Logo GNT
Actualités Tests & Guides Bons Plans
GTA 6 iPhone 17 Copilot Switch 2 Temu ChatGPT Tesla
OVH Cloud OVH Cloud
Entraide Linux Autres OS BSD FreeBSD / Sessions actives

FreeBSD / Sessions actives

44 réponses
Avatar
Julien
Bonjour,

Je souhaiterais visualiser les sessions actives sur mon routeur / firewall a
un instant 't'.

Sous Open, la commande est 'pfctl -si' ou un truc du genre.

Quelqu'un connait la réponse ?

Pour info, j'utilise ipfw / natd.

Merci

Julien
Signaler un problème avec ce contenu

10 réponses

Supprimer
Cette action est irreversible, confirmez la suppression du commentaire ?
Signaler le commentaire

Veuillez sélectionner un problème

Nudité
Violence
Harcèlement
Fraude
Vente illégale
Discours haineux
Terrorisme
Autre
1 2 3 4 5
Avatar
Julien
ce sont quoi les sessions, histoire d'apprendre quelque chose ?


Ce que j'entends par 'session' est tres simple.
Selon moi, une session est une connexion active sur une machine, une
association d'adresses src/dst et de ports src/dst, entre autre.

Ainsi dans le cas du nat, je voudrais visualiser les connexions actives
entre les machines du reseau local et les serveurs presents sur le net. Cela
donnerait un truc du genre :
192.168.0.100:4000 -> 82.81.82.82:1256 -> 217.112.25.12:80 [established]

C'est juste un exemple schematique que je donne.
Si quelqu'un souhaite me corriger ou apporter plus de precisions .....

Avatar
talon
Julien wrote:
uis debarrasé d'OpenBSD (il y a moins d'un
mois) mais je l'ai fait.
Concernant le port de pf sous FreeBSD, j'ai pas trop envie de l'employer
meme si j'aime bcp pf. La raison est peut etre ridicule mais je pense que pf
est fait pour Open, par des gens d'Open. Pour cela, je prefere utiliser un
port un peu plus 'natif' Free.


Le plus simple c'est d'essayer si ça marche non?

Je pense que cet argument est cassable mais bon ... c actuellement le miens.
Si quelqu'un peut justifier l'interet d'utiliser pf sous Free, je suis tout
a fait pret a l'entendre. Je veux bien me faire convaincre.


Si t'es le premier à penser que pf est fonctionnellement plus intéressant que
ipfw ou ipf c'est un argument suffisant pour essayer il me semble? Un firewall
c'est quand même pas un truc "high falutin" absolument imbaisable et que seul
un gourou OpenBSD connaissant tout depuis les bits qui se promènent sur le fil
jusqu'à la couche applicative peut comprendre. Je ne vois pas où est le
problème de "découper" ce software bien localisé et de le porter sur un autre
OS relativement similaire.


--
Michel Talon

Avatar
Nicolas Le Scouarnec
Les regles dynamiques t'afficheront les connexion actives, non ?
Ben non, aucune commande ipfw ne me permet de visualiser les sessions

actives.


Oui, en fait, j'ai allégrement confondu, puisque j'utilise ipfw sur mon
ordi ou je n'ai pas besoin de nat, et pf sur l'ordi ou j'utilise du
nat. Et comme sur l'ordi ou j'utilise le nat, c'est affiché en meme
temps, j'ai machinalement associé tout ca...

Le probleme c'est qu'en 5 jours, je me suis retrouvé avec un deni de service
sur ma partoche '/var'. Le fichier alias.log faisait une taille


:-) Faut prévoir la place. Avec une /var de 50 Go, ca passe bien...

correspondant à la totalité de la partition. J'ai tronqué le fichier et j'ai
vite viré l'option log.


Il faut mettre un rotate dans newsyslog.conf , tu peux faire tourner le
fichier tous les 150 ko. Ca te permet de le voir en direct sans
surcharger.

Pour le voir en direct, lance natd avec l'option -v.
Je veux pas vmt le voir en direct mais plutot a un instant t. Je sais si la

nuance est palbable. Je m'explique. Je veux pas que ca s'affiche constamment
mais juste qd j'en ai envie. A un moment ou a un autre, on a tous besoin de
controller les sessions actives. Mais j'y arrive pas :=(


Je vois .... Si tu fais tourner les logs automatiquement, ca peut faire
ce que tu veux. Sinon, il n'existe pas des fichiers (socket, fifo ?)
qui recoivent sans stocker, mais qu'on peut lire en direct si on veut ?


Concernant le port de pf sous FreeBSD, j'ai pas trop envie de l'employer
meme si j'aime bcp pf. La raison est peut etre ridicule mais je pense que pf
est fait pour Open, par des gens d'Open. Pour cela, je prefere utiliser un
port un peu plus 'natif' Free.


Tu as tord :-) Pf marche largement mieux que natd. Et est plus simple a
configurer. Par exemple, je n'ai jamais réussi a utiliser ssh au travers
de natd, le reste marchait (j'ai essayé avec du http derrière), mais ssh
me jettais, je n'ai jamais vraiment su pourquoi...

Par contre, le défaut, c'est qu'en mettant a jour le monde et le noyau
de 5.1 vers 5.2, on casse tout, du coups, faut encore recompiler pf
après la mise a jour, mais c'est pas si génant... Enfin, il faut y
penser.


Si quelqu'un peut justifier l'interet d'utiliser pf sous Free, je suis tout
a fait pret a l'entendre. Je veux bien me faire convaincre.


Je ne vais pas essayer, je ne connais pas trop les différences en
dehors de leur utilisation, par contre, j'ai une question qui rejoint
la tienne.

Quand il recoit un paquet, ipfw l'accepte en testant la première règle
qui le vérifie, ca lui fait donc, a priori, moins de vérifications que Pf qui
lui parcours toute les regles avant de décider (sauf si on spécifie
quick). Si les deux font les vérifications de la même manière, ipfw
devrait etre plus rapide, non ?

L'année dernière, j'ai eu un petit probleme avec ipfw, j'avais mis mes
regles dans n'importe quel ordre, sans me soucier du cas le plus
"courant", et il vérifiait donc beaucoup de regles, en général, avant
d'arriver à la check-state, ce qui provoquait une saturation à environ
300 ko/s sur un PII 233 Mhz.

Et cette année, j'ai installé Pf pour avoir le nat, il est donc aussi
réglé pour faire firewall. Il a "pleins" de règles, plus que mon ipfw,
et pourtant, j'ai l'impression que le processeur ne bosse pas du tout,
mais alors pas du tout, meme sur des transferts a 11 Mo/s ... Est-ce
juste un impression, ou c'est logique quand on sait comment fonctionne
les deux en interne ? (Je ne peux pas trop comparé, puisque Pf est sur
un BI Xeon 2Ghz...).

--
Nicolas Le Scouarnec
http://nlsn.free.fr (Slrnfr, Docs Linux/BSD, La grippe, ... )


Avatar
mips
On Fri, 6 Feb 2004 20:17:03 +0100
"Julien" wrote:

Avant j'etais sous OpenBSD. J'aimais vmt BCP cet OS. Le pb c que je
me suis rendu compte qu'il ne montait ABSOLUMENT pas en charge.
J'avais de multiple plantages recurrents (des core dump). Je sais
que je vais faire bondir des gens mais bon le leitmotiv d'Open c la
secu pas la 'scalability'. J'ai failli pleurer lorsque je me suis
debarrasé d'OpenBSD (il y a moins d'un mois) mais je l'ai fait.


C'est debile de dire ca, je doute qu'il existe des dev qui ne soient
pas interesses par la correction d'un probleme dans leur code.

Je sais pas pour toi mais moi quand y'a quelque chose qui plante
j'aime bien savoir pourquoi. Si au lieu de laisser tomber t'avais
essaye de voir un peu d'ou ca venait le probleme aurait peut-etre deja
ete fixe depuis.

mips

Avatar
Marwan Burelle
On Fri, 6 Feb 2004 22:25:42 +0100
mips wrote:

C'est debile de dire ca, je doute qu'il existe des dev qui ne soient
pas interesses par la correction d'un probleme dans leur code.

Je sais pas pour toi mais moi quand y'a quelque chose qui plante
j'aime bien savoir pourquoi. Si au lieu de laisser tomber t'avais
essaye de voir un peu d'ou ca venait le probleme aurait peut-etre deja
ete fixe depuis.


Le problème, mon mips, c'est que tout le monde n'a pas forcément le temps
et la possibilité d'aller aussi loin. On net peut pas reprocher à
certaines personnes de vouloir un soft qui marche.

Maintenant, je suis d'accord, ça ne respecte pas l'esprit du libre. Mais
c'est la rançon d'une plus grande visibilité du monde libre.

--
Marwan Burelle,
http://www.lri.fr/~burelle
( | )
http://www.cduce.org

Avatar
espie
In article ,
Marwan Burelle wrote:
On Fri, 6 Feb 2004 22:25:42 +0100
mips wrote:

C'est debile de dire ca, je doute qu'il existe des dev qui ne soient
pas interesses par la correction d'un probleme dans leur code.

Je sais pas pour toi mais moi quand y'a quelque chose qui plante
j'aime bien savoir pourquoi. Si au lieu de laisser tomber t'avais
essaye de voir un peu d'ou ca venait le probleme aurait peut-etre deja
ete fixe depuis.


Le problème, mon mips, c'est que tout le monde n'a pas forcément le temps
et la possibilité d'aller aussi loin. On net peut pas reprocher à
certaines personnes de vouloir un soft qui marche.

Maintenant, je suis d'accord, ça ne respecte pas l'esprit du libre. Mais
c'est la rançon d'une plus grande visibilité du monde libre.

Bah, vu la description rapide du probleme, il y a au moins une chance

sur deux que ca soit un bete probleme entre le clavier et l'ecran, style
une meconnaissance de ulimit.


Avatar
Olivier Cherrier
In article <c019pu$22gh$, Marc Espie wrote:
In article ,
Marwan Burelle wrote:
On Fri, 6 Feb 2004 22:25:42 +0100
mips wrote:

C'est debile de dire ca, je doute qu'il existe des dev qui ne soient
pas interesses par la correction d'un probleme dans leur code.

Je sais pas pour toi mais moi quand y'a quelque chose qui plante
j'aime bien savoir pourquoi. Si au lieu de laisser tomber t'avais
essaye de voir un peu d'ou ca venait le probleme aurait peut-etre deja
ete fixe depuis.


Le problème, mon mips, c'est que tout le monde n'a pas forcément le temps
et la possibilité d'aller aussi loin. On net peut pas reprocher à
certaines personnes de vouloir un soft qui marche.

Maintenant, je suis d'accord, ça ne respecte pas l'esprit du libre. Mais
c'est la rançon d'une plus grande visibilité du monde libre.

Bah, vu la description rapide du probleme, il y a au moins une chance

sur deux que ca soit un bete probleme entre le clavier et l'ecran, style
une meconnaissance de ulimit.


Oui. Enfin, du shell en général.
stanislas:~> ulimit
ulimit: Command not found.
Exit 1



Avatar
mips
On Sat, 7 Feb 2004 00:47:42 +0100
Marwan Burelle wrote:

On Fri, 6 Feb 2004 22:25:42 +0100
mips wrote:

C'est debile de dire ca, je doute qu'il existe des dev qui ne
soient pas interesses par la correction d'un probleme dans leur
code.

Je sais pas pour toi mais moi quand y'a quelque chose qui plante
j'aime bien savoir pourquoi. Si au lieu de laisser tomber t'avais
essaye de voir un peu d'ou ca venait le probleme aurait peut-etre
deja ete fixe depuis.


Le problème, mon mips, c'est que tout le monde n'a pas forcément le
temps et la possibilité d'aller aussi loin. On net peut pas
reprocher à certaines personnes de vouloir un soft qui marche.


Euh il a kan meme le temps de changer d'os avec tout ce que ca implique ...

Maintenant, je suis d'accord, ça ne respecte pas l'esprit du libre.
Mais c'est la rançon d'une plus grande visibilité du monde libre.


Oui c'est la nouvelle generation. Maintenant la mode c'est de demander
aux autres de fixer les problemes qu'on rencontre parce qu'on est trop
feignant pour le faire soit meme. D'ailleurs bien souvent l'excuse
c'est "oh mais je n'ai pas les skillZ necessaires", comme si les gurus
etaient nes avec un clavier dans les mains :/

Bon, hrm, faut que j'arrete avant de ressembler a grumpy :)

mips


Avatar
Marwan Burelle
On Sat, 7 Feb 2004 11:11:08 +0100
mips wrote:

Oui c'est la nouvelle generation. Maintenant la mode c'est de demander
aux autres de fixer les problemes qu'on rencontre parce qu'on est trop
feignant pour le faire soit meme. D'ailleurs bien souvent l'excuse
c'est "oh mais je n'ai pas les skillZ necessaires", comme si les gurus
etaient nes avec un clavier dans les mains :/


Oui, et puis, maintenant il y a des vrais utilisateurs (dans le sens, de
"ne programmant pas".) Tu ne peux pas demander à ces gens d'apprendre à
coder, et tu ne peux pas non plus leur refuser l'accès aux softs libres,
sous prétexte qu'ils ne contribuent pas.

Il faut faire avec, et à mon avis ce n'est pas qu'une question de mode.

--
Marwan Burelle,
http://www.lri.fr/~burelle
( | )
http://www.cduce.org

Avatar
mips
On Sat, 7 Feb 2004 13:52:52 +0100
Marwan Burelle wrote:

On Sat, 7 Feb 2004 11:11:08 +0100
mips wrote:

Oui c'est la nouvelle generation. Maintenant la mode c'est de
demander aux autres de fixer les problemes qu'on rencontre parce
qu'on est trop feignant pour le faire soit meme. D'ailleurs bien
souvent l'excuse c'est "oh mais je n'ai pas les skillZ
necessaires", comme si les gurus etaient nes avec un clavier dans
les mains :/


Oui, et puis, maintenant il y a des vrais utilisateurs (dans le
sens, de"ne programmant pas".) Tu ne peux pas demander à ces gens
d'apprendre à coder, et tu ne peux pas non plus leur refuser l'accès
aux softs libres, sous prétexte qu'ils ne contribuent pas.


Ca je suis d'accord mais ils ne peuvent pas non plus demander aux
developpeur d'apprendre la necromacie et la magie noire afin d'en
savoir plus sur le dit bug afin de le regler.

Il faut faire avec, et à mon avis ce n'est pas qu'une question de
mode.


Tss, nan, un bon admin dresse ses users ! :))

mips


1 2 3 4 5