别为iptables日志付出太多-一种Linux防火墙优化方法
来源:互联网 发布:制作请帖的软件 编辑:程序博客网 时间:2024/04/29 08:50
日志很重要,然则别为其付出太多。
日志多用于审计和排错,在核心网络或者大负载服务器上,它很重要,然而却不是核心业务。
如果确认了自己的网络是安全的,请关掉日志。
内核有时候会因为日志不堪重负的。
在iptables防火墙上,使用ULOG而不是LOG纪录iptables日志,因为LOG使用耗时的printk,而ULOG则使用netlink直接将日志广播给用户态,真不行就overrun,而不是无条件写,这是对的,因为真的没有必要将每一个数据包都记录下来,iptables日志更多的在统计意义上有效,它们更多的要通过psad/gnuplot等程序绘制出图表以供分析。
编译内核的时候,减少printk缓冲区的大小:
Symbol: LOG_BUF_SHIFT [=17] #改成一个较小的数
x Prompt: Kernel log buffer size (16 => 64KB, 17 => 128KB)
x Defined at init/Kconfig:409
x Location:
x -> General setup
此时,我们应该信任syslog吗?是的,应该!
如果可能就在内核注册一个新的chain而不是在用户态使用iptable命令。
TP-LINK和D-Link的做法值得借鉴啊!
日志多用于审计和排错,在核心网络或者大负载服务器上,它很重要,然而却不是核心业务。
如果确认了自己的网络是安全的,请关掉日志。
内核有时候会因为日志不堪重负的。
在iptables防火墙上,使用ULOG而不是LOG纪录iptables日志,因为LOG使用耗时的printk,而ULOG则使用netlink直接将日志广播给用户态,真不行就overrun,而不是无条件写,这是对的,因为真的没有必要将每一个数据包都记录下来,iptables日志更多的在统计意义上有效,它们更多的要通过psad/gnuplot等程序绘制出图表以供分析。
编译内核的时候,减少printk缓冲区的大小:
Symbol: LOG_BUF_SHIFT [=17] #改成一个较小的数
x Prompt: Kernel log buffer size (16 => 64KB, 17 => 128KB)
x Defined at init/Kconfig:409
x Location:
x -> General setup
此时,我们应该信任syslog吗?是的,应该!
如果可能就在内核注册一个新的chain而不是在用户态使用iptable命令。
TP-LINK和D-Link的做法值得借鉴啊!
- 别为iptables日志付出太多-一种Linux防火墙优化方法
- 为Linux设置IPTables防火墙
- 大一统的Netfilter-一种Linux防火墙优化方法
- 别为老年人理论太多
- Linux防火墙IPTables配置方法详解
- Linux上iptables防火墙配置方法
- Linux 防火墙iptables (五)用iptables为公司配置防火墙实例(实战)
- 《Linux优化之iptables防火墙处理及运维思想》
- linux防火墙(iptables)
- linux 防火墙 iptables
- Linux防火墙配置文件(iptables)
- Linux iptables 防火墙状态
- linux 防火墙 iptables
- iptables(linux防火墙) 使用
- linux 防火墙 iptables 常用命令
- linux iptables 防火墙设置
- linux 防火墙 iptables常用命令
- Linux iptables防火墙详解
- select into 和 insert into select 两种表复制语句
- 使用VS2005网站管理工具的方法
- asp.net2.0数据访问工具--DataSource
- 静态视图 动态视图 区别 定义
- zend framework 多语言配置及实例
- 别为iptables日志付出太多-一种Linux防火墙优化方法
- Android中Activity与Service如何通过广播交换复杂对象数据
- 普通table表格样式及代码大全(全)
- 华容道最难情况
- poj 1157 LITTLE SHOP OF FLOWERS DP 背包问题变形
- asp.net c# SqlDataSource 控件
- DuiLib 很不错的东西
- 现有的playbyplay源数据
- 日常Linux命令汇总