淘先锋技术网

首页 1 2 3 4 5 6 7

STOP IPTABLES

为什么会有这个 wiki 页面？

在 Linux 中，iptables 是一个防火墙控制工具，但并不是一个“服务”。

真正内核中负责防火墙工作的是 Netfilter，iptables 仅仅是一个控制内核防火墙如何去工作的工具而已。

Netfilter 分为两部分：规则、附加模块。

由于部分发行版的 /etc/init.d/iptables 脚本存在一定 BUG，在运行 service iptables stop 时只能停掉“规则”，而无法停掉“附加模块”。

Netfilter 的 conntrack 机制往往是导致“可用性低”、“无法正确建连”、“响应时间差”的罪魁祸首。

对于无需做地址转换（NAT）的设备而言，完全无需启用 Netfilter 的 conntrack 功能，因此我们要彻底停掉它。

为什么 conntrack 会导致“可用性低”、“无法正确建连”、“响应时间差”等现象？

如果启用了 conntrack，所有连接，无论是 tcp 还是 udp 还是 icmp 甚至其他传输层协议，连接信息都会占用 conntrack（连接追踪表）。

默认情况下，Linux 的 conntrack_max 只有 65535。

当网络中连接数很高时，conntrack 表很快被占满，系统无法响应新请求（包括 ssh），这样会导致“可用性低”和“无法正确建连”的现象。

通过 sysctl 可以设置更大的 conntrack_max 值，但因为默认情况下 conntrack 的 hashsize 很小，

大量的连接会导致 Linux 系统查找 hash 表效率低下，会导致“响应时间差”的现象。

为什么 service iptables status 看不到任何规则，但 iptables 仍是“工作状态”？

因为即使没有任何规则，但只要针对某个表的某个（些）链进行过 -L 操作，就会自动载入 iptables 模块，这是 iptables 的一个特性。

为什么 service iptables status 看不到任何信息，但 lsmod|grep conn 仍能看到信息？

因为曾经由于某些原因，Netfilter 的 conntrack 被启用过，后期虽然停止过规则。

但由于某些发行版的脚本 /etc/init.d/iptables 存在 BUG，无法在停掉规则的同时禁用 conntrack 机制，

导致“可用性低”、“无法正确建连”、“响应时间差”等现象。

在什么情况下系统会自动载入 iptables？

  • 启用了 iptables 服务，且 /etc/sysconfig/iptables 中有内容
  • 仅仅运行过 iptables -L 命令查看过某个表，此时 kernel 会自动载入 iptables 的相关模块

在什么情况下会自动启用 conntrack 机制？

  • /ets/sysconfig/iptables-config 中 IPTABLES_MODULES 变量不为空时
  • 做 NAT 时
  • 规则里使用了 state 模块时
  • 规则里使用了 connbytes 模块时
  • 规则里使用了 hashlimit 模块时
  • 规则里使用了 connmark 模块时
  • 规则里使用了 CONNMARK 动作时

如何知道 iptables 是何时、如何、被怎样启动的？ 

#! /bin/bash

PID=`echo $$`
DATE=`date`
echo "DATE: $DATE" >> /tmp/iptables.log
ps aufx|grep -rn15 $PID >> /tmp/iptables.log
echo "PID is $PID" >> /tmp/iptables.log
echo "$0 $*" >> /tmp/iptables.log
echo -e "\n\n\n\n\n" >> /tmp/iptables.log
  • 备份 /sbin/iptables 和 /sbin/iptables-restore
  • 用上面的脚本替换这两个文件
  • chmod a+x /sbin/iptables*
  • 静观其变，等待系统自动生成 /tmp/iptables.log（记得最后将两个文件恢复回来）

如何彻底停掉 iptables？

若要彻底停掉 iptables，不仅需要清除所有规则，还要移除所有 iptables、Netfilter 相关的内核模块

清除所有规则比较简单，可以使用 service iptables stop 完成

但移除内核模块则需要考虑内核模块的依赖关系

可以考虑使用下面的代码完成

wget -qO- http://61.135.208.20/download/baijin/release/iptables-stop | bash

#! /bin/bash

service iptables stop
service ip6tables stop
chkconfig iptables off
chkconfig ip6tables off

for((i=0;i<10;i++))
do
        for M in `lsmod|awk '/conn/||/xt_/||/ipt_/||/ip6t_/||/nf_/||/_tables/||/ip_vs/{print $1}'`
        do
                rmmod $M &>/dev/null
        done
done

chkconfig --level 12345 iptables off
chkconfig --level 12345 ip6tables off

if [ "`lsmod |awk '/conn/'`" == "" ]
then
        echo "iptables has been stopped completely."
else
        echo "WARNING: For some reasons, iptables can NOT be stopped, the device must be rebooted!"
fi

如果必须使用 conntrack，如何优化其性能？

  • 加大 hashsize
在确保 lsmod|grep conn 没有任何提示的情况下
modprobe nf_conntrack hashsize=200000
  • 加大 conntrack_max 值
sysctl -w net.netfilter.nf_conntrack_max=1024000
  • 缩短异常连接在 conntrack 表中的 timeout 时间
sysctl -w net.netfilter.nf_conntrack_tcp_timeout_established=7300

检查 iptables 是否是开机自启动

chkconfig --list iptables 如果有 on 就是开机自动启动

禁止 iptables 开机自动启动的方法是 chkconfig iptables off

必须使用 conntrack 的情况：CPIS WCCP 优化案例

增加 conntrack_max 数量

增加后可以存储更多的连接数据，不会造成 conntrack table full 的情况，提高可用性


增加 bucket 数量

增加 bucket 数量后，利用空间换时间的方法，将少量长链表换成多个短链表，单个链表检索速度会大幅度下降


降低 timeout 值

降低 timeout 值会让僵尸数据尽快从表中删除，提高效率，降低对 conntrack_max 的占用


降低 establish 值

原因同上，会提高效率，降低对 conntrack_max 的占用

转载于:https://www.cnblogs.com/punk33/p/4117994.html