Bekijk Volledige Versie : APF Alternatief?
ErikKosters
07/03/08, 00:30
Beste WHT-ers,
Sinds kort heb ik problemen gekregen met FTP verbindingen naar onze ftp server wanneer er gebruik word gemaakt van APF, als ik deze uitzet zijn de problemen over en kan er zonder problemen duizenden bestanden worden geupload. Het probleem is dat als APF aanstaat, hij op een gegeven moment gewoon vastloopt en tijdelijk timeout.
Is er een alternatief voor APF of weet iemand toevallig waar dit aan kan liggen? Ideeën zijn welkom!
Het ligt niet aan APF hier draaien alle servers zonder probleem met APF.
Bekijk de logs eens, als de boel vastloopt moet daar meer info te vinden zijn.
In geval je FTP in passive mode draait moet de opgegeven poort range ook in APF.conf staan. Als er bijv. 10000-15000 in je ftp staat en 10000-11000 in APF, dan gaat het idd pas mis na aantal sessies.
heb je toevallig glasvezel?
ErikKosters
07/03/08, 09:15
Het ligt niet aan APF hier draaien alle servers zonder probleem met APF.
Bekijk de logs eens, als de boel vastloopt moet daar meer info te vinden zijn.
In geval je FTP in passive mode draait moet de opgegeven poort range ook in APF.conf staan. Als er bijv. 10000-15000 in je ftp staat en 10000-11000 in APF, dan gaat het idd pas mis na aantal sessies.
dit heb ik al ingesteld, maar dat mocht niet baten...
heb je toevallig glasvezel?
Die servers hangen gewoon op een cat5 lijntje.
speedtouch of linksys modem/router thuis?
@ErikKosters: ik heb hier thuis een glasvezelverbinding met (@davinci) een linksys router, het is bij mij ook een gewoonte dat als ik 1001 bestanden wil uploaden, hij dan bij een paar bestanden van niet meer dan 10kb even blijft haken.
ErikKosters
07/03/08, 09:43
speedtouch of linksys modem/router thuis?
Nee, en het gebeurd bij meerdere.
@ErikKosters: ik heb hier thuis een glasvezelverbinding met (@davinci) een linksys router, het is bij mij ook een gewoonte dat als ik 1001 bestanden wil uploaden, hij dan bij een paar bestanden van niet meer dan 10kb even blijft haken.
Hier een orange dingesbox met een draytek router, en als ik teveel wil uploaden wordt de verbinding na een tijdje afgekapt en verbroken.
Hier een orange dingesbox met een draytek router, en als ik teveel wil uploaden wordt de verbinding na een tijdje afgekapt en verbroken.
Draai overigens geen APF.
Ik moet eigenlijk even googlen, maar het komt er op neer dat ftp voor iedere bestand een TCP connectie opent. Met veel bestanden zijn dit aantal connecties op een gegeven moment 'vol'. En time-outen ze vanzelf.
dreamhost_nl
07/03/08, 11:23
Alternatief : http://www.configserver.com/cp/csf.html
Erik,
Heb je al naar KISS gekeken? Deze kun je met het update.script zo installeren. Ikzelf heb er trouwens geen ervaring mee omdat ik het toch liever bij een Juniper Netschreen houd. Met APF in het verleden nooit problemen gehad.
Gewoon iptables, APF en KISS zijn niet meer dan scriptjes ervoor, gebruiken beide iptables als ondergrond.
Openscripting
14/03/08, 23:08
Gebruik ipconn track en je moet geen problemen hebben hoor! heb je er wel last van zou ik je kernel eens nalopen op de betreffende juiste modules.
Iptables heeft geen statefull connections standaard. Daarvoor dien je bijvoorbeeld ipconnection trackers te gebruiken.
Wat betreft APF, dit is inderdaad een iptables mask. Het is een scriptje wat gewoon wat mangles en filters uitvoert op basis van config wrapping en sequencing. Meer niet.
Gebruik ipconn track en je moet geen problemen hebben hoor! heb je er wel last van zou ik je kernel eens nalopen op de betreffende juiste modules.
Iptables heeft geen statefull connections standaard. Daarvoor dien je bijvoorbeeld ipconnection trackers te gebruiken.
Wat betreft APF, dit is inderdaad een iptables mask. Het is een scriptje wat gewoon wat mangles en filters uitvoert op basis van config wrapping en sequencing. Meer niet.
Commando: /sbin/modprobe ip_conntrack_ftp
Openscripting
15/03/08, 13:23
Hangt van je kernel nog af welke module je moet gebruiken. Als de pipeline/hookup/callback niet word toegestaan kan je nog zo hard proberen ip_conn_track in te laden maar dan werkt het nog steeds niet. Dit probleem heb je sowieso bij een(de) entreprise installatie. Daar word iptables wel mee gecompileerd maar zonder pipeline entry. Dan kun je dus geen hookup doen. ip_conn_track moet overigens eerst geladen zijn voordat je ip_conn_track_ftp probeert te laden. Deze hebben shared librairies die anders verkeerd worden ingeladen.