Форум русскоязычного сообщества Ubuntu


Следите за новостями русскоязычного сообщества Ubuntu в Twitter-ленте @ubuntu_ru_loco

Автор Тема: Управление флагами TCP - Флаг "DF "  (Прочитано 6351 раз)

0 Пользователей и 1 Гость просматривают эту тему.

Оффлайн Lex_old

  • Автор темы
  • Новичок
  • *
  • Сообщений: 42
  • Всего в жизни добиваешься спустя время
    • Просмотр профиля
Всем привет!
Кто нибудь знает как в линуксе управлять сетевыми флагами а точнее флагом DF, обозначающий запрет на фрагментацию tcp пакетов.
Либо включение отключение его у клиента, самого источника отправки пакетов, либо управление флагом на фаерволе "Iptables"

Народ прошу сразу, не кидайте ссылки типа см туда, гугли и тд, перелазил весь инет перечитал очень много всего, но так и не смог справиться с задачей
Знаю что есть патч для kernel при помощи которого можно управлять флагом DF а также есть примочка для iptables для извинения флага.....
Во общем если можно по сути, если не знаете не засоряйте тему.

Для полноты вопроса, проблема вот в чем

Стоит Kaspersky Mail gateway + Exim 4 + Dovecot, Обьясню тем кто не пользовался mailgw,
Когда почта приходит например с mail.ru ко мне, приходит на mailgw он просматривате на вирусы спам и тд, почего перенаправляет его на EXIM, ну dovecot все понятно.
Когда пользователь отправляет почту, почтовый клиент связывается с mailgw и все как у всех отправляет почту, если кто то подумает что при отправке задействован exim это не так.
Сама проблема в том, что на все почтовые сервера письма уходят нормально, даже мгновенно, а на яндекс нет, сейчас опишу как:
Письма до 500 кб, уходят после отправки через 1 мин
Письма от 500 кб до 1 м, уходят около 10 - 15 мин
и чем дальше тем больше времени надо письмо обьемом в 8,7 метра уходило 6 часов, но не то что бы оно стояло в очереди со статусом send оно стоит в статусе QUERY, в лога одно и тоже на протяжении всего времени, сервер определил куда соединяется, установил соединения посылает данные и все на это мол чек, отваливается по тайм ауту, см сами
[22-03-2011 24:08:09 I] [5541] p8O7LK4U63716: SPLITTED: domain=<yandex.ru>, nrcpt=1, srcid=p8O7LK4U63716
[22-03-2011 24:08:10 D] [5541] p8O7LK4U63716: SEND: Resolving MX-hosts for domain: <yandex.ru>...
[22-03-2011 24:08:10 A] [5541] SEND: Try to connect to yandex.ru [77.88.21.89]...
[22-03-2011 24:08:10 A] [5541] SEND: Connection established to yandex.ru [77.88.21.89].
[22-03-2011 24:08:10 A] [5541] SEND: Login to host: yandex.ru [77.88.21.89]...
[22-03-2011 24:08:10 A] [5541] p8O7LK4U63716: SEND: Sending message to: yandex.ru 1 25...
[22-03-2011 24:08:16 I] [5541] SEND: p8O7LK4U63716: Attempt to send envelope to yandex.ru 1 25 temporary failed (Read: read timeout.).


Списался с техподдержкой, описал все
запросили дамп, прислал, говорят пакеты большого объема, и флаг запрета дефрагментации, см сами
00:23:02.113776 IP (tos 0x0, ttl 64, id 6698, offset 0, flags [DF], proto TCP (6), length 4270)
192.168.110.5.54244 > 87.250.250.89.25: . 63323:67553(4230) ack 0 win 5840

Поставил на сервере mtu 1000 байт , в iptables прописал что бы пакеты при трансляции не привыкали 800 байт, вот так:
$iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 800

Но увы, все по прежнему, и хоть до 200 уменьши все равно одно и тоже...

Буду признателен в решении проблемы!
Спасибо!


Оффлайн Besogon

  • Новичок
  • *
  • Сообщений: 46
    • Просмотр профиля
Re: Управление флагами TCP - Флаг "DF "
« Ответ #1 : 23 Март 2011, 14:46:57 »
Тут довольно старая инфа, но вдруг поможет.
http://lists.netfilter.org/pipermail/netfilter/2004-July/054802.html

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 27698
    • Просмотр профиля
Re: Управление флагами TCP - Флаг "DF "
« Ответ #2 : 23 Март 2011, 15:54:17 »
А при чём тут форвард?... Или почтовый сервер не на шлюзе стоит?
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн Lex_old

  • Автор темы
  • Новичок
  • *
  • Сообщений: 42
  • Всего в жизни добиваешься спустя время
    • Просмотр профиля
Re: Управление флагами TCP - Флаг "DF "
« Ответ #3 : 24 Март 2011, 19:13:34 »
Почтовый сервер стоит внутри сети

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 27698
    • Просмотр профиля
Re: Управление флагами TCP - Флаг "DF "
« Ответ #4 : 24 Март 2011, 19:41:54 »
Надеюсь, правило в таблицу mangle прописывали?
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн Lex_old

  • Автор темы
  • Новичок
  • *
  • Сообщений: 42
  • Всего в жизни добиваешься спустя время
    • Просмотр профиля
Re: Управление флагами TCP - Флаг "DF "
« Ответ #5 : 24 Март 2011, 21:55:02 »
Я не изменял таблицу вообще , маркировка мне не нужна, тос тоже а жизнь пакета не вижу смысла изменять

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 27698
    • Просмотр профиля
Re: Управление флагами TCP - Флаг "DF "
« Ответ #6 : 24 Март 2011, 22:09:54 »
Вы там определитесь, что именно вы делали, тогда поговорим.
А то у вас рассвет с закатом не сходится.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн Lex_old

  • Автор темы
  • Новичок
  • *
  • Сообщений: 42
  • Всего в жизни добиваешься спустя время
    • Просмотр профиля
Re: Управление флагами TCP - Флаг "DF "
« Ответ #7 : 25 Март 2011, 21:21:47 »
Вы там определитесь, что именно вы делали, тогда поговорим.
А то у вас рассвет с закатом не сходится.

вы мой пост внимательно читали?
я писал:
Поставил на сервере mtu 1000 байт , в iptables прописал что бы пакеты при трансляции не привыкали 800 байт, вот так:
$iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss 800

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 27698
    • Просмотр профиля
Re: Управление флагами TCP - Флаг "DF "
« Ответ #8 : 25 Март 2011, 23:53:50 »
Смысл был ставить MTU 1000 если вы забили MSS на 800?
Поставьте тогда MTU 800 уже и не мучайтесь.
Но у меня есть такое подозрение, что вам провайдер лапшу на уши вешает.
tracepath между отправляющим и принимающим хостами сделайте.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн Lex_old

  • Автор темы
  • Новичок
  • *
  • Сообщений: 42
  • Всего в жизни добиваешься спустя время
    • Просмотр профиля
Re: Управление флагами TCP - Флаг "DF "
« Ответ #9 : 28 Март 2011, 12:17:23 »
На mail.ru почта идет
root@srv-msk-mail:/var/log/exim4# tracepath mxs.mail.ru/25
 1:  localhost (192.168.110.5)                              0.091ms pmtu 1500
 1:  мой шлюз (192.168.110.1)                    0.346ms
 1:  мой шлюз (192.168.110.1)                    0.318ms
 2:  шлюз моего шлюза (94.159.34.161)                          0.731ms
 3:  93.186.50.1 (93.186.50.1)                              2.379ms
 4:  194.67.53.33 (194.67.53.33)                            3.480ms
 5:  cat08.moscow.gldn.net (194.186.157.209)               17.759ms asymm  7
 6:  no reply
 7:  no reply

Вот сюда почта не идет (tpe.ru)
root@srv-msk-mail:/var/log/exim4# tracepath mail.tpe.ru/25
 1:  localhost (192.168.110.5)                              0.089ms pmtu 1500
 1:  мой шлюз (192.168.110.1)                    0.303ms
 1:  мой шлюз (192.168.110.1)                    0.321ms
 2:  шлюз моего шлюза  (94.159.34.161)                          0.731ms
 3:  93.92.32.9 (93.92.32.9)                                3.028ms
 4:  194.67.53.33 (194.67.53.33)                           15.460ms
 5:  cat23.moscow.gldn.net (194.186.158.42)                19.753ms
 6:  a621-cr01-te6-3.msk.stream-internet.net (195.34.38.141)   4.825ms asymm  9
 7:  ss-crs-1-be6.msk.sream-internet.net (195.34.53.201)    4.924ms asymm 10
 8:  ss-cr01-po4.msk.stream-internet.net (195.34.53.253)    4.624ms asymm  9
 9:  ss-9-te-0-0-0-3820.msk.stream-internet.net (195.34.59.234)   4.226ms asymm 10
10:  ss-cr01-vlan-3821.msk.stream-internet.net (195.34.53.1)   4.727ms asymm 11
11:  ss-crs-1-be4.msk.stream-internet.net (195.34.53.254)   4.875ms asymm 18
12:  a197-crs-1-be5.msk.stream-internet.net (195.34.59.106)   5.323ms asymm 17
13:  a197-cr01-te3-4-2001.msk.stream-internet.net (195.34.38.249)   4.925ms asymm 14
14:  ngn-a197-cr01-te3-4-2001.msk.stream-internet.net (195.34.38.250)   4.825ms asymm 15
15:  technopromexport.moscow.access.comstar.ru (212.248.125.222)   5.674ms asymm 20
16:  no reply
17:  no reply

На yandex.ru почта не идет
root@srv-msk-mail:/var/log/exim4# tracepath mx.yandex.ru/25
 1:  localhost (192.168.110.5)                              0.095ms pmtu 1500
 1:  мой шлюз (192.168.110.1)                    0.324ms
 1:  мой шлюз (192.168.110.1)                    0.320ms
 2:  шлюз моего шлюза (94.159.34.161)                          0.733ms
 3:  93.92.32.9 (93.92.32.9)                                3.181ms
 4:  194.67.53.33 (194.67.53.33)                            3.480ms
 5:  cat26.Moscow.gldn.net (194.186.10.114)                 4.379ms asymm  7
 6:  213.33.201.230 (213.33.201.230)                        3.526ms
 7:  carmine-red-vlan602.yandex.net (87.250.242.206)        3.680ms
 8:  l3-s600-s2190.yandex.net (213.180.213.37)              4.826ms asymm 12
 9:  l3-s650-s600.yandex.net (213.180.213.45)               5.273ms asymm 12
10:  no reply
11:  no reply



Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 27698
    • Просмотр профиля
Re: Управление флагами TCP - Флаг "DF "
« Ответ #10 : 28 Март 2011, 13:27:09 »
[22-03-2011 24:08:16 I] [5541] SEND: p8O7LK4U63716: Attempt to send envelope to yandex.ru 1 25 temporary failed (Read: read timeout.).

Это он не сумел отправить КОНВЕРТ. Не более 30-40 (тридцати-сорока) БАЙТ.
Так что лапшу вещать изволят господа от яндекса. (Что не удивляет, я имел возможность неоднократно общаться с их саппортом по разным проблемам - они неадекватны...)
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн Lex_old

  • Автор темы
  • Новичок
  • *
  • Сообщений: 42
  • Всего в жизни добиваешься спустя время
    • Просмотр профиля
Re: Управление флагами TCP - Флаг "DF "
« Ответ #11 : 28 Март 2011, 14:25:11 »
[22-03-2011 24:08:16 I] [5541] SEND: p8O7LK4U63716: Attempt to send envelope to yandex.ru 1 25 temporary failed (Read: read timeout.).

Это он не сумел отправить КОНВЕРТ. Не более 30-40 (тридцати-сорока) БАЙТ.
Так что лапшу вещать изволят господа от яндекса. (Что не удивляет, я имел возможность неоднократно общаться с их саппортом по разным проблемам - они неадекватны...)

Подскажи что мне то сейчас делать, я уже вообще не знаю в какую сторону копать, сегодня еще один домена с такими же проблемами, там у фирмы виртуальный почтовый домен на хостинге, туда так же через палук отправляет

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 27698
    • Просмотр профиля
Re: Управление флагами TCP - Флаг "DF "
« Ответ #12 : 28 Март 2011, 15:00:03 »
Отправлять почту на яндекс через кого-нибудь другого. Боюсь, это единственный разумный в данной ситуации выход.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

Оффлайн Lex_old

  • Автор темы
  • Новичок
  • *
  • Сообщений: 42
  • Всего в жизни добиваешься спустя время
    • Просмотр профиля
Re: Управление флагами TCP - Флаг "DF "
« Ответ #13 : 29 Март 2011, 06:58:44 »
[22-03-2011 24:08:16 I] [5541] SEND: p8O7LK4U63716: Attempt to send envelope to yandex.ru 1 25 temporary failed (Read: read timeout.).

Это он не сумел отправить КОНВЕРТ. Не более 30-40 (тридцати-сорока) БАЙТ.
Так что лапшу вещать изволят господа от яндекса. (Что не удивляет, я имел возможность неоднократно общаться с их саппортом по разным проблемам - они неадекватны...)

Поясни пожалуйста, конверт 30-40 байт или размер пакета? если пакета может тогда все таки как то снять флаг DF и пусть он фрагментирует пакеты? ммм

Оффлайн AnrDaemon

  • Заслуженный пользователь
  • Старожил
  • *
  • Сообщений: 27698
    • Просмотр профиля
Re: Управление флагами TCP - Флаг "DF "
« Ответ #14 : 29 Март 2011, 13:11:57 »
Конверт - это две или больше строк, содержащих реальные адреса отправителя и получателя письма.
Подробности можешь посмотреть в стандарте, но если коротко, то сервер при отправке письма соединяется с удалённым хостом, представляется (helo/ehlo) и пытается отправить письмо
MAIL FROM: <email>
и ждёт ответа сервера. Если положительный ответ получен, отправляются адресаты
RCPT TO: <email>
Судя по логу, он не дождался ответа либо на приветствие либо на MAIL FROM. Ни одна из этих строк в бреду не превышает 30-40 байт.
Хотите получить помощь? Потрудитесь представить запрошенную информацию в полном объёме.

Прежде чем [Отправить], нажми [Просмотр] и прочти собственное сообщение. Сам-то понял, что написал?…

 

Страница сгенерирована за 0.082 секунд. Запросов: 25.