在Linux内核里,默认情况下,iptables重启动的时候,iptables模块会被卸载(unload),然后加载重启.这种配置下iptables如果重启,对于那些tcp发起端window scale option有效的的连接会产生以下影响：
1.重启后window size会不能被正确识别；
2.已经建立的tcp会话状态会从 ESTABLISHED →　INVALID 导致会话中断；
以上问题对于有重传机制的应用或许问题不大,但是如果一个应用不支持重传,当底层tcp会话中断后 就会发生异常问题。
如果应用环境中,这种类型会话偏多,而且iptabls的配置又因为安全问题要经常变动,就有必要探讨是否配置强制iptable模块在重启时不被unlod。

其实解决的方法,就是修改 iptables 的 config 文件,修改 IPTABLES_MODULES_UNLOAD="no" 就可以了.


以下描述整个配置的修改过程：

1 确认配置情况
① window scale option 的配置确认
cat /proc/sys/net/ipv4/tcp_window_scaling

1 window scale option 有效  0:无效

② iptables的配置
grep UNLOAD /etc/sysconfig/iptables-config

引用
IPTABLES_MODULES_UNLOAD="yes"  
iptables模块在重启是会被unload    "no" ：不会被unload

2 修改配置
① 系统环境
uname -a
Linux test01 2.6.18-164.el5 #1 SMP Thu Sep 3 03:28:30 EDT 2009 x86_64 x86_64 x86_64 GNU/Linux



② 配置修改成重启iptables
/etc/init.d/iptables restart

Flushing firewall rules:                                   [  OK  ]
Setting chains to policy ACCEPT: nat filter                [  OK  ]
Unloading iptables modules:                                [  OK  ]  ←　被卸载了
Applying iptables firewall rules:                          [  OK  ]
Loading additional iptables modules: ip_conntrack_netbios_n[  OK  ]  ←　重新加载


③修改配置
vim /etc/sysconfig/iptables-config
修改如下字段,表示重启不重新加载内核模块

IPTABLES_MODULES_UNLOAD="no"



④配置后重启iptables的结果如下：
/etc/init.d/iptables restart

Flushing firewall rules:                            [  OK  ]
Setting chains to policy ACCEPT: nat filter                [  OK  ]
Applying iptables firewall rules:                          [  OK  ]
Loading additional iptables modules: ip_conntrack_netbios_n[  OK  ]  ←　模块加载

转载请注明文章转自：良玉的博客 [http://blog.uouo123.com]
# linux
Logo
Linux

更多推荐

网卡速率和双工模式的配置

http://linux.chinaitlab.com/system/792187.html1、mii-tool 配置网络设备协商方式的工具；    1.1 mii-tool 介绍；    mii-tool - view, manipulate media-independent interface status （mii-tool 是查看，管理介质的网络接口的状态）

avatar Linux

Linux虚拟文件系统之文件系统卸载（sys_umount())

Linux中卸载文件系统由umount系统调用实现，入口函数为sys_umount()。较于文件系统的安装较为简单，下面是具体的实现。1. /*sys_umont系统调用*/2. SYSCALL_DEFINE2(umount, char __user *, name, int, flags)3. {4.struct path path;

avatar Linux

Linux系统下超级终端Minicom的使用方法（例如：连接交换机，路由器等）转http://baike.baidu.com/view/2911642.htm?fr=ala0_1

<br />　　Linux系统下超级终端Minicom的使用方法 <br />　　Linux下的Minicom的功能与下的超级终端功能相似，适于在通过超级终端对设备的管理以及对嵌入操作系统的升级，现写出Minicom的使用手册： <br />　　1． 启动minicom <br />　　以root权限登录系统 <br />　　使用命令 <br />　　minicom –s 则minicom启动，屏

avatar Linux