BSD/UnixInterrupt ligger på 20%

[DiDaDi]

Har en FreeBSD 6.2 server som kjører squid og apache for personlig bruk. Den ligger som regel på 99% idle, men de siste timene har interrupt ligget på 20%. Noen som har noen ideer om hva dette kan skyldes? Hvis jeg gir for lite info si fra hva jeg bør informerer om.

 

Edit: Ser at det er en ip så sender meg ca 10Mbit med udp pakker på port 10 000 med tcpdump.

Endret 18. oktober 2007 av ruuuty

[Duronator]

Fint om du kan legge ved output av 'dmesg', samt pciconf -lv (Kanskje et annet sted siden de er ganske store).

[DiDaDi]

http://pastebin.com/m2a034d3e

http://pastebin.com/d49cef765

 

Er rimlig sikker på at det har med stor trafikk inn på nettverkortet. Grafene for nett trafikk og cpu bruk sammenfaller vertfall. Noen mulighet for å få pf til å droppe pakkene uten å bruke så mye cpu kraft på det? Legger ved pf.conf og: http://pastebin.com/m5719ee6a

[stigfjel]

Du har ikke satt noen block-policy i brannmuroppsettet ditt. Det kan kanskje ha noe med saken å gjøre. Hvis du setter

 

set block-policy drop

 

under

 

set loginterface bfe0

 

vil du nok få et bedre resultat.

 

Det denne linjen gjør er at nå blir pakkene bare droppet uten at maskinen gidder å behandle disse på noen som helst måte.

Endret 23. oktober 2007 av stigfjel

[DiDaDi]

Takk for innspill! Skal sjekke det ut.

 

Ser på tcpdump at jeg plukker opp en del trafikk mellom andre PC-er. Tyder vel på at jeg er tilkoplet en hub?

[stigfjel]

En annen fordel med å sette block-policy til drop er at du gjør det svært vanskelig for en portscanner å få svar om en port er åpen eller ikke. Når portscanneren prøver å scanne en port som du ikke har åpnet, vil portscanneren prøve å scanne porten helt til man får time out. Portscanneren vil da ikke være i stand til å avgjøre om porten er stengt eller åpen. Porten fremstår da som usynlig. noe som er gunstig ut i fra et sikkerhetsperspektiv. Å søke igjennom alle porter når du har satt block policy til drop vil ta svært lang tid. Maskinen din vil på den andre siden bare droppe pakkene uten å bry seg om dem uten at maskinen behandler pakkene.

Endret 23. oktober 2007 av stigfjel

[DiDaDi]

En liten ting, er ikke set block-policy drop default når ikke annet er angitt?

[stigfjel]

En liten ting, er ikke set block-policy drop default når ikke annet er angitt?

Det er jeg ikke sikker på. Husk at PF i FreeBSD 6.2 svarer til PF i OpenBSD 3.7, mens OpenBSD 4.2 er rett rundt hjørnet. Det har skjedd mye med PF siden OpenBSD 3.7 var gjeldende versjon. Så det er godt mulig block-policy er satt til return (blokkerer og gir svar tilbake at porten er stengt). På brannmuren byttet jeg fra FreeBSD til OpenBSD nettopp på grunn av PF i OpenBSD er mye mer oppdatert.

 

Edit: PF kommer fra OpenBSD.

Endret 23. oktober 2007 av stigfjel