On Sun, 1 Feb 2004 12:27:29 +0100, Rafal Ramocki wrote
> On Sun, 1 Feb 2004 11:47:52 +0100, Tomasz Chilinski wrote
> > On Sun, 1 Feb 2004 10:01:10 +0100, Pawel wrote
> > > Witam,
> > Witam.
> >
> > >
> > > Problem ze statystykami, po dodaniu lancuchow zliczajacych i dodaniu
> > > uzytkownika, user nie pojawia sie w statach chociaz przeciagnal
> > > okolo 100 mb, malo tego nie ma jego ip w traffic.log Wczesniej
> > > problem dla nowych userow nie powstawal.
> > Troszkę z innej beczki: nawet jeśli komuś uda się zmusić to do
> > działania, to takie zliczanie ma sens dla powiedzmy max. 50 osób.
> > Gdy takich reguł wprowadzimy bardzo dużo to serwer zapycha się :)
> > Jest na to sposób: nazwijmy to mass-accouting polegający na
> > modyfikacji jądra w taki sposób, że pola zliaczające "pakiety" są
> > tablicami i na podstawie ostatnich oktetów adresu ip są znaczone
> > trafienia w tej tablicy ;)
> >
>
> Ja kozystam z ipfm w sieci ktora liczy 350 komputerow. Prez lacze
> przewala sie dziennie cos w okolicach 200kb*2*3600*24. Normalnie
> obciazenie serwera ktory robi jeszcze w ciul innych rzeczy wacha sie
> w okolicach 0.1 - 0.5 (Intel Celeron 1.8GHz) PRoblem pojawia sie
> tylko w czasie syn-floodow (ataki typu DoS) Z racji tego ze userzy
> moga zawsze osiagac max lacza to obciaznei mzoe wzrastac nawet do 20-
> 30. Z czego ipfm generuje oikolo 50% reszta to system prawdopodobnie
> rpzez htb i sfq. PRoblem jest jeszcze z userami podszywajacami sie
> pod duza liczbwe adresow ip lub odpytaujace duza liczbe adresow ip
> wewnatrz sieci. W takich przypadkach ipfm generuje bardzo duzo logow,
> i tez obciaza system, taki ruch generuje gloweni wirus blaster i
> jedna z mutacji wirusa nimbda. Ale poza takimi przeciazeniami tkore
> sie zdazaja raczej zadko i sa eleiminowane prze blokowanie userow na
> firewall'u nie ma wiekszych problemow i ipfm sprawuje sie swietnie.
>
Dodam ejszcze ze u mnie jest to tym bardziej drastyczne ze wewnatrfz sieci
jest mnuuuuustwo niewykozystywanych adresow ip. mam siec 172.16.0.0 z maska
255.240.0.0 co daje ponad 2miliony adresow (jak dobrze licze) Robie tak
poniewaz u mnie (mowie o ASK - w firmie robie inaczej) adres ip to jest
172.KOD_ULICY.NUMER_BLOKU.NUMER_MIESZKANIA. Dlaqtego ipfm w czasie
przepytaywania sieci przez jakiego swirusa sie troche preciaza.
z powazaniem
Rafal Ramocki
