稼艶岳韓庄鉛岳艶姻を旋喘した禽皆永酌篇
?
5 likes?11,802 views
netfilterのconntrack tableを旋喘した、L4レイヤ`のリアルタイムステ`タスOについて
![conntrack table entry
¢
[ASSURED] [UNREPLIED] のconntrack statusで嗤燭conntrackなのか登eす
る
¢
[ASSURED]は篤されず、[UNREPLIED]はtimeoutか貧淙に_すると篤され
る
¢
conntrackのprotocol status、TCPなら SYN_SENT, ESTABLISHED,
CLOSE_WAIT, TIME_WAITなど](https://image.slidesharecdn.com/dspmonitoring-131216085416-phpapp01/85/netfilter-DSP-8-320.jpg)
![登協ロジック その1
¢
[ASSURED] + SYN_SENTがえる(SYN_ACKが｢ってこない)
¢
HALF-ASSUREDがえる([ASSURED][UNREPLIED]にw卞しない])
◎
コネクション勣箔に払，靴討い](https://image.slidesharecdn.com/dspmonitoring-131216085416-phpapp01/85/netfilter-DSP-10-320.jpg)
![登協ロジック その2
¢
[ASSURED] + ESTABLISHEDがえる(K阻しない宥佚がえる)
◎
コネクションは_羨しているがレスポンスがない](https://image.slidesharecdn.com/dspmonitoring-131216085416-phpapp01/85/netfilter-DSP-13-320.jpg)
稼艶岳韓庄鉛岳艶姻を旋喘した禽皆永酌篇
- 5. ステ`タスのO圭隈 ¢ これにnetfilterのconntrack tableを試喘 ¢ conntrack tableにはvyattaを宥^するすべての宥佚がリアルタイムで啜弔鳳３ される ¢ conntrack tableは謹いときで10嵐除いリストになることも ¢ conntrack tableを試喘したO圭隈はiptables(ip masquarede)をつかっている 険b麗
- 6. netfilterとは ¢ 芦寒秤鵐轡好謄爐犬磴覆い(僥丕鬚吋侫ルタリングソフト) ¢ カ`ネルのパケットI尖をhookしてユ`ザランドで崙囮できるようにしたものなので、 ユ`ザ箸撚掀、歌孚しやすい侘B ¢ iptablesが嗤兆だけどコンポ`ネントの匯つ、麿にもいくつかある ¢ conntrack, ulogd, ip6tables, arptables, ebtables吉 ¢ netfilterプロジェクトの匯つがiptablesなだけ、屶址パッチも謹方贋壓 http://en.wikipedia.org/wiki/Netfilter http://www.netfilter.org/
- 7. conntrack table ¢ connection tracking(弖E)の待ですべての宥佚がリアルタイムにhされる ¢ TCPの宥佚がK阻した栽でも、O協されたタイムアウトまで們eされる ¢ タイムアウトするとconntrack tableから篤される ¢ つまりリアルタイムの宥佚參翌の秤鵑conntrack tableにはhされている ¢ Oする栽は貧の勣殆を電茅しないといけない ¢ conntrack entry(嶄附)で蛍けることが辛嬬 ¢ src dst IPとPortのtupleをhash晒して互堀にI尖している(hash table)
- 8. conntrack table entry ¢ [ASSURED] [UNREPLIED] のconntrack statusで嗤燭conntrackなのか登eす る ¢ [ASSURED]は篤されず、[UNREPLIED]はtimeoutか貧淙に_すると篤され る ¢ conntrackのprotocol status、TCPなら SYN_SENT, ESTABLISHED, CLOSE_WAIT, TIME_WAITなど
- 9. conntrack entryのみかた ¢ cat /proc/net/nf_conntrack でもれるけどr旗議には硬い ¢ 恷仟のカ`ネルだとprocfs徭悶からえていたりする ¢ conntrack-toolsを聞う、catより10蔚參貧壼いしオプションもN源 ¢ cat /proc/net/nf_conntrack(6sec) ★ conntrack -L(0.5sec)
- 15. ､糧ゝ歎酬 ¢ vyattaのconntrack tableをperlスクリプトでパ`ス tcp_ss:68 tcp_sr:0 tcp_e:1035 tcp_fw:1638 tcp_cw:2736 tcp_la:225 tcp_tw:30220 tcp_c:5163 tcp_a:33064 tcp_u:5273 tcp_ha:12 tcp_tot:38349 udp_a:91 udp_u:2 udp_ha:4844 udp_tot:4937 icmp_u:0 icmp_ha:1 icmp_tot:1 igmp_u:0 igmp_ha:0 igmp_tot:0 other_a:0 other_u:7 other_ha:0 other_tot:7 tot_a:33155 tot_u:5282 tot_ha:4857 tot:43294 ¢ http://forums.cacti.net/post-187384.html cacti forumのpluginを旋喘 ¢ パ`スした､snmpU喇でOサ`バが函誼 ¢ 徭恬nagios pluginでｱO、cactiでグラフ晒