Servidor incapaz de comunicar OUT, tráfego de serviço

Question

Temos vários servidores que perdem aleatoriamente a capacidade de se comunicar com outros nós na rede local e na internet. No entanto sites estão sendo servidos bem e ainda temos acesso ssh.

Uma reinicialização parece corrigir o problema por alguns dias. Os servidores estão executando o 10.5.X e estão totalmente atualizados com atualizações de software.

Atualmente, temos o problema descrito em uma caixa. Por exemplo, ao tentar fazer um curl google.com de tempo limite, a saída SMTP não está acontecendo, mas posso acessar o SSH e o Apache está veiculando páginas da Web sem problemas.

Se eu desabilitar o firewall com sudo ipfw disable firewall , o tráfego de saída será retomado. Se eu reativar o firewall com sudo ipfw enable firewall , o problema reaparecerá.

Regras do firewall:

$ sudo ipfw show            
00001  1123672   159015812 allow udp from any 626 to any dst-port 626
01000 70125526 26073450472 allow ip from any to any via lo0
01010        0           0 deny ip from any to 127.0.0.0/8
01020        0           0 deny ip from 224.0.0.0/4 to any in
01030        0           0 deny tcp from any to 224.0.0.0/4 in
12301   904047   139023698 allow tcp from any to any out
12302    63538    11694670 allow tcp from any to any dst-port 22
12302        0           0 allow udp from any to any dst-port 22
12303   304700    44969494 allow udp from any to any out keep-state
12304        0           0 allow tcp from any to any dst-port 53 out keep-state
12304        0           0 allow udp from any to any dst-port 53 out keep-state
12304        0           0 allow tcp from any to any dst-port 53 out keep-state
12306      171       10944 allow tcp from any to any dst-port 311
12307     2167      143175 allow udp from any to any dst-port 626
12308     1604       98058 allow icmp from any to any icmptypes 8
12309     1604       98058 allow icmp from any to any icmptypes 0
12311   228466    17139842 allow tcp from any to any dst-port 80
12312     3349      616527 allow tcp from any to any dst-port 443
12313      386       18279 allow tcp from any to any dst-port 3283,5900
12313        4         130 allow udp from any to any dst-port 3283,5900
65534   885514    49998498 deny ip from any to any
65535        0           0 allow ip from any to any

Alguém tem alguma opinião? Nós achamos que é provavelmente um roteador ISP, mas estamos adivinhando.

    

Answer 1

Parece um problema de roteamento na rede interna. Um pouco mais de insight em sua topologia ajudaria imensamente.

Estou dando um salto aqui, mas parece que o sistema pode perder a conexão interna, e a tabela de roteamento fica maluca.

Faça um netstat -r enquanto você souber que o sistema está funcionando como esperado e, em seguida, quando ele falhar. Estamos interessados na rota "padrão" (exemplo abaixo).

netstat -r
Routing tables

Internet:
Destination        Gateway            Flags        Refs      Use   Netif Expire
default            192.168.1.1        UGSc           53        0     en1

Se a rota parecer a mesma, pode ser um roteador / switch upstream (como em sua rede local, não a internet) enviando pacotes para o lugar errado.

    

Answer 2

Se fosse um roteador do ISP, por que isso afetaria sua capacidade de falar com nós na rede local? Caso contrário, eu iria correr wireshark e verificar os logs.

    

Answer 3

Informações de topologia seriam úteis, mas isso soa como um problema de esgotamento de tabela de endereços MAC ou de ARP do switch. Ou um esgotamento da tabela NAT, quando aplicável. Uma redefinição de link limparia partes dela. Em vez de uma reinicialização, desconecte o cabo ethernet por 2 minutos e, em seguida, reconecte-o e veja se ele o restaura por um tempo, como ocorreu na reinicialização.