Доброго времени форумчане. Извиняюсь дико пред вами ибо я ламер в linux. Попробую объяснить проблемку.
Есть сервер на OpenSuse, который включает в себя организацию работы всего предприятия. Стоят 4е сетевые карты (LAN+VPN+PPPoE+выделенный канал). Пользователей в сети порядка 100.
Беда в том, что на выделенном канале (на нем крутится FTP-сервер) стоит статический IP-адрес, и на него судя по всему валятся запросы из солнечного Китая. Погуглив значение ошибки «nf_conntrack: table full, dropping packet» докопался, что NAT-таблицу забивает под завязку и потом идет дроп пакетов именно на выделенный канал.
Гугл сказал, что надо посмотреть саму таблицу (xxx.xxx.xxx.xxx - наш внешний статический IP-адрес):
cat /proc/net/nf_conntrack | less
ipv4 2 tcp 6 115 SYN_SENT src=xxx.xxx.xxx.xxx dst=115.238.241.15 sport=33836 dport=8523 [UNREPLIED] src=115.238.241.15 dst=xxx.xxx.xxx.xxx sport=8523 dport=33836 mark=0 zone=0 use=2
ipv4 2 tcp 6 114 SYN_SENT src=xxx.xxx.xxx.xxx dst=115.238.241.15 sport=31589 dport=8523 [UNREPLIED] src=115.238.241.15 dst=xxx.xxx.xxx.xxx sport=8523 dport=31589 mark=0 zone=0 use=2
ipv4 2 tcp 6 114 SYN_SENT src=xxx.xxx.xxx.xxx dst=115.238.241.15 sport=16437 dport=8523 [UNREPLIED] src=115.238.241.15 dst=xxx.xxx.xxx.xxx sport=8523 dport=16437 mark=0 zone=0 use=2
ipv4 2 tcp 6 112 SYN_SENT src=xxx.xxx.xxx.xxx dst=124.228.91.80 sport=61983 dport=8523 [UNREPLIED] src=124.228.91.80 dst=xxx.xxx.xxx.xxx sport=8523 dport=61983 mark=0 zone=0 use=2
ipv4 2 tcp 6 114 SYN_SENT src=xxx.xxx.xxx.xxx dst=115.238.241.15 sport=14559 dport=8523 [UNREPLIED] src=115.238.241.15 dst=xxx.xxx.xxx.xxx sport=8523 dport=14559 mark=0 zone=0 use=2
ipv4 2 tcp 6 115 SYN_SENT src=xxx.xxx.xxx.xxx dst=115.238.241.15 sport=19289 dport=8523 [UNREPLIED] src=115.238.241.15 dst=xxx.xxx.xxx.xxx sport=8523 dport=19289 mark=0 zone=0 use=2
ipv4 2 tcp 6 114 SYN_SENT src=xxx.xxx.xxx.xxx dst=115.238.241.15 sport=50028 dport=8523 [UNREPLIED] src=115.238.241.15 dst=xxx.xxx.xxx.xxx sport=8523 dport=50028 mark=0 zone=0 use=2
ipv4 2 tcp 6 113 SYN_SENT src=xxx.xxx.xxx.xxx dst=124.228.91.80 sport=2626 dport=8523 [UNREPLIED] src=124.228.91.80 dst=xxx.xxx.xxx.xxx sport=8523 dport=2626 mark=0 zone=0 use=2
ipv4 2 tcp 6 119 SYN_SENT src=xxx.xxx.xxx.xxx dst=43.241.50.3 sport=45804 dport=7391 [UNREPLIED] src=43.241.50.3 dst=xxx.xxx.xxx.xxx sport=7391 dport=45804 mark=0 zone=0 use=2
Далее почитал о том, как забанить эти IP-адреса. Банил сразу по подсетям
iptables -I INPUT -s ***.0.0.0/8 -j DROP
Результата нет. Все равно забивает таблицу этими запросами от Китая. Может я чего-то упустил или не в курсе каких-то тонкостей?
