<![CDATA[Messages posted by "lonely_star1403"]]> /hvaonline/posts/listByUser/113931.html JForum - http://www.jforum.net Centos 5.4 boot fail http://wiki.centos.org/HowTos/InstallFromUSBkey]]> /hvaonline/posts/preList/35973/221135.html#221135 /hvaonline/posts/preList/35973/221135.html#221135 GMT Cpu 100% 1 cách kì quặc http://www.nirmaltv.com/2009/07/29/5-ways-to-monitor-and-improve-windows-7-performance/ bạn tìm hiểu cái performace monitor của windows 7
xem cái average usage của từng process và xem thử process nào dùng nhiều cpu time, loại trừ dần để tim ra nguyên nhân :) ]]> /hvaonline/posts/preList/35972/221134.html#221134 /hvaonline/posts/preList/35972/221134.html#221134 GMT Linux kernel trước 2.6.36-rc1 CAN BCM Exploit Ben Hawkes discovered an integer overflow in the Controller Area Network (CAN) subsystem when setting up frame content and filtering certain messages. An attacker could send specially crafted CAN traffic to crash the system or gain root privileges.   CVE: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2010-2959 Demo: http://www.youtube.com/watch?v=tnAcleLv-bQ ==> Có lẽ là Remove CAN module hoặc tự nâng cấp kernel.]]> /hvaonline/posts/preList/35967/221084.html#221084 /hvaonline/posts/preList/35967/221084.html#221084 GMT Về SMS Gateway /hvaonline/posts/preList/33217/204637.html#204637 /hvaonline/posts/preList/33217/204637.html#204637 GMT iptables connlimit và ip_vs

sup3rmm wrote:
ip_vs hoạt động như 1 NAT gateway vì vậy các packet vào ra hoàn toàn không đi qua chain INPUT của netfilter mod connlimit không thể hoạt động hiệu quả với topology hiện nay. Bạn thử nghiệm connlimit ở các chain trước INPUT xem sao, đọc kĩ mối liên hệ giữ ip_vs và netfilter, có gì post kết quả lên để mọi người tham khảo nha. Ngoài ra nếu traffic và các site của bạn không cao. Bạn có thể sử dụng giải pháp haproxy http://haproxy.1wt.eu/. Soft này có ứu điểm về performance( dĩ nhiên không bằng được LVS ), giúp tương tác với packet ở mức application dễ dàng cản lọc, phân luồng traffic web theo ý muốn và bạn hoàn toàn có thể áp dụng connlimit ở topology này 
thanks bác :D nhờ có cái key "LVS" mà lôi ra được cái link này -:-) ( nhưng mà hơi bị outdate thì phải :( ) đang ngâm xem có "ngộ" ra đc cái gì không..... http://www.austintek.com/LVS/LVS-HOWTO/HOWTO/LVS-HOWTO.filter_rules.html]]> /hvaonline/posts/preList/29724/183328.html#183328 /hvaonline/posts/preList/29724/183328.html#183328 GMT iptables connlimit và ip_vs 1. bạn dùng chương trình gì để benmark vậy? và bạn thiết lập các connection để benmark ra sao? vì cái rule của bạn chỉ đếm số tcp connections đi đến port 80 của server, nếu số request mà dưới 24 thì cho vào, lỡ như cái app bạn dùng đó nó tạo request đến cổng khác thì sao? mà cái rule ấy sao không set --connlimit-above 24 -j DROP mà thêm ! để accept mình thấy nó hơi...lủng củng .   mình dùng một chương trình để tự DDOS của Socketsoft nó mở ra 1000 socket (connection) và request server liên tục, mình cũng đã thử limit xuống 1 nhưng cũng không có xi nhê zì ==> die webserver (với trường hợp đặt connlimit trên ip_vs) mình ko rõ lắm về connection limit của bác comale là connection limit bằng cách cấu hình apache hay là sử dụng iptables nhưng như đoạn bài viết dưới đây trích từ ký sự các vụ DDOS của HVA thì mình tự hỏi trình duyệt sẽ tự retry với phản ứng nào của iptable và trường hợp nào giải phóng socket (qua ipvs server và cho webserver đằng sau ipvs) nhanh hơn. Nếu như theo lập luận của bạn thì có lẽ DROP là trường hợp người dùng ít bị ảnh hưởng nhất???
Nếu như kế tiếp có người thứ 7, 8 và 9 cùng truy cập thì sao? Chắc chắn là thiếu 2 connection. Tuy nhiên, anh chàng nào hơi chậm chân một tí thì trình duyệt sẽ "retry" ngay sau đó và khi "retry" packet này đụng đến server thì cơ hội có connection để vào rất cao vì khi ấy người thứ 3, 4, 5, 6 đã trả lại một loạt connection rồi. Đối với người dùng bình thường, đây là một "delay" rất nhỏ và có thể tiếp nhận được. Trên thực tế, chuyện này hiếm xảy ra. Theo thông tin đã thâu thập được từ log của web server thì cứ 30 giây mới có một xuất truy cập mới. Quy định 8 connections một lúc cho mỗi IP thật sự còn quá thư giãn so với hoàn cảnh thực tế. Tuy nhiên, cứ tạm dùng con số này làm điểm khởi đầu rồi chỉnh sửa sau vậy.  
]]> /hvaonline/posts/preList/29724/183245.html#183245 /hvaonline/posts/preList/29724/183245.html#183245 GMT iptables connlimit và ip_vs Code:
-A INPUT  -i lo -j ACCEPT
iptables -A INPUT  -i eth1 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type any -j ACCEPT
iptables -A INPUT  -m state --state ESTABLISHED,RELATED -j ACCEPT
# vì là trang ajax và multimedia nhiều nên limit là 24 ##
iptables -A INPUT -m state --state NEW -m tcp -p tcp --dport 80 -m connlimit ! --connlimit-above 24 -j ACCEPT
iptables -A INPUT -j REJECT  --reject-with icmp-net-prohibited
và cấu hình ip_vs như sau Code:
Prot LocalAddress:Port Scheduler Flags
  -> RemoteAddress:Port           Forward Weight ActiveConn InActConn
TCP  192.168.1.112:80 wlc
  -> 192.168.2.21:80              Masq    1      1          2
  -> 192.168.2.22:80              Masq    0      0          0
1/ Khi dùng một số chương trình để benmark để tạo nhiều connection đến server thì không thấy iptables limit gì cả. Có phải vì kết nối ko thiết lập đến chính 192.168.1.112 mà được chuyển qua máy khác nên connlimit không "đếm" được hay không? liệu có cách nào để limit trên ip_vs server hay không?. Hiện tại mình chạy iptables trên các máy nhận request thì thấy limit tốt. 2/ Sau khi limit trên các máy nhận request ( 2.21 và 2.22) mình thử dùng trình duyệt để kết nối thì thấy bình thường nhưng khi nhiều người ( nằm sau một proxy) duyệt thì cảm thấy rất chậm và hay bị lỗi. Khi đọc ký sự về HVA mình cũng đã thử cố phân tích và tính toán thì cảm thấy con số 24 connection là quá hợp lý nhưng tại sao kết quả lại không như ý muốn. nhưng trong các bài viết của bác conmale lý luận rằng nếu trình duyệt bị từ chối thì nó sẽ retry lại ngay. vậy thì với phản ứng nào của iptables thì trình duyệt sẽ retry ( REJECT VS DROP ), liệu dùng drop ( ở local webserver) thìconnection có bị hold ở ip_vs quá lâu không. ngoài ra mình mở netstat của các máy webserver ra thì thấy rất nhiều connection ở trạng thái TIME_WAIT và FIN_WAIT, có cách nào để giảm bớt thời gian WAIT này ko? Code:
REJECT 
--reject-with type
       The type given can be
        icmp-net-unreachable
        icmp-host-unreachable
        icmp-port-unreachable
        icmp-proto-unreachable
        icmp-net-prohibited
        icmp-host-prohibited or
        icmp-admin-prohibited (*)
       which  return  the appropriate ICMP error message (port-unreach-
       able is the default).  The option tcp-reset can be used on rules
       which  only match the TCP protocol: this causes a TCP RST packet
       to be sent back.  This  is  mainly  useful  for  blocking  ident
       (113/tcp)  probes  which  frequently  occur when sending mail to
       broken mail hosts (which won't accept your mail otherwise).
hay là DROP
Mong mọi người góp ý ]]> /hvaonline/posts/preList/29724/183237.html#183237 /hvaonline/posts/preList/29724/183237.html#183237 GMT Re: không chạy các dịch vụ trên một mạng với 2 gateway!!

ShinichiKuto wrote:
Nếu bạn dùng Linux thì việc NAT cho 2 line về VPN server cũng đơn giản mà, trong khi đó bạn dùng cách này sử dụng đồng thời chỉ có 1 line (hơi phí) 
vì mình ko rành lắm về cơ chế NAT nói chung và NAT trên linux nói riêng nên mới phải mày mò thế này. Và linux mình đang dùng là linux nhúng trên AP (dd-wrt ) , chỉ có một số lệnh về mạng cơ bản như iptables, route, ifconfig,.... chứ ko thì đã thử m0n0wall rồi :(]]> /hvaonline/posts/preList/26113/159239.html#159239 /hvaonline/posts/preList/26113/159239.html#159239 GMT Re:[Hỏi] Không truy cập được Internet khi vẫn kết nối được đến Router

Resicons wrote:
Mình cũng nghĩ như cậu, khả năng do router có vấn đề. Router này miễn phí bên FPT cấp, 4 cổng. Cũng chưa thử chuyển sang một router khác. Còn việc có người vào chỉnh thông số router thì không phải bạn à, trước khi reset mình nhìn lại tất cả các thông số đều bình thường. Mấy tháng đầu sử dụng không gặp tình trạng này. 
các máy khác config mạng cũng để DHCP của modem cấp àh???]]> /hvaonline/posts/preList/26239/159236.html#159236 /hvaonline/posts/preList/26239/159236.html#159236 GMT Re: [Hỏi] Không truy cập được Internet khi vẫn kết nối được đến Router + Tại thời điểm gặp lỗi, mình vào trang settings của router và reset lại routervề mặc định và thiết lập lại thông số bên FPT cung cấp thì lại vào được web bình thường.   liệu modem của bạn có bị lỗi, hoặc ko phải bạn mà là ai đó nhảy vào router nghịch bậy bạ :D ]]> /hvaonline/posts/preList/26239/159215.html#159215 /hvaonline/posts/preList/26239/159215.html#159215 GMT Re: không chạy các dịch vụ trên một mạng với 2 gateway!! http://www.dd-wrt.com/wiki/index.php/Dual-WAN_for_simple_round-robin_load_equalization nhưng chưa hiểu nó lắm. có ai chỉ giáo giúp mình được không ah.]]> /hvaonline/posts/preList/26113/159206.html#159206 /hvaonline/posts/preList/26113/159206.html#159206 GMT Re: VPN với IP động /hvaonline/posts/preList/26145/158720.html#158720 /hvaonline/posts/preList/26145/158720.html#158720 GMT Re: không chạy các dịch vụ trên một mạng với 2 gateway!! /hvaonline/posts/preList/26113/158524.html#158524 /hvaonline/posts/preList/26113/158524.html#158524 GMT Re: [Hỏi] - Có thể đổi được IP động do ISP cung cấp bằng cách này? /hvaonline/posts/preList/26067/158453.html#158453 /hvaonline/posts/preList/26067/158453.html#158453 GMT Re: không chạy các dịch vụ trên một mạng với 2 gateway!!

ShinichiKuto wrote:
Theo mình bạn phải đổi mô hình mạng lại một chút sẽ connect từ ngoài vào được trên 2 line đó: Internet ----- Modem A --| ..............................GateWay ----- Switch ----- VPN Server Internet ----- Modem B --| Hoặc: Internet ----- Modem A --| ...............................VPN Server ----- Switch ----- LAN Internet ----- Modem B --| Với mô hình này thì VPN kiêm luôn gateway cho LAN 
Internet ----- Modem A --| ..............................GateWay ----- Switch ----- VPN Server Internet ----- Modem B --| 
có lẽ mình thích mô hình này hơn vì VPN server vẫn nằm sau NAT ( vì ko tự tin lắm trong việc setting security mà) nhưng nếu như thế thì mình config cái gateway như thế nào nhỉ, có 2 cổng LAN và nối vào modem ở chế độ bridge và chạy NAT trên gateway của mình??? vậy thì trên gateway của mình sẽ có 2 WAN IP và 2 gateway mình tự hỏi gateway của mình sẽ này sẽ dùng WAN gateway nào để trả lời client?? Hay là mình phải viết một script để luân phiên thay đổi gateway nếu ping gateway hiện tại bị timeout??]]> /hvaonline/posts/preList/26113/158438.html#158438 /hvaonline/posts/preList/26113/158438.html#158438 GMT không chạy các dịch vụ trên một mạng với 2 gateway!! /hvaonline/posts/preList/26113/158408.html#158408 /hvaonline/posts/preList/26113/158408.html#158408 GMT