fbsd5.4 + ipfw + natd hang

Le
Z
Bonjour

Ayant changé d'isp , j'ai activé ipfw sur un routeur utilisant un freebsd 5.4.
Le routeur est serveur dns/web pour 8 domaines a faible trafic, et sert de
passerelle nat pour un petit réseau local constitué de serveurs freebsd et d'un
windows2000. La passerelle tournait auparavant en freebsd 4 + firewall du
userland-ppp depuis 4 ans sans le moindre problème.

Depuis sa migration en fbsd5.4, il y a une semaine, elle s'est déjà figée 2 fois
sans le moindre message pertinent dans /var/log/message.

La seule chose interressante que j'ai pu trouvé est le "top" qui m'indiquait des
problèmes de mémoire si je le comprend bien :

last pid: 56819; load averages: 0.03, 0.49, 0.76 up 5+13:23:02 02:01:32
88 processes: 1 running, 85 sleeping, 2 zombie
CPU states: 0.1% user, 0.0% nice, 0.7% system, 0.6% interrupt, 98.6% idle
Mem: 760K Active, 156K Inact, 70M Wired, 1748K Cache, 48M Buf, 824K Free
Swap: 384M Total, 45M Used, 338M Free, 11% Inuse, 1808K In, 2668K Out

PID USERNAME PRI NICE SIZE RES STATE TIME WCPU CPU COMMAND
34415 bricez -20 -139 17376K 40K swread 20.2H 0.00% 0.00% setiathome
677 bricez 76 0 5352K 176K pfault 38:13 0.00% 0.00% smbd
301 root 76 0 1620K 148K pfault 25:21 0.00% 0.00% natd
51893 bricez -20 0 2456K 160K RUN 1:43 0.00% 0.00% top
12120 root 4 0 3228K 8K select 1:31 0.00% 0.00% telnetd
3087 root 4 0 3228K 8K select 0:44 0.00% 0.00% telnetd
525 root 76 0 2792K 140K pfault 0:32 0.00% 0.00% nmbd
1938 root 96 0 2964K 172K select 0:30 0.00% 0.00% ntpd
362 bind 76 0 5624K 144K pfault 0:26 0.00% 0.00% named
13445 root 96 0 1388K 8K select 0:08 0.00% 0.00% master
45079 root 96 0 4180K 172K select 0:06 0.00% 0.00% httpd
828 nobody 8 0 1368K 56K nanslp 0:04 0.00% 0.00% tinyproxy
606 root 76 0 1368K 84K pfault 0:04 0.00% 0.00% cron
355 root 76 0 1320K 76K pfault 0:03 0.00% 0.00% syslogd
698 root 4 0 3228K 8K select 0:03 0.00% 0.00% telnetd


Cette machine a 392Mo de ram & la même chose en swap. Pour qu'elle
arrive a me dire qu'il n'y a plus que 760k d'actif et pour que les
processes les plus utilisés soient en "pfault", j'en déduis qu'il y a un
leak quelque part.. Est-ce que cela vous semble réaliste ou voyez vous
une explication plus rationnelle ? (je n'ai rien trouvé avec google
concernant ça, mais tout lien est bienvenu..)

Z.

  • Partager ce contenu :
Vos réponses
Trier par : date / pertinence
patpro ~ Patrick Proniewski
Le #36902
Bonjour,

In article Z
Ayant changé d'isp , j'ai activé ipfw sur un routeur utilisant un freebsd
5.4.
[...]

Depuis sa migration en fbsd5.4, il y a une semaine, elle s'est déjà figée 2
fois
sans le moindre message pertinent dans /var/log/message.



très interessant, j'ai exactement le même problème avec IPFW/NATd sur...
MacOS X 10.4 (Tiger, basé sur FreeBSD 5.x)

Tu trouveras le détail de mes déboires ici :
<http://discussions.info.apple.com/webx?@.68a45f50.6
8ae2787>


La seule chose interressante que j'ai pu trouvé est le "top" qui m'indiquait
des
problèmes de mémoire si je le comprend bien :



je n'ai rien constaté dans ce sens par contre, mais le top de MacOS X
est sensiblement différent de celui de FreeBSD, et je l'utilise avec les
options -ud qui ne met pas la gestion de la mémoire à l'honneur :

Processes: 71 total, 4 running, 67 sleeping... 190 threads 13:19:58
Load Avg: 1.10, 1.28, 1.23 CPU usage: 89.0% user, 11.0% sys, 0.0% idle
Networks: 1 ipkts/0K 0 opkts /0K
Disks: 0 reads/0K 0 writes/0K
VM: 0 pageins 0 pageouts

PID COMMAND %CPU TIME FAULTS PGINS/COWS MSENT/MRCVD BSD/MACH CSW
569 dnetc 73.5% 3:27:56 0 0/0 2/2 401/4 367
...


J'ai fais un rapport de bug à Apple (la même prose exactement que ce que
j'ai posté sur discussions.apple.com). Peut être faudrait il en faire un
aussi du coté de FreeBSD si toute fois le problème ne se situe pas de
manière évidente de notre côté...

patpro

MaXX
Le #36899
Bonjour,

patpro ~ Patrick Proniewski wrote:
Bonjour,
In article Z
Ayant changé d'isp , j'ai activé ipfw sur un routeur utilisant un freebsd
5.4.
[...]

Depuis sa migration en fbsd5.4, il y a une semaine, elle s'est déjà figée
2 fois
sans le moindre message pertinent dans /var/log/message.
très interessant, j'ai exactement le même problème avec IPFW/NATd sur...

MacOS X 10.4 (Tiger, basé sur FreeBSD 5.x)

Tu trouveras le détail de mes déboires ici :
<http://discussions.info.apple.com/webx?@.68a45f50.6
8ae2787>
[...]

J'ai survolé rapidement la discussion, mais je n'ai pas de pb de ce genre
avec IPFW2+natd sur mon serveur FreeBSD 5.4-PRERELEASE Mar 18 14:50:23 CET
2005. (Tiens va faloir mettre ça à jour...)
Il ne m'a jamais fais de farce de ce goût là (10Gb entrants à travers le nat
le mois dernier)

Si tu veux je te files mon ruleset (statefull) pour tester en espérant qu'il
ne soit pas trop spécifique à FreeBSD (c'est toi qui m'avait dit sur
f.c.macos.x que l'IPFW de macOS était un tant soit peu différent)

mon usine à zombies c'est qmail/supervise (2 chaque seconde le bestiau)...

[...]
patpro


--
MaXX


patpro ~ Patrick Proniewski
Le #36898
In article MaXX
J'ai survolé rapidement la discussion, mais je n'ai pas de pb de ce genre
avec IPFW2+natd sur mon serveur FreeBSD 5.4-PRERELEASE Mar 18 14:50:23 CET
2005. (Tiens va faloir mettre ça à jour...)
Il ne m'a jamais fais de farce de ce goût là (10Gb entrants à travers le nat
le mois dernier)

Si tu veux je te files mon ruleset (statefull) pour tester en espérant qu'il
ne soit pas trop spécifique à FreeBSD (c'est toi qui m'avait dit sur
f.c.macos.x que l'IPFW de macOS était un tant soit peu différent)



je prends, ça permettra de tester.
A l'époque c'etait un vieux IPFW 1 sur OSX, maintenant c'est un bon IPFW
2 avec Dummynet, Apple a du se synchroniser sur les sources de FreeBSD 5.

D'ailleurs il serait bien de comparer avec le ruleset de Z, pour voir ce
qui passe et ce qui ne passe pas. Le problème à l'air assez spécifique à
certains rulesets.


patpro

MaXX
Le #36897
patpro ~ Patrick Proniewski wrote:

In article [...]

je prends, ça permettra de tester.
A l'époque c'etait un vieux IPFW 1 sur OSX, maintenant c'est un bon IPFW
2 avec Dummynet, Apple a du se synchroniser sur les sources de FreeBSD 5.

D'ailleurs il serait bien de comparer avec le ruleset de Z, pour voir ce
qui passe et ce qui ne passe pas. Le problème à l'air assez spécifique à
certains rulesets.
patpro


voilà, c'est mon brouillon, mais il est commenté... J'avais commencé des
essais avec dummynet, mais ça n'avait pas fonctionné comme je l'entendais
et il faut que je recommence.

http://akirawebserver.no-ip.org/

en espérant que ce n'est pas trop laid... Si vous avez des
remarques/commentaires, je prends!

--
MaXX

patpro ~ Patrick Proniewski
Le #36896
In article MaXX
je prends, ça permettra de tester.


voilà, c'est mon brouillon, mais il est commenté... J'avais commencé des
essais avec dummynet, mais ça n'avait pas fonctionné comme je l'entendais
et il faut que je recommence.

http://akirawebserver.no-ip.org/


chez moi ca ne charge pas...

patpro


MaXX
Le #36895
patpro ~ Patrick Proniewski wrote:
http://akirawebserver.no-ip.org/


chez moi ca ne charge pas...
My bad... maintenant c'est ok... Sans apache ça risquait pas de

fonctionner... Des baffe! Aïe!

--
MaXX


Z
Le #36429
On Mon, 09 May 2005 16:35:29 +0200, MaXX
Bonjour,

patpro ~ Patrick Proniewski wrote:
Bonjour,
In article Z
Ayant changé d'isp , j'ai activé ipfw sur un routeur utilisant un freebsd
5.4.
[...]

Depuis sa migration en fbsd5.4, il y a une semaine, elle s'est déjà figée
2 fois
sans le moindre message pertinent dans /var/log/message.
très interessant, j'ai exactement le même problème avec IPFW/NATd sur...

MacOS X 10.4 (Tiger, basé sur FreeBSD 5.x)

Tu trouveras le détail de mes déboires ici :
<http://discussions.info.apple.com/webx?@.68a45f50.6
8ae2787>
[...]

J'ai survolé rapidement la discussion, mais je n'ai pas de pb de ce genre
avec IPFW2+natd sur mon serveur FreeBSD 5.4-PRERELEASE Mar 18 14:50:23 CET
2005. (Tiens va faloir mettre ça à jour...)
Il ne m'a jamais fais de farce de ce goût là (10Gb entrants à travers le nat
le mois dernier)


Aie, le problème c'est qu'un petit rigolo fait ça en quelques jours ici...
mais il s'est calmé.
Tu as des virtual-servers sur ton natd ? (genre port ouvert de l'extérieur
reverse-natés vers une machine lan dans ta config ?) et si oui, est-ce que
tu vois le port ouvert dans un netstat ? Je pense pas que ça soit lié, mais
je pense que natd a grillé un plomb chez moi: je ne vois pas ces ports dans
le netstat et les redirect_port n'ont jamais voulu marcher..

Mon noyau et les binaires sont en 5.4-STABLE (compilés le 28 avril) donc
propre en principe... Le PC est un "vieux" serveur DELL p733.

Avant de switcher sur pf, j'aimerais quand même comprendre, comme freebsd
n'est pas bio-dégradable, je penche plutot pour un truc connu (ça a pas
l'air d'être le cas, là) ou une grosse boulette de ma part ...


Si tu veux je te files mon ruleset (statefull) pour tester en espérant qu'il
ne soit pas trop spécifique à FreeBSD (c'est toi qui m'avait dit sur
f.c.macos.x que l'IPFW de macOS était un tant soit peu différent)

mon usine à zombies c'est qmail/supervise (2 chaque seconde le bestiau)...


Moi, je n'ai pas pu déterminer le responsable du zombie qui apparaissait dans
le "top" de mon premier post. D'habitude je n'en ai pas; mais sur un système
en bout de ressources, c'est pas trop étonnant..
Pour l'instant, j'ai fait un petit script qui va faire un top -d1 toutes les
minutes sur le routeur depuis une autre machine, pour observer la ram depuis
ce matin. Comme elle n'a pas l'air de baisser, la piste du memory leak est en
suspend.
Le seul soft avec une config inhabituelle que j'ai sur cette machine est un
apache 2 avec le patch kqueue activé.


Et puisqu'on en est dans les configs d'ipfw, voici les miens :

/etc/ipfw2_setup.sh : http://cjoint.com/?fjuNDX6jwJ
(attention ma config d'ipfw est un peu gorette: je le sais: pas taper;
elle est basée sur la config "SIMPLE" sur laquelle j'ai greffé tant
bien que mal le lan et le port reverse-natté (qui ne marche pas pour
l'instant)...)

/etc/natd.conf :
interface xl0
same_ports yes
use_sockets yes
redirect_port tcp 10.0.0.135:6442 6442
redirect_port udp 10.0.0.135:6452 6452


A+ Z.



patpro ~ patrick proniewski
Le #36428
In article MaXX
patpro ~ Patrick Proniewski wrote:
http://akirawebserver.no-ip.org/


chez moi ca ne charge pas...
My bad... maintenant c'est ok... Sans apache ça risquait pas de

fonctionner... Des baffe! Aïe!


oki merci, j'ai. Je jette un oeil

patpro



Z
Le #34475
On Mon, 09 May 2005 13:06:04 +0200, Z

Le problème a été résolu en remontant la directive "${fwcmd} add check-state"
d'une dizaine de lignes dans la config du FW.

Z.
patpro ~ Patrick Proniewski
Le #34474
In article Z
On Mon, 09 May 2005 13:06:04 +0200, Z

Le problème a été résolu en remontant la directive "${fwcmd} add check-state"
d'une dizaine de lignes dans la config du FW.



c'est une bonne nouvelle, je vais regarder de mon coté ce que ça donne.

patpro

Poster une réponse
Anonyme