯,只习惯在外网卡上用.
scrub in on $ext_if

目前我出问题的位置正好是在外网的网卡呢，而且单ＩＰ．不过客户机过来是双ＩＰ的其中一个，总之有些特定的情况下才会发生．

这种最烦了，客户打电话来就质问为什么访问不了我们的站，我们测试甚至叫别人测试都可以，那天花了好久和那边的人一起查，在服务器上明明看到和他们ＩＰ建立了连接，但数据对方没收到，直到超时，而ＩＥ却不停的发起重连．．．．：（

congli

哦,因为没跑PGSQL,所以没见过这情况.

llzqq

没遇到过

h7yqsys00t

我猜想，估计客户机改了网卡的默认设置，发送的数据包不是默认大小？

剑心通明

还真没遇到过

屠龙

我这里scrub in all fragment reassemble，目前还没有出现你所说的类似情况。

dingjeff

没碰到过这种问题。