Здравсвуйте о великие и неповторимые гуру Unix мира))) ну ладно а теперь о серьезном....ребята нужна ваша помощь руки опускаються совсем не могу понять что за проблема....
модем Zyxel p660RT3
Отваливаеться интернет при том что в настройках модем на PingPrimaryDNS - Skipped и все инета нету пинги не идут, adsl горит, все как надо, но инета нету...... но иногда проклюнеться 3-4 пакета и снова нет ответа от сервера...тоесть пинги непроходят нормально то есть то нету....помогает только перезагрузка модема и то на часик и даже меньше.... дальше наблюдал такой факт при отключении прокси сервера в момент когда инет отрубился модем восстанавливает связть и пинги идут нормально..... тоесть я так думаю что что то не так идет от прокси...менял 4 модема все разные ничего непомогало
В сети около 30-40 машин с ограничениями только по сайтам в белом списке где скачивать ничего нельзя.... 5 машин используют vpn подключения вообще без возможности лазить по сайтам кроме как доступные через vpn подключения
насчет прокси сервера
Linux CentosServer 2.6.18-274.3.1.el5 #1 SMP Tue Sep 6 20:13:52 EDT 2011 x86_64 x86_64 x86_64 GNU/Linux
стоит squid + sams2
мысль была о нагрузке на канал но пользовался iptraf'ом а так же iftop'ом....но никакой нагрузки я не выявил все в пределах разумного.....
дальше пробовал поставить шейпер cbq на всякий случай ограничил до немогу им трафик...но все равно инет валиться.....отключить прокси и поставить ноутбук напрямую что бы только оутом проверить валиться или нет невозможно так как фирма должна работать.........
вот конфиг интерфейсов прокси сервера
[root@CentosServer ~]# ifconfig
eth0 Link encap:Ethernet HWaddr 98:4B:E1:77:BB:F0
inet addr:192.168.3.98 Bcast:192.168.3.255 Mask:255.255.255.0
inet6 addr: fe80::9a4b:e1ff:fe77:bbf0/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:4327008 errors:4275 dropped:0 overruns:0 frame:0
TX packets:4324735 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:3465774270 (3.2 GiB) TX bytes:694141268 (661.9 MiB)
eth1 Link encap:Ethernet HWaddr 98:4B:E1:77:BB:F4
inet addr:10.10.10.4 Bcast:10.10.10.255 Mask:255.255.255.0
inet6 addr: fe80::9a4b:e1ff:fe77:bbf4/64 Scope:Link
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:5926116 errors:11349 dropped:0 overruns:0 frame:0
TX packets:5750438 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:1000
RX bytes:851744640 (812.2 MiB) TX bytes:3589174728 (3.3 GiB)
lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
inet6 addr: ::1/128 Scope:Host
UP LOOPBACK RUNNING MTU:16436 Metric:1
RX packets:209885 errors:0 dropped:0 overruns:0 frame:0
TX packets:209885 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
RX bytes:92312076 (88.0 MiB) TX bytes:92312076 (88.0 MiB)
---->Сервер с базой 1С (блэйд)
подключение идет такое Модем---> Прокси сервер (блэйд)
--->Switch (неуправляемый) ---> остальные пользователи и так далее
я понимаю что телепаты в отпуске, поэтому если еще какие то конфиги нужны или логи могу предоставить только скажите, извините за мой русский не грамотный....но сил у меня нету уже....все проверил абсолютно все...вызывал провайдера даже...но как только прокси выключишь пинг налаживаеться......хелп ребята большой и прибольшой хелп.......очень надеюсь на ваши отзывы
LinuxForum.Fans
Proxy Squid + sams2 + интернет
Автор: sanek_stv
17 сообщений
4786 просмотров
ребята куда можно глянуть, где конфиги проверить......дайте хоть какую нибудь мыслю...если кто нибудь сталкивался с этим то было бы вообще грандиозно...да и еще кабеля вообще все поменял и все равно не помогло....
Показать конфиг кальмара надо. Модем в бридже работает как я понял? Да.. и что там у Вас в iptables закатано?
RX packets:5926116 errors:11349 dropped:0 overruns:0 frame:0
И меня смущают вот эти строчки.
Покажите настройки модема сначала. Танцевать всегда надо с первого куплета,а не с припевок.
модем настроен роутером, bridge тоже пробовал так же отваливаеться но при этом подключение не рветься, а так же остаеться висеть подключенным только не пигует ничего либо пингует но пакеты через раз проходят........ в модеме показывает в момент обрыва PingPrimaryDNS --- Skipped .....ping yahoo.com --- FAIL ......два интерфейса для инета и для ip телефонов DHCP отключен......NAT для 2 портов 22 и 3389 на проксю.........больше настроек никаких нету sessionnum=1024 ...... MTU пробовал менять 1492 и 1500 все равно так же....
-------->>>прокси(блэйд)
модем
---->>> неуправляемый свитч ---->>> 2 телефона SIP
iptables----->>>
text
IPT=/sbin/iptables
echo 1 > /proc/sys/net/ipv4/ip_forward
$IPT -F
$IPT -t nat -F
$IPT -P INPUT ACCEPT
$IPT -P OUTPUT ACCEPT
$IPT -P FORWARD ACCEPT
$IPT -A INPUT -p tcp --dport 22 -j ACCEPT
$IPT -A OUTPUT -p tcp --dport 22 -j ACCEPT
$IPT -A INPUT -p tcp --dport 21 -j ACCEPT
$IPT -A OUTPUT -p tcp --dport 21 -j ACCEPT
$IPT -A INPUT -p tcp --dport 20 -j ACCEPT
$IPT -A OUTPUT -p tcp --dport 20 -j ACCEPT
$IPT -A INPUT -p tcp --dport 443 -j ACCEPT
$IPT -A OUTPUT -p tcp --dport 443 -j ACCEPT
$IPT -A INPUT -p tcp --dport 80 -j ACCEPT
$IPT -A INPUT -p tcp --dport 3389 -j ACCEPT
$IPT -A OUTPUT -p tcp --dport 3389 -j ACCEPT
$IPT -A FORWARD -i eth0 -p tcp --dport 3389 -j ACCEPT
$IPT -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPT -t nat -A POSTROUTING -s 10.10.10.0/24 -p tcp --dport 5190 -j MASQUERADE
$IPT -t nat -A POSTROUTING -s 10.10.10.104 -j MASQUERADE
##############################################################################
$IPT -t nat -A POSTROUTING -s 10.10.10.5 -j MASQUERADE #Buhgalter
$IPT -t nat -A POSTROUTING -s 10.10.10.17 -j MASQUERADE #Artamonova
$IPT -t nat -A POSTROUTING -s 10.10.10.18 -j MASQUERADE #Avelvi
$IPT -t nat -A POSTROUTING -s 10.10.10.30 -p udp -m multiport --dports 80,443 -j MASQUERADE #Buhg
$IPT -t nat -A POSTROUTING -s 10.10.10.87 -p udp -m multiport --dports 80,443 -j MASQUERADE #Buhg
$IPT -t nat -A POSTROUTING -s 10.10.10.205 -p udp -m multiport --dports 500,4500 -j MASQUERADE #Cisco VPN
$IPT -t nat -A POSTROUTING -s 10.10.10.206 -j MASQUERADE #Bank progs
$IPT -t nat -A POSTROUTING -s 10.10.10.207 -p udp -m multiport --dports 500,4500 -j MASQUERADE #Cisco VPN
$IPT -t nat -A POSTROUTING -s 10.10.10.208 -j MASQUERADE #Bank progs
$IPT -t nat -A POSTROUTING -s 10.10.10.7 -p tcp --dport 1313 -j MASQUERADE
$IPT -t nat -A POSTROUTING -s 10.10.10.120 -j MASQUERADE
$IPT -t nat -A POSTROUTING -s 10.10.10.0/24 -d cis.samsungportal.com -p tcp -m multiport --dports 80,443,6000,8088,7775 -j MASQUERADE
$IPT -t nat -A POSTROUTING -s 10.10.10.0/24 -d cisgspn.samsungportal.com -p tcp -m multiport --dports 80,443,6000,8088,7775 -j MASQUERADE
$IPT -t nat -A PREROUTING -p tcp -d 192.168.3.98 --dport 3389 -j DNAT --to-destination 10.10.10.3:3389
$IPT -t nat -A POSTROUTING -p tcp --dst 10.10.10.3 --dport 3389 -j SNAT --to-source 192.168.3.98
service dnsmasq restart
меня эти строчки тоже смущают...но я немогу понять что это за ошибки и как их посмотреть то...... что еще могу рассказать или сделать что бы докопаться до истины?))))
эм а еще конфиг "кальмара" что то я непонял что за кальмар????)))
Так давайте по порядку.
Модем настроен роутером. В момент отваливания инета, есть возможность зайти в веб-интерфейс модема?
От туда пингуется локалки и внешний мир?
P.S. Забегая вперёд - Правила фаервола у вас не я писал, ещё бы чуднее были. Но это потом. Всё по порядку.
а еще забыл сказать что там dyndns прописано в модеме........получаеться по dns имени из внешки на него зайти можно......впринципи когда меня нет на месте я так и захожу через браузер на него что бы перезагрузить.
Так ребята спасибо за помощь, правда что то очень долгую.................проблема еще правда не решена но решаеться, главное причина выявлена.
МОжет кому будет полезна, была нагрузка на модем не скоростью и качальщиками, а количеством соединений. zyxel p660RT3 поддерживал максимум 1024 сессии а порой это количество превышало оттуда обрыв. С помощью ip_conntack_count я сидел ждал максимальное количество соединений и при больших соединений копировал содержимое /proc/net/ip_conntrack в отдельный файл ..... потом сидел смотрел из логов тип соединения, айпишник этого человека, и порты какие использует. Смотрел нужны ли ему по работе эти порты и соединения и блокировал ненужные.....в данный момент уже 150 соединений закрыто ненужных и до сих пор перебираю логи сижу, еще незакончил закрывать ))))))) но все уже интернет обрываеться раз в день два максимум.....а до этого каждые минут 20-30 рвалься.....вообщем я на верном пути)))
А не проще все закрыть, а отрывать то что нужно? А то как то не тру способ.
Так по правильно и нужно сначала всё закрыть, а потом по мере необходимости открывать.
Здесь закон такой - то что не разрешено явно - то запрещенно!
Мне начальство просто так неразрешает все закрывать а потом по мере необходимости все открывать.....начинаются крики, по мнению начальства я должен выяснить сначала, потом обсудить все с начальством и сотрудником, а только потом оставить что нужно а остальное закрыть))) поэтому я как бы рад все закрыть))) но мне хуже будет)))
Передай начальнику, пусть потом не удивляется проблемам безопастности и не орет на тебя. А то что админ должен прогибаться под обычного пользователя, это вообще из рук вон. Это не дело. Меняй отношение начальства к себе. Ты же не учишь бухов например как работать, так пусть не лезут в твою работу. Если так сделал, то так надо.
З.Ы. Ну узнай нужные порты заранее. Как буд то там сотни програм. Всегда можно так сделать.
Мне начальство просто так неразрешает все закрывать а потом по мере необходимости все открывать.....начинаются крики, по мнению начальства я должен выяснить сначала, потом обсудить все с начальством и сотрудником, а только потом оставить что нужно а остальное закрыть))) поэтому я как бы рад все закрыть))) но мне хуже будет)))
ИМХО это называется неуважать себя и свой труд.
Меня тоже так пытались прогнуть, когда я пришёл на ту работу, где работаю сейчас, но я сделал проще. Я составил обходной лист, с наименованием должности и фамилией сотрудника, и подошёл к каждому (если юзеров много, то можно только по руководителям отделов) и под подпись собрал кому что нужно, почта там, веб, фтп, аська. Нашлись умники которые торенты записали, ну да лодно. Потом, когда пошёл к генерлальному, я показал ему этот список. И некоторые ( не я) получили по шапке. В итоге сразу стало ясно, кому что нужно, и кому куда давать доступ, к каким сайтам. И помимо этого, это позволило посадить всех пользователей на своих машинах " н ограниченных пользователей" (на локальные админы, как они были), и удалить весь левый софт, который в работе не нужен.
Так что советую поступить так же, во первых это "прикрывает" Вашу задницу, на случай чего, во вторых сразу переносит отвественность на действительно виноватых.
Кстати я тоже себя перестал уважать, эникейства зло.
Мне один раз директор зашел, говорит повешай мне зеркало в кабинете(
Да из меня вообще монтера зделали))) мол иди выясняй где в распред коробке какие телефоны и какие от них провода, а у нас 4 распред коробки по всему зданию......и о существовании одной я только знаю)))
А безопасность серверов у меня конечно же нормальная не скажу что полностью защищена))) но уверен в защите от того кто согнуть захочет))) а насчет данных на сервере у меня караул может любой копирнуть из интернета...говорил начальствуу об это мне сказали мол "Сотрудникам ненравиться вводить лишние пароли на запросы и выполнять лишние движения, сделай что бы было проще" ну ладно думаю флаг им в руки)))) сижу фильмы смотрю мне пофигу на все))) жду увольнения достали уже))) как они по распиздяйски так и я))) вообщем начал показывать что я не младший менеджер которого отчитывать можно))) вообщем уволят уволят))) нет так нет)) но меня достало прогибаться)))
sanek_stvя втаких случаях устраиваю образцово-показательные учения сил гражданской обороны.
Когда меня достало всех просить не выкладывать на сетевые диски, предназначенные для работы, их любимую музыку, видео и фотки из турции, я всем сделал расылку по электронке, что теперь за размером сетевых папок будет следить программа, котрая будет удалять всю! папку, при превышении квоты.
Естественно программы никакой небыло, а если я замечал нарушение, то тупо делал папку скрытой.
И тут ко мне потянулись люди.... И вроде проще не стал....
Аза найденные бумажки с паролями, приклееныме к моникам - вообще отключаю газ (тоесть Инет) и доступ к сети. Для восстновления всего требую письменного распоряжения генерального. И тут начинается....
Вообщем главное знать своё дело, а наше дело - это последняя линия обороны, подчас даже от тех, кого мы и защищаем, как это не парадоксально.
наше дело - это последняя линия обороны
Это точно... :))
Войдите или зарегистрируйтесь, чтобы ответить.
