To: bsd-dk@bsd-dk.dk Subject: Re: FreeBSD 6.2 + pf + kæmemæssig table = problemer From: peter@bsdly.net (Peter N. M. Hansteen) Date: Sun, 14 Oct 2007 12:33:17 +0200
Asbjørn Clemmensen <none@func--okejl.dk.lh.bsd-dk.dk> writes:
> Da jeg ville læse den ind i pf, som en persistant table, gik det rent galt.
> pfctl brugte 100+ mb ram i et stykke tid, hvorefter systemet gik dødt og endte
> med at genstarte med en kernel panic.
det høres veldig ut som om du stanger opp i grensen for maksimal
tabellstørrelse og for den del mengde RAM allokert til kjernen. Du
*kan* prøve å justere på maksimalt antall table-entries, eventuelt
andre limit-innstillinger:
set limit table-entries 400000
men det kan høres ut som om du faktisk er nødt til å skaffe mer ram.
Det kan også være grunn til å revurdere om det faktisk er en fornuftig
spesifikasjon som pålegger spesialbehandling, antakelig blokkering
eller omdirigering til noe mindre hyggelig, eller om man faktisk har
gått i fellen som heter "enumerating badness"[1], muligvis kombinert
med andre mindre heldige forestillinger som Ranum er innom i samme
artikkel.
> Er der nogen, der har et forslag til, hvordan en liste med 323.587 adresser
> kan indlæses i pf fra en tekstfil, uden det får systemet til at gå ned? Jeg har
> desværre ikke mulighed for at tilføje flere ram til systemet, som på nuværende
> tidspunkt har 256 mb.
Som sagt, så store tabeller krever antakelig mer fysisk RAM enn det du
har i øyeblikket. Daniel Hartmeier beskriver dette nokså utførlig i en
serie som starter med <http://undeadly.org/cgi?action=article&sid=20060927091645>,
som er vel verd å bruke noe tid på å lese uavhengig av om man strever med å
få PF til å gjøre det man vil.
[1] http://www.ranum.com/security/computer_security/editorials/dumb/
-- Peter N. M. Hansteen, member of the first RFC 1149 implementation team http://bsdly.blogspot.com/ http://www.datadok.no/ http://www.nuug.no/ "Remember to set the evil bit on all malicious network traffic" delilah spamd[29949]: 85.152.224.147: disconnected after 42673 seconds.
This archive was generated by hypermail 2b30 : Wed 31 Oct 2007 - 23:00:02 CET