iptables+nat+transmission

[olegorov]

Есть два сервера с Ubuntu Сервер 9.10
Первый - роутер с НАТом на локалку
На втором - transmission-daemon

Торренты начинают отдаваться, но на невыской скорости. На трекере никакой статистики по отдаче и через какое-то время пропадают все отдачи кроме одной (каждый раз разной).

Написал правила iptables на роутере заново, упростив до минимума. Проблема не ушла.

Вот правила:

(Нажмите, чтобы показать/скрыть)

#!/bin/sh

iptablestest() {
echo "Starting test version of firewall"

# объявление переменных
LAN_IFACE="eth0"
EXT_IFACE="eth2"
EXT_IP="10.46.151.26"
LO_IFACE="lo"
FILESERVER="192.168.11.2"
IPTABLES="/sbin/iptables"

# подготовка
/sbin/depmod -a

# (обязательные)
/sbin/modprobe ip_tables
/sbin/modprobe ip_conntrack
#/sbin/modprobe iptable_filter
#/sbin/modprobe iptable_mangle
/sbin/modprobe iptable_nat
#/sbin/modprobe ipt_LOG
#/sbin/modprobe ipt_limit
/sbin/modprobe ipt_state

# (необязательные)
#/sbin/modprobe ipt_owner
#/sbin/modprobe ipt_REJECT
#/sbin/modprobe ipt_MASQUERADE
/sbin/modprobe ip_conntrack_ftp
#/sbin/modprobe ip_conntrack_irc
/sbin/modprobe ip_nat_ftp
#/sbin/modprobe ip_nat_irc

echo "1" > /proc/sys/net/ipv4/ip_forward
#echo "1" > /proc/sys/net/ipv4/conf/all/proxy_arp
$IPTABLES -F
$IPTABLES -t nat -F
$IPTABLES -t mangle -F
$IPTABLES -P INPUT ACCEPT
$IPTABLES -P OUTPUT ACCEPT
$IPTABLES -P FORWARD ACCEPT

# Разрешение приёма того, что нужно форвардить
$IPTABLES -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
$IPTABLES -A FORWARD -i $LAN_IFACE -j ACCEPT
$IPTABLES -A FORWARD -i $EXT_IFACE -p TCP --dport 51413 -j ACCEPT     # transmission-daemon
$IPTABLES -A FORWARD -i $EXT_IFACE -p UDP --dport 51413 -j ACCEPT     # transmission-daemon

# Включение НАТа
$IPTABLES -t nat -A POSTROUTING -o $EXT_IFACE -j SNAT --to-source $EXT_IP

# Проброс портов
$IPTABLES -t nat -A PREROUTING -i $EXT_IFACE -p TCP --dport 9091 -j DNAT --to-destination $FILESERVER           # transmission-daemon
$IPTABLES -t nat -A PREROUTING -i $EXT_IFACE -p TCP --dport 51413 -j DNAT --to-destination $FILESERVER          # transmission-daemon
$IPTABLES -t nat -A PREROUTING -i $EXT_IFACE -p UDP --dport 51413 -j DNAT --to-destination $FILESERVER          # transmission-daemon
}

Быть может, проблема в настройках transmission-daemon'а на втором сервере?

Вот они:

(Нажмите, чтобы показать/скрыть)

{
    "alt-speed-down": 50,
    "alt-speed-enabled": false,
    "alt-speed-time-begin": 540,
    "alt-speed-time-day": 127,
    "alt-speed-time-enabled": false,
    "alt-speed-time-end": 1020,
    "alt-speed-up": 50,
    "bind-address-ipv4": "0.0.0.0",
    "bind-address-ipv6": "::",
    "blocklist-enabled": false,
    "dht-enabled": true,
    "download-dir": "\/home\/transmission-daemon\/downloads",
    "download-limit": 100,
    "download-limit-enabled": 0,
    "encryption": 1,
    "lazy-bitfield-enabled": true,
    "max-peers-global": 512,
    "message-level": 2,
    "open-file-limit": 512,
    "peer-limit-global": 512,
    "peer-limit-per-torrent": 60,
    "peer-port": 51413,
    "peer-port-random-high": 51412,
    "peer-port-random-low": 40000,
    "peer-port-random-on-start": false,
    "peer-socket-tos": 0,
    "pex-enabled": true,
    "port-forwarding-enabled": true,
    "preallocation": 1,
    "proxy": "",
    "proxy-auth-enabled": false,
    "proxy-auth-password": "",
    "proxy-auth-username": "",
    "proxy-enabled": false,
    "proxy-port": 80,
    "proxy-type": 0,
    "ratio-limit": 2.0000,
    "ratio-limit-enabled": false,
    "rpc-authentication-required": true,
    "rpc-bind-address": "0.0.0.0",
    "rpc-enabled": true,
    "rpc-password": "пароль",
    "rpc-port": 9091,
    "rpc-username": "логин",
    "rpc-whitelist": "127.0.0.1",
    "rpc-whitelist-enabled": false,
    "speed-limit-down": 100,
    "speed-limit-down-enabled": false,
    "speed-limit-up": 100,
    "speed-limit-up-enabled": false,
    "umask": 18,
    "upload-limit": 100,
    "upload-limit-enabled": 0,
    "upload-slots-per-torrent": 14
}

Многоуважаемые гуру, где косяк?! =)

[AnrDaemon]

Показывай iptables-save
Никому не интересно в твоем скрипте копаться.

[Гарри Кашпировский]

Код: [Выделить]

EXT_IP="10.46.151.26"Дальше можно не продолжать. Купите у провайдера выделенный реальный адрес.

[olegorov]

Показывай iptables-save
Никому не интересно в твоем скрипте копаться.

(Нажмите, чтобы показать/скрыть)

# Generated by iptables-save v1.4.4 on Sat Nov 14 19:35:35 2009
*mangle
:PREROUTING ACCEPT [76298850:76978229232]
:INPUT ACCEPT [17051:1399379]
:FORWARD ACCEPT [76281797:76976829398]
:OUTPUT ACCEPT [8729:517831]
:POSTROUTING ACCEPT [76290526:76977347229]
COMMIT
# Completed on Sat Nov 14 19:35:35 2009
# Generated by iptables-save v1.4.4 on Sat Nov 14 19:35:35 2009
*nat
:PREROUTING ACCEPT [68527:6967104]
:POSTROUTING ACCEPT [69725:8301784]
:OUTPUT ACCEPT [5:429]
-A PREROUTING -i eth2 -p tcp -m tcp --dport 9091 -j DNAT --to-destination 192.168.11.2
-A PREROUTING -i eth2 -p tcp -m tcp --dport 51413 -j DNAT --to-destination 192.168.11.2
-A PREROUTING -i eth2 -p udp -m udp --dport 51413 -j DNAT --to-destination 192.168.11.2
-A POSTROUTING -o eth2 -j SNAT --to-source 10.46.151.26
COMMIT
# Completed on Sat Nov 14 19:35:35 2009
# Generated by iptables-save v1.4.4 on Sat Nov 14 19:35:35 2009
*filter
:INPUT ACCEPT [15738:1296425]
:FORWARD ACCEPT [0:0]
:OUTPUT ACCEPT [8157:426022]
-A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT
-A FORWARD -i eth0 -j ACCEPT
-A FORWARD -i eth2 -p tcp -m tcp --dport 51413 -j ACCEPT
-A FORWARD -i eth2 -p udp -m udp --dport 51413 -j ACCEPT
COMMIT
# Completed on Sat Nov 14 19:35:35 2009

Пользователь решил продолжить мысль 14 Ноября 2009, 19:51:41:

Код: [Выделить]

EXT_IP="10.46.151.26"Дальше можно не продолжать. Купите у провайдера выделенный реальный адрес.

Выделенный инет-адрес есть, но у сетевухи, смотрящей в локалку провайдера, адрес, соответственно, локальный. Или всё равно прописать для $EXT_IP инетовский адрес?

[AnrDaemon]

Смотря какие приходят пакеты.

[olegorov]

Смотря какие приходят пакеты.

Пакеты, разумеется, приходят на мой локальный адрес, ибо заменой инетовского на локальный занимается провайдер.

Однако, господа, это уже не смешно. После перехода с 9.04 на 9.10 раздача практически не идёт. И я никак не могу понять, что виновато. То ли глюки нового трансмишиона, то ли увод файл-сервера за нат...
Пользователь решил продолжить мысль 15 Ноября 2009, 08:29:47:Ещё нюанс - перезагрузка iptables не помогает. Перезагрузка transmission-daemon помогает, но на пару часов. Не в новой ли версии клиента косяк? Или надо допилить его настройки?
Пользователь решил продолжить мысль 15 Ноября 2009, 18:48:35:Ну что ж, проблему выяснил и пока что решил...

Виноваты наличие в локалке торрент-ретрекера и неправильная работа клиента с несколькими трекерами.
Клиент отсылает анонсы трекеру о своих раздачах. Локальный ретрекер их перехватывает. По идее, клиент должен перебирать все трекеры по циклу, но этот общается только с тем, который ответил быстрее. Естесственно, что это локальный. В результате статистика до главного трекера в инете не доходит.
Вроде бы, разработчики трансмишшиона уже объявили, что будут решать эту проблему, а пока что я был вынужден вырезать из торрент-файлов все ретрекеры.
Делается это с помощью сайта http://www.torrenteditor.com/
Пользователь решил продолжить мысль 17 Ноября 2009, 09:44:14:Есть вариант проще.
Дропать пакеты от и к ретрекерам.
Проверил - работает.