Притупливает инет (Инет через NAT)

[Spider84]

На роутере есть 2 сетевых интерфейса, один из которых смотрит на adsl роутер, а второй в сеть. На сервере настроен QOS, NAT и Squid с прозрачным проксированием. Иногда происходит нечто при котором интернет у клиентов как бы "замирает", при этом если зайти на роутер и от туда попробовать походить по инету - всё в порядке. Как локализовать проблему?

[alfss]

что значит инет замирает?
HTTP, ICMP, TCP, UDP ???

[Spider84]

что значит инет замирает?
HTTP, ICMP, TCP, UDP ???

Ну да, тупанул немного.
HTTP, FTP, ICQ
но http через сквид, а icq натом, а замирают одновременно

[danger08]

HTTP, FTP, ICQ
но http через сквид, а icq натом, а замирают одновременно

проблема с правилами в iptables? давайте листинг в студию.

[Spider84]

Код: Выделить всё

# iptables -L -n -v -t nat
Chain PREROUTING (policy ACCEPT 8363K packets, 622M bytes)
 pkts bytes target     prot opt in     out     source               destination
 9396  471K DNAT       tcp  --  ppp0   *       0.0.0.0/0            92.124.182.143      tcp dpt:7185 to:192.168.0.1
 102K   11M DNAT       udp  --  ppp0   *       0.0.0.0/0            92.124.182.143      udp dpt:10332 to:192.168.0.1
13091  628K REDIRECT   tcp  --  *      *       192.168.0.0/24      !192.168.0.0/24      tcp dpt:80 redir ports 8080

Chain POSTROUTING (policy ACCEPT 1317K packets, 107M bytes)
 pkts bytes target     prot opt in     out     source               destination
 305K   27M MASQUERADE  all  --  *      ppp0    192.168.0.0/24      !192.168.0.0/24

Chain OUTPUT (policy ACCEPT 268K packets, 18M bytes)
 pkts bytes target     prot opt in     out     source               destination

Код: Выделить всё

# iptables -L -n -v
Chain INPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination

[danger08]

а проблем с провайдером никаких? канал не отваливается?
что в логах пишет в момент, когда интернет пропадает?

[Spider84]

а проблем с провайдером никаких? канал не отваливается?
что в логах пишет в момент, когда интернет пропадает?

В логах ничего. И сам же он продолжает работать (lynx шустр открывает всё). Да и затупы всего на 1-2 минуты.

[NemesisSOAD]

а вообще он пингуеться со стороны тех машин когда такие "затупы"?
да и что гадать tcpdump в руки и вперёд.

[Alexxx]

Помнится решал примерно подобные траблы, давно это было, подробностей не помню. Помогло это:

Код: Выделить всё

iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 500:1500 -j TCPMSS --clamp-mss-to-pmtu -o $INET_IFACE

Попытка - не пытка, как говорится...

[Devon]

У меня недавно была подобная проблема с хардверным роутером (правда с Линуксовой прошивкой). Оказалось исчерпывался лимит соединений и он ждал, пока истечет время ожидания, чтобы прибить старые. Посмотрите значение ip_conntrack_max, в разных дистрибах путь разный, но думаю найдете, попробуйте поднять.

[Voler]

А можно чуть подробнее расписать твое правило?

iptables -A FORWARD -p tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 500:1500 -j TCPMSS --clamp-mss-to-pmtu -o eth0