Unix Like, 操作系统, 网络

Fix Ubuntu policy-based route with fwmark not work

近期发现Ubuntu基于ip rule add fwmark … lookup …所做的策略路由无法正常使用，而Debian正常。抓包的特征就是，出网数据包能应用到策略路由，也能抓到回应的数据包，但回应的数据包被内核丢弃，不会送达user space。

而ip rule add from … lookup …则正常。

查找资料得知是rp_filter的影响（见此：https://www.kernel.org/doc/Documentation/networking/ip-sysctl.txt），继而发现Ubuntu的/etc/sysctl.d是有以下这个文件的：

~# cat /etc/sysctl.d/10-network-security.conf
# Turn on Source Address Verification in all interfaces to
# prevent some spoofing attacks.
net.ipv4.conf.default.rp_filter=1
net.ipv4.conf.all.rp_filter=1

# Turn on SYN-flood protections.  Starting with 2.6.26, there is no loss
# of TCP functionality/features under normal conditions.  When flood
# protections kick in under high unanswered-SYN load, the system
# should remain more stable, with a trade off of some loss of TCP
# functionality/features (e.g. TCP Window scaling).
net.ipv4.tcp_syncookies=1

~# cat /etc/sysctl.d/10-network-security.conf

# Turn on Source Address Verification in all interfaces to

# prevent some spoofing attacks.

net.ipv4.conf.default.rp_filter=1

net.ipv4.conf.all.rp_filter=1

# Turn on SYN-flood protections. Starting with 2.6.26, there is no loss

# of TCP functionality/features under normal conditions. When flood

# protections kick in under high unanswered-SYN load, the system

# should remain more stable, with a trade off of some loss of TCP

# functionality/features (e.g. TCP Window scaling).

net.ipv4.tcp_syncookies=1

编辑/etc/sysctl.d/10-network-security.conf，把net.ipv4.conf.default.rp_filter以及net.ipv4.conf.all.rp_filter改成2，然后应用：

~# sysctl --system
...
* Applying /etc/sysctl.d/10-network-security.conf ...
net.ipv4.conf.default.rp_filter = 2
net.ipv4.conf.all.rp_filter = 2
net.ipv4.tcp_syncookies = 1
...

~# sysctl --system

...

* Applying /etc/sysctl.d/10-network-security.conf ...

net.ipv4.conf.default.rp_filter = 2

net.ipv4.conf.all.rp_filter = 2

net.ipv4.tcp_syncookies = 1

...

Tags: fwmark, IPTABLES, Policy-based, ROUTE, rp_filter, ubuntu

You might also like:

服务器, 默认分类

一次有惊无险的数据恢复

昨晚逛自己博客的时候，发现单手摘JJ的头像变成“无头像”的那种了！查证了下，是缓存的问题，要解决？很简单，清除缓存就行了。结果由于一时粗心，误在博客的根目录执行了rm -rf *,然后Ctrl+F5。403！再次F5，403，F5，403，F5，403…… 当时瞬间惊呆了！我干了啥？我在做梦吧！不是做梦，没其他办法，唯一的希望就是数据恢复了！Linux上的数据恢复，我还没试过，不过，为了自己的博客，只能尽力而为了！谷歌百度，尝试了debugfs，ext3grep。 debugfs，恢复的文件夹是一个文件……ext3grep，搞了一堆不知道啥，满屏幕的DDDDDDDDDDDDDDDDDDD […]

QoS —— 交互式应用最低延迟，HTTP(S)、IMAP等常用服务优先，迅雷、P2P受限

前言使用迅雷全速下载时，其余网络应用的体验几乎约等于断网状态。全速下载时，迅雷并没有占用太多上行带宽，于路由器上观察上行速率，同样正常：可见全速下载时出现的现象，问题在于下行。迅雷全网搜索资源，这意味着会有许多来自不同地方的计算机，以高速率往我的计算机发来大量数据包。ISP处的队列早已被这些P2P数据包塞满，而SSH、网页等服务的数据包速率不高，根本不够P2P数据包竞争，这些数据包到达ISP处时，只能由于队列已满而被丢弃。其实这个问题，并没有什么好的解决办法，因为ISP处的队列我们没有权限控制。我们所能做的，只是控制P2P的速率，避免因ISP处队列满而使得数据包被丢弃 […]

未分类

PPTP自动安装配置Shell Script For Ubuntu/Debian

呵呵，不解释…… 使用方法：

wget http://soft.yzs.me/pptpd.sh;sh pptpd.sh

1	wget http://soft.yzs.me/pptpd.sh;sh pptpd.sh

执行后会自动列出你服务器的网卡的IP，挑一个外网的：

===========================
Which IP is your server IP:
IP:42.51.133.125                                                   #这里输入你服务器的外网的IP地址
===========================
Server IP:42.51.133.125
===========================
===========================
eth0      Link encap:Ethernet  HWaddr 00:16:3e:4e:25:11  
          inet addr:42.51.133.125  Bcast:42.51.133.255  Mask:255.255.255.0
          inet6 addr: fe80::216:3eff:fe4e:2511/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:1285668 errors:0 dropped:6798 overruns:0 frame:0
          TX packets:133636 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000 
          RX bytes:229411554 (229.4 MB)  TX bytes:12212001 (12.2 MB)
          Interrupt:32 

lo        Link encap:Local Loopback  
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:8 errors:0 dropped:0 overruns:0 frame:0
          TX packets:8 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0 
          RX bytes:702 (702.0 B)  TX bytes:702 (702.0 B)

Please input the netdriver of your server:
Net Driver:eth0                                                    #这里输入你刚刚输入的那个IP地址属于哪个网卡(上面已经列出来了)
===========================
Net Driver:eth0
===========================
Please input the username of PPTP:
Username:vpn                                                       #这里输入连接的用户名
===========================
PPTP Username:vpn
===========================
Please input the password of PPTP:
Password:vpn                                                       #这里输入连接的密码
===========================
PPTP Password:vpn
===========================
Press any key to continue.                                         #按任意键继续

此处省略几万字……

===========================

Which IP is your server IP:

IP:42.51.133.125 #这里输入你服务器的外网的IP地址

===========================

Server IP:42.51.133.125

===========================

eth0 Link encap:Ethernet HWaddr 00:16:3e:4e:25:11

inet addr:42.51.133.125 Bcast:42.51.133.255 Mask:255.255.255.0

inet6 addr: fe80::216:3eff:fe4e:2511/64 Scope:Link

UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1

RX packets:1285668 errors:0 dropped:6798 overruns:0 frame:0

TX packets:133636 errors:0 dropped:0 overruns:0 carrier:0

collisions:0 txqueuelen:1000

RX bytes:229411554 (229.4 MB) TX bytes:12212001 (12.2 MB)

Interrupt:32

lo Link encap:Local Loopback

inet addr:127.0.0.1 Mask:255.0.0.0

inet6 addr: ::1/128 Scope:Host

UP LOOPBACK RUNNING MTU:16436 Metric:1

RX packets:8 errors:0 dropped:0 overruns:0 frame:0

TX packets:8 errors:0 dropped:0 overruns:0 carrier:0

collisions:0 txqueuelen:0

RX bytes:702 (702.0 B) TX bytes:702 (702.0 B)

Please input the netdriver of your server:

Net Driver:eth0 #这里输入你刚刚输入的那个IP地址属于哪个网卡(上面已经列出来了)

===========================

Net Driver:eth0

===========================

Please input the username of PPTP:

Username:vpn #这里输入连接的用户名

===========================

PPTP Username:vpn

===========================

Please input the password of PPTP:

Password:vpn #这里输入连接的密码

===========================

PPTP Password:vpn

===========================

Press any key to continue. #按任意键继续

此处省略几万字……

这是添加连接的账号和密码的Shell Script:

wget http://soft.yzs.me/pptpd-adduser.sh

1	wget http://soft.yzs.me/pptpd-adduser.sh

添加账号，就执行：

sh pptpd-adduser.sh

1	sh pptpd-adduser.sh

输入账号密码即可…… Good luck……

巧用Nginx的日志功能配合IPTABLES实现防范基础CC攻击(2013年11月24日8:24:13更新)

相信不少人都被CC过，我也不例外，因此一直以来想尽各种办法降低PHP所占的资源。 PHP所耗的资源算压下去了，带宽却满了…… 之前也看过有人使用Nginx的第三方模块limit req2实现防CC攻击，自己也弄过，但效果没想象中的好，只用了几十分钟我就抛弃了…… 昨天其中考试结束后，突然灵机一动，想到一个新的防CC方法。回家后经过多次调试，几经完善，已经基本能正常使用了。这其中利用了Nginx的日志功能，还有自己写的一个Shell Script。本文出自微宇宙(http://zhensheng.im)，转载者死一户口本。 Apache的请移步这里：Apache:只有访客IP的日志格式首先给 […]