請教ipfw

yes298 · 道童 注册时间: 2007-12-13 文章: 311

公司有一台FreeBSD v7.0 + Lighttpd的Web Server,
连接100M的独立专线, 尚未开放给人浏览,
只我一人联机上去作测试, 用HTTP下载1G的档案,
一直都能维持在1.1MB/S左右, (客户端只有10M上网速度), 速度很正常 …

但当打开含图片的静态页面, 有时感觉很慢, 等很久才能显示图片,
或者有时还无法显示图片, 而该页面都只是二张100K ~ 300K的图片 …

后来把ipfw改为allow all, 以上现象就消失了, 这肯定和ipfw有关了,
现贴出 ipfw list 的结果, 请各位大大指点一二, 是否与setup keep-state 有关呢?

Web Server IP: 11.22.33.44
ISP DNS IP: 55.66.77.88

yes298 · 道童 注册时间: 2007-12-13 文章: 311

请指点, 谢谢 ~

kingwkb · 半仙 注册时间: 2007-01-18 文章: 10

freebsd 跑apache mysql php，没必要用墙吧

Cyberman · 半仙 注册时间: 2008-04-12 文章: 5

看了显示开始我感觉如下有些问题：
00014 deny log logamount 10 tcp from any to any in tcpflags syn,fin in via em0

因为感觉它会阻止外面发起的连接，但测试了一下发现不是这么回事。我以FTP测试的，原来是用limit src-addr设置的（包含了keep-state），后来考虑到有可能是check-state的动态规则还没搞明白，就把它放在check-state之前了，并且把FTP改为双向的allow，不使用keep-state，结果还是不会阻止FTP连接。难道是我理解错了？我一直以为ipfw是first-fit的，难道是best-fit？我记得它手册中好像不是这样说的。一般来说best-fit是比较耗资源的。

我们服务器是用的Apache+PHP，防火墙设置比楼主简单多了，只是禁止ping入，然后允许WEB+SSH+FTP，目前还没有发现有什么问题。
用防火墙不管怎么说都会带来效率问题吧，只是互联网上无良人太多了，还是防着点好。如果不是当时时间太急了（我以前可是一点都没用过FreeBSD，只用过Linux，而且很少），当时想把Apache也重新编译把服务器的名称改掉，然后把PHP文件后缀也换一个名字。

另外还有一个问题，哪位知道ifpw show结果在编号和动作之前的两个数字（33、4080）是什么含义？从测试感觉应该和通过的数据包有关，但在Handbook和Man里面都没看到说明：
00200 33 4080 allow tcp from any to me dst-port 80 in setup keep-state

yes298 · 道童 注册时间: 2007-12-13 文章: 311

将以下2句放在最前面, 并将rule NO改为001 和 002, 原来的001改为003,
在用Vista IE7的客户端联机过去, 感觉顺畅许多, 只是一开始联机较慢, 用WinXP
IE6则没有一开始联机慢的问题 …
但以上做法好像不怎么好, 亦不是标准的做, 一般是应该先将Deny rules放在最前,
之后才是allow rules, 再是deny all …
请各位高手大大们, 指点一二, 谢谢 …

00080 allow tcp from any to 11.22.33.44 dst-port 25,80 in via em0 setup keep-state
00081 allow tcp from 11.22.33.44 25,80 to any out via em0 keep-state

Cyberman · 半仙 注册时间: 2008-04-12 文章: 5

具体原来我还不清楚，不过我感觉你对于IPFW的理解上有一些问题。从Handbook及测试的结果看，它是一个Inclusive Firewall，而且是First Fit，以规则号为顺序，找到一个能匹配数据包的就不再往后找了，没有显式地充许通过的是拒绝。

至于我前面的疑问，刚才测试了一下搞清楚了，tcpflags后面的spce中逗号分隔的TCP标识是相与的条件。原来只禁止过外出的RST，还没有注意到这一点。现在我不太清楚楼主这一条是为了做到什么：
00014 deny log logamount 10 tcp from any to any in tcpflags syn,fin in via em0

好像TCP中SYN和FIN不会同时出现吧？

放在最前面是最新匹配的，当然会快了。不过前面这些规则如何导致非常慢我也不是很清楚了，你可以用ipfw show看一看，刚才测试了一下感觉编号后面的数字是匹配上规则的进出数据包的总和。

Cyberman · 半仙 注册时间: 2008-04-12 文章: 5

刚才看了一下rc.conf的说明说SYN/FIN往往用于OS视别，不过禁止它的话会导致有些正常的应用也出问题。而另外有一个地方说对于WEB Server不应该禁止它，不知道是不是这个原因导致的？你可以测试一下。