1 Тема от sanek_stv

  • sanek_stv
  • Посетитель
  • Неактивен
  • Зарегистрирован: 28.05.2012
  • Сообщений: 7
  • Репутация : [ 0 | 0 ]

Здравсвуйте о великие и неповторимые гуру Unix мира))) ну ладно а теперь о серьезном....ребята нужна ваша помощь руки опускаються совсем не могу понять что за проблема....

модем Zyxel p660RT3
Отваливаеться интернет при том что в настройках модем на PingPrimaryDNS - Skipped и все инета нету пинги не идут, adsl горит, все как надо, но инета нету...... но иногда проклюнеться 3-4 пакета и снова нет ответа от сервера...тоесть пинги непроходят нормально то есть то нету....помогает только перезагрузка модема и то на часик и даже меньше.... дальше наблюдал такой факт при отключении прокси сервера в момент когда инет отрубился модем восстанавливает связть и пинги идут нормально..... тоесть я так думаю что что то не так идет от прокси...менял 4 модема все разные ничего непомогало


В сети около 30-40 машин с ограничениями только по сайтам в белом списке где скачивать ничего нельзя.... 5 машин используют vpn подключения вообще без возможности лазить по сайтам кроме как доступные через vpn подключения
насчет прокси сервера
Linux CentosServer 2.6.18-274.3.1.el5 #1 SMP Tue Sep 6 20:13:52 EDT 2011 x86_64 x86_64 x86_64 GNU/Linux
стоит squid + sams2
мысль была о нагрузке на канал но пользовался iptraf'ом а так же iftop'ом....но никакой нагрузки я не выявил все в пределах разумного.....

дальше пробовал поставить шейпер cbq на всякий случай ограничил до немогу им трафик...но все равно инет валиться.....отключить прокси и поставить ноутбук напрямую что бы только оутом проверить валиться или нет невозможно так как фирма должна работать.........

вот конфиг интерфейсов прокси сервера
[root@CentosServer ~]# ifconfig
eth0      Link encap:Ethernet  HWaddr 98:4B:E1:77:BB:F0
          inet addr:192.168.3.98  Bcast:192.168.3.255  Mask:255.255.255.0
          inet6 addr: fe80::9a4b:e1ff:fe77:bbf0/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:4327008 errors:4275 dropped:0 overruns:0 frame:0
          TX packets:4324735 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:3465774270 (3.2 GiB)  TX bytes:694141268 (661.9 MiB)

eth1      Link encap:Ethernet  HWaddr 98:4B:E1:77:BB:F4
          inet addr:10.10.10.4  Bcast:10.10.10.255  Mask:255.255.255.0
          inet6 addr: fe80::9a4b:e1ff:fe77:bbf4/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:5926116 errors:11349 dropped:0 overruns:0 frame:0
          TX packets:5750438 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:851744640 (812.2 MiB)  TX bytes:3589174728 (3.3 GiB)

lo        Link encap:Local Loopback
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:209885 errors:0 dropped:0 overruns:0 frame:0
          TX packets:209885 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:92312076 (88.0 MiB)  TX bytes:92312076 (88.0 MiB)


                                                                                                ---->Сервер с базой 1С (блэйд)
подключение идет такое Модем---> Прокси сервер (блэйд)
                                                                                                --->Switch (неуправляемый) ---> остальные пользователи и так далее


я понимаю что телепаты в отпуске, поэтому если еще какие то конфиги нужны или логи могу предоставить только скажите, извините за мой русский не грамотный....но сил у меня нету уже....все проверил абсолютно все...вызывал провайдера даже...но как только прокси выключишь пинг налаживаеться......хелп ребята большой и прибольшой хелп.......очень надеюсь на ваши отзывы

2 Ответ от sanek_stv

  • sanek_stv
  • Посетитель
  • Неактивен
  • Зарегистрирован: 28.05.2012
  • Сообщений: 7
  • Репутация : [ 0 | 0 ]

ребята куда можно глянуть, где конфиги проверить......дайте хоть какую нибудь мыслю...если кто нибудь сталкивался с этим то было бы вообще грандиозно...да и еще кабеля вообще все поменял и все равно не помогло....

3 Ответ от XliN (28.05.2012 18:47:19 отредактировано XliN)

  • XliN
  • XliN
  • С нами Бог
  • Неактивен
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

Показать конфиг кальмара надо. Модем в бридже работает как я понял? Да.. и что там у Вас в iptables закатано?

sanek_stv пишет:

RX packets:5926116 errors:11349 dropped:0 overruns:0 frame:0

И меня смущают вот эти строчки.

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

4 Ответ от Vadimsky

  • Vadimsky
  • Vadimsky
  • Философ
  • Неактивен
  • Откуда: Тула
  • Зарегистрирован: 21.02.2010
  • Сообщений: 2,913
  • Репутация : [ 61 | 2 ]

Покажите настройки модема сначала. Танцевать всегда надо с первого куплета,а не с припевок.

Истина ускользает от тех кто отказывается её видеть обоими глазами.
Талантам нужно помогать, бездарности пробьются сами.
В Туле настолько суровые парни, что вместо пены для бритья, используют пену монтажную.
cat /broken/hands > /dev/null

5 Ответ от sanek_stv (30.05.2012 08:44:36 отредактировано sanek_stv)

  • sanek_stv
  • Посетитель
  • Неактивен
  • Зарегистрирован: 28.05.2012
  • Сообщений: 7
  • Репутация : [ 0 | 0 ]

модем настроен роутером, bridge тоже пробовал так же отваливаеться но при этом подключение не рветься, а так же остаеться висеть подключенным только не пигует ничего либо пингует но пакеты через раз проходят........ в модеме показывает в момент обрыва PingPrimaryDNS --- Skipped .....ping yahoo.com --- FAIL ......два интерфейса для  инета и для ip телефонов DHCP отключен......NAT для 2 портов 22 и 3389 на проксю.........больше настроек никаких нету sessionnum=1024 ...... MTU пробовал менять 1492 и 1500 все равно так же....

           -------->>>прокси(блэйд)
модем
            ---->>> неуправляемый свитч ---->>> 2 телефона SIP



iptables----->>>

IPT=/sbin/iptables

echo 1 > /proc/sys/net/ipv4/ip_forward


$IPT -F
$IPT -t nat -F

$IPT -P INPUT ACCEPT
$IPT -P OUTPUT ACCEPT
$IPT -P FORWARD ACCEPT


$IPT -A INPUT -p tcp --dport 22 -j ACCEPT
$IPT -A OUTPUT -p tcp --dport 22 -j ACCEPT

$IPT -A INPUT -p tcp --dport 21 -j ACCEPT
$IPT -A OUTPUT -p tcp --dport 21 -j ACCEPT
$IPT -A INPUT -p tcp --dport 20 -j ACCEPT
$IPT -A OUTPUT -p tcp --dport 20 -j ACCEPT

$IPT -A INPUT -p tcp --dport 443 -j ACCEPT
$IPT -A OUTPUT -p tcp --dport 443 -j ACCEPT
$IPT -A INPUT -p tcp --dport 80 -j ACCEPT

$IPT -A INPUT -p tcp --dport 3389 -j ACCEPT
$IPT -A OUTPUT -p tcp --dport 3389 -j ACCEPT


$IPT -A FORWARD -i eth0 -p tcp --dport 3389 -j ACCEPT
$IPT -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

$IPT -t nat -A POSTROUTING -s 10.10.10.0/24 -p tcp --dport 5190 -j MASQUERADE
$IPT -t nat -A POSTROUTING -s 10.10.10.104 -j MASQUERADE
##############################################################################
$IPT -t nat -A POSTROUTING -s 10.10.10.5 -j MASQUERADE #Buhgalter
$IPT -t nat -A POSTROUTING -s 10.10.10.17 -j MASQUERADE #Artamonova
$IPT -t nat -A POSTROUTING -s 10.10.10.18 -j MASQUERADE #Avelvi
$IPT -t nat -A POSTROUTING -s 10.10.10.30 -p udp -m multiport --dports 80,443 -j MASQUERADE #Buhg
$IPT -t nat -A POSTROUTING -s 10.10.10.87 -p udp -m multiport --dports 80,443 -j MASQUERADE #Buhg
$IPT -t nat -A POSTROUTING -s 10.10.10.205 -p udp -m multiport --dports 500,4500 -j MASQUERADE #Cisco VPN
$IPT -t nat -A POSTROUTING -s 10.10.10.206 -j MASQUERADE #Bank progs
$IPT -t nat -A POSTROUTING -s 10.10.10.207 -p udp -m multiport --dports 500,4500 -j MASQUERADE #Cisco VPN
$IPT -t nat -A POSTROUTING -s 10.10.10.208 -j MASQUERADE #Bank progs
$IPT -t nat -A POSTROUTING -s 10.10.10.7 -p tcp --dport 1313 -j MASQUERADE
$IPT -t nat -A POSTROUTING -s 10.10.10.120 -j MASQUERADE

$IPT -t nat -A POSTROUTING -s 10.10.10.0/24 -d cis.samsungportal.com -p tcp -m multiport --dports 80,443,6000,8088,7775 -j MASQUERADE
$IPT -t nat -A POSTROUTING -s 10.10.10.0/24 -d cisgspn.samsungportal.com -p tcp -m multiport --dports 80,443,6000,8088,7775 -j MASQUERADE

$IPT -t nat -A PREROUTING -p tcp -d 192.168.3.98 --dport 3389 -j DNAT --to-destination 10.10.10.3:3389
$IPT -t nat -A POSTROUTING -p tcp --dst 10.10.10.3 --dport 3389 -j SNAT --to-source 192.168.3.98


service dnsmasq restart


меня эти строчки тоже смущают...но я немогу понять что это за ошибки и как их посмотреть то...... что еще могу рассказать или сделать что бы докопаться до истины?))))

эм а еще конфиг "кальмара" что то я непонял что за кальмар????)))

6 Ответ от Vadimsky

  • Vadimsky
  • Vadimsky
  • Философ
  • Неактивен
  • Откуда: Тула
  • Зарегистрирован: 21.02.2010
  • Сообщений: 2,913
  • Репутация : [ 61 | 2 ]

Так давайте по порядку.
Модем настроен роутером. В момент отваливания инета, есть возможность зайти в веб-интерфейс модема?
От туда пингуется локалки и внешний мир?
P.S. Забегая вперёд - Правила фаервола у вас не я писал, ещё бы чуднее были. Но это потом. Всё по порядку.

Истина ускользает от тех кто отказывается её видеть обоими глазами.
Талантам нужно помогать, бездарности пробьются сами.
В Туле настолько суровые парни, что вместо пены для бритья, используют пену монтажную.
cat /broken/hands > /dev/null

7 Ответ от sanek_stv (30.05.2012 12:25:58 отредактировано sanek_stv)

  • sanek_stv
  • Посетитель
  • Неактивен
  • Зарегистрирован: 28.05.2012
  • Сообщений: 7
  • Репутация : [ 0 | 0 ]

а еще забыл сказать что там dyndns прописано в модеме........получаеться по dns имени из внешки на него зайти можно......впринципи когда меня нет на месте я так и захожу через браузер на него что бы перезагрузить.

8 Ответ от sanek_stv

  • sanek_stv
  • Посетитель
  • Неактивен
  • Зарегистрирован: 28.05.2012
  • Сообщений: 7
  • Репутация : [ 0 | 0 ]

Так ребята спасибо за помощь, правда что то очень долгую.................проблема еще правда не решена но решаеться, главное причина выявлена.


МОжет кому будет полезна, была нагрузка на модем не скоростью и качальщиками, а количеством соединений. zyxel p660RT3 поддерживал максимум 1024 сессии а порой это количество превышало оттуда обрыв. С помощью ip_conntack_count я сидел ждал максимальное количество соединений и при больших соединений копировал содержимое /proc/net/ip_conntrack в отдельный файл ..... потом сидел смотрел из логов тип соединения, айпишник этого человека, и порты какие использует. Смотрел нужны ли ему по работе эти порты и соединения и блокировал ненужные.....в данный момент уже 150 соединений закрыто ненужных и до сих пор перебираю логи сижу, еще незакончил закрывать ))))))) но все уже интернет обрываеться раз в день два максимум.....а до этого каждые минут 20-30 рвалься.....вообщем я на верном пути)))

9 Ответ от XliN

  • XliN
  • XliN
  • С нами Бог
  • Неактивен
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

А не проще все закрыть, а отрывать то что нужно? А то как то не тру способ.

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

10 Ответ от Vadimsky

  • Vadimsky
  • Vadimsky
  • Философ
  • Неактивен
  • Откуда: Тула
  • Зарегистрирован: 21.02.2010
  • Сообщений: 2,913
  • Репутация : [ 61 | 2 ]

Так по правильно и нужно сначала всё закрыть, а потом по мере необходимости открывать.
Здесь закон такой - то что не разрешено явно - то запрещенно!

Истина ускользает от тех кто отказывается её видеть обоими глазами.
Талантам нужно помогать, бездарности пробьются сами.
В Туле настолько суровые парни, что вместо пены для бритья, используют пену монтажную.
cat /broken/hands > /dev/null

11 Ответ от sanek_stv

  • sanek_stv
  • Посетитель
  • Неактивен
  • Зарегистрирован: 28.05.2012
  • Сообщений: 7
  • Репутация : [ 0 | 0 ]

Мне начальство просто так неразрешает все закрывать а потом по мере необходимости все открывать.....начинаются крики, по мнению начальства я должен выяснить сначала, потом обсудить все с начальством и сотрудником, а только потом оставить что нужно а остальное закрыть))) поэтому я как бы рад все закрыть))) но мне хуже будет)))

12 Ответ от XliN

  • XliN
  • XliN
  • С нами Бог
  • Неактивен
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

Передай начальнику, пусть потом не удивляется проблемам безопастности и не орет на тебя.  А то что админ должен прогибаться под обычного пользователя, это вообще из рук вон.  Это не дело. Меняй отношение начальства к себе.  Ты же не учишь бухов например как работать, так пусть не лезут в твою работу. Если так сделал, то так надо.
З.Ы.  Ну узнай нужные порты заранее. Как буд то там сотни програм. Всегда можно так сделать.

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

13 Ответ от Vadimsky

  • Vadimsky
  • Vadimsky
  • Философ
  • Неактивен
  • Откуда: Тула
  • Зарегистрирован: 21.02.2010
  • Сообщений: 2,913
  • Репутация : [ 61 | 2 ]
sanek_stv пишет:

Мне начальство просто так неразрешает все закрывать а потом по мере необходимости все открывать.....начинаются крики, по мнению начальства я должен выяснить сначала, потом обсудить все с начальством и сотрудником, а только потом оставить что нужно а остальное закрыть))) поэтому я как бы рад все закрыть))) но мне хуже будет)))

ИМХО это называется неуважать себя и свой труд.
Меня тоже так пытались прогнуть, когда я пришёл на ту работу, где работаю сейчас, но я сделал проще. Я составил обходной лист, с наименованием должности и фамилией сотрудника, и подошёл к каждому (если юзеров много, то можно только по руководителям отделов) и под подпись собрал кому что нужно, почта там, веб, фтп, аська. Нашлись умники которые торенты записали, ну да лодно. Потом, когда пошёл к генерлальному, я показал ему этот список. И некоторые ( не я) получили по шапке. В итоге сразу стало ясно, кому что нужно, и кому куда давать доступ, к каким сайтам. И помимо этого, это позволило посадить всех пользователей на своих машинах " н ограниченных пользователей" (на локальные админы, как они были), и удалить весь левый софт, который в работе не нужен.
Так что советую поступить так же, во первых это "прикрывает" Вашу задницу, на случай чего, во вторых сразу переносит отвественность на действительно виноватых.

Истина ускользает от тех кто отказывается её видеть обоими глазами.
Талантам нужно помогать, бездарности пробьются сами.
В Туле настолько суровые парни, что вместо пены для бритья, используют пену монтажную.
cat /broken/hands > /dev/null

14 Ответ от AlfaStriker

  • AlfaStriker
  • Пользователь
  • Неактивен
  • Откуда: Almaty
  • Зарегистрирован: 01.03.2011
  • Сообщений: 1,779

Кстати я тоже себя перестал уважать, эникейства зло.
Мне один раз директор зашел, говорит повешай мне зеркало в кабинете(

Сайт AlfaStriker

15 Ответ от sanek_stv

  • sanek_stv
  • Посетитель
  • Неактивен
  • Зарегистрирован: 28.05.2012
  • Сообщений: 7
  • Репутация : [ 0 | 0 ]

Да из меня вообще монтера зделали))) мол иди выясняй где в распред коробке какие телефоны и какие от них провода, а у нас 4 распред коробки по всему зданию......и о существовании одной я только знаю)))


А безопасность серверов у меня конечно же нормальная не скажу что полностью защищена))) но уверен в защите от того кто согнуть захочет))) а насчет данных на сервере у меня караул может любой копирнуть из интернета...говорил начальствуу об это мне сказали мол "Сотрудникам ненравиться вводить лишние пароли на запросы и выполнять лишние движения, сделай что бы было проще" ну ладно думаю флаг им в руки)))) сижу фильмы смотрю мне пофигу на все))) жду увольнения достали уже))) как они по распиздяйски так и я))) вообщем начал показывать что я не младший менеджер которого отчитывать можно))) вообщем уволят уволят))) нет так нет)) но меня достало прогибаться)))

16 Ответ от Vadimsky

  • Vadimsky
  • Vadimsky
  • Философ
  • Неактивен
  • Откуда: Тула
  • Зарегистрирован: 21.02.2010
  • Сообщений: 2,913
  • Репутация : [ 61 | 2 ]

sanek_stvя втаких случаях устраиваю образцово-показательные учения сил гражданской обороны.
Когда меня достало всех просить не выкладывать на сетевые диски, предназначенные для работы, их любимую музыку, видео и фотки из турции, я всем сделал расылку по электронке, что теперь за размером сетевых папок будет следить программа, котрая будет удалять всю! папку, при превышении квоты.
Естественно программы никакой небыло, а если я замечал нарушение, то тупо делал папку скрытой.
И тут ко мне потянулись люди.... И вроде проще не стал....
Аза найденные бумажки с паролями, приклееныме к моникам - вообще отключаю газ (тоесть Инет) и доступ к сети. Для восстновления всего требую письменного распоряжения генерального. И тут начинается....
Вообщем главное знать своё дело, а наше дело - это последняя линия обороны, подчас даже от тех, кого мы и защищаем, как это не парадоксально.

Истина ускользает от тех кто отказывается её видеть обоими глазами.
Талантам нужно помогать, бездарности пробьются сами.
В Туле настолько суровые парни, что вместо пены для бритья, используют пену монтажную.
cat /broken/hands > /dev/null

17 Ответ от zenon

  • zenon
  • zenon
  • Пользователь
  • Неактивен
  • Откуда: Волгоград
  • Зарегистрирован: 04.05.2010
  • Сообщений: 8,794
  • Репутация : [ 315 | 3 ]
Vadimsky пишет:

наше дело - это последняя линия обороны

Это точно... ab)

История показывает, что во всем новом обычно кроется какой-то подвох.
Классическая ошибка, которую совершают проектировщики
абсолютно надежных систем, - недооценка изобретательности клинических идиотов.

Сайт zenon