загрузка ksoftirqd

sysctl -a | grep conntrack покажите и как раз это будет правильно имя для размера буфера трекинга соединений, увеличьте тысяч до 150000 и все будет ок, памяти это съест сущие килобайты, экономить на этом и выключать из-за этого фаерволл - несерьезно в 21 веке,

netwind, Затем что все должно работать как как полагается. Ресурсов съест копейки, ИМХО.

виндовая привычка, пройдет.

Да не, я таки пошутил малость, написав "файервол не нужен".

Просто не надо "закрывать порты", если невесть почему сервис слушает внешний интерфейс. Нужно научить не слушать - вот и все.

А файервол полезен. Запретить вешать левые сервисы на высокий порт. Или запретить исходящие соединения куда-то кроме небольшого списка низких портов. Наконец, для тупой фильтрации по IP/подсетям входящих запросов (иначе и nginx не справится).

я даже больше сделал, поднял до 300000 и еще таймауты поставил небольшие в sysctl на ip_conntrack посмотрим как оно будет.

valsha добавил 13.02.2011 в 19:21

меня наоборот *nixы приучили к этому :)

спасибо всем за помощь и участие.

Включенный фаерволл - это крайне хорошо по ряду причин :) Например хитрый backconnect или левый bnc не заработают даже если взломают машинку.

Pavel.Odintsov, а любой php-shell заработает. да и вместо того чтобы вешать сервисы, гораздо выгоднее поспамить на 25 или 80 исходящий порт хоть из того же php, которые в файрволе специально разрешили. Мертвому припарки файрволл, короче.

Могут и не разрешить. На 25 порт точно скрипт не пустят. Или Вам слабо?

Вы еще надеетесь на очередную панацею? Тогда - да. Забудьте про файрволы всякие - ставьте mod_security и боритесь со страшными PHP-шеллами. Это главная угроза человечеству!

а если у "меня" там SMTP через gmail? так сейчас принято решать проблемы с доставкой почты.

я так понял, что это вы надеетесь iptables.

ну если колбасит эти iptables и особенного толку от них все равно нет, то почему бы и не отключить.

У кого так "принято"?

Твоя русский язык?

Наоборот, это Вы сослались на другой тред, где я не советовал "закрывать" iptables открытые порты. По той простой причине - что на этих портах ничего слушать внешний интерфейс пропросто не должно.

А iptables полезен. В условиях ddos - особенно. Надо ipset nginx-у помогать.