• # Attention au conntrack

    Posté par . En réponse au message [Admin] firewall iptables minimal, mais efficace. Évalué à 2.

    J'ajouterais une précision qui peut être utile, ajouter la ligne suivante permet d'éviter de faire un full sur sa table conntrack... La limite est définit dans /proc/sys/net/ipv4/ip_conntrack_max, un DoS (volontaire ou involontaire) peut se faire en atteignant ce seuil. Le résultat d'un full dans cette table est dans syslog (dmesg): "ip_conntrack: table full, dropping packet.", et le seul moyen pour résoudre ce problème est de décharger le module ip_conntrack quand cela est possible, sinon reboot :°|
    echo $((24*3600)) >/proc/sys/net/ipv4/netfilter/ip_conntrack_tcp_timeout_established
    (Ici une journée pour le timeout)

    On peut augmenter la taille de la table ainsi:
    echo 32760 >/proc/sys/net/ipv4/ip_conntrack_max
    Pour calculer la bonne taille pour une machine: http://www.wallfire.org/misc/netfilter_conntrack_perf.txt(...)