Решено! Ошибка PF frag entries limit reached

hikmat

Народ, день добрый.

Имеется сервер dell PE1800 с установленным PfSense 64 бит (обновленный с версии 2.2.4) 2.3.1-RELEASE-p5. После обновления начали возникать следующие явления:

1. На экране высыпают сообщения PF frag entries limit reached.
Пробовал увеличить Firewall Maximum Fragment Entries сначала до 10000, затем до 20000. Все равно через определенное время начинает высыпать эти сообщения. В то же время начинаются проблемы со связью, резко снижается производительность каналов до 10-20%

2. Одна из сетевых карт - древняя 3Com 955TX (xl0), которая подключена к провайдерской VPN (IPsec вроде) все время уходит в оффлайн. На PfSense настроен OpenVPN как раз на этой сетевухе поверх провайдерской VPN для туннелей с определенными точками. Так вот, время от времени шлюз уходит в даун, хотя интерфейс поднят. Пинги с PfSense также не проходят. Но физически связь провайдера работает, поскольку вытащив кабель из PfSense и воткнув его в ноутбук (с тем же самым IP как в PfSense) спокойно пингую все точки.
Пробовал очищать Reset в Diagnostics/States и деактивировать/активировать интерфейс. Не помогает.
Работает только после перезагрузки

3. Сейчас в System/Advanced/Firewall & NAT стоит галочки в Clear invalid DF bits instead of dropping the packets + Insert a stronger ID into IP header of packets passing through the filter. Все равно возникает проблема

4. Убрал все галочки в System/Advanced/Networking в подпункте Network Interfaces. Все равно возникает проблема

Помогите решить.

Возможно ли, что мое решение описано в https://redmine.pfsense.org/issues/6499 и мне необходимо обновиться на 2.3.2?

Здесь некоторые выводы команд после перезагрузки, когда все работает

pfctl -sm

states hard limit 201000
src-nodes hard limit 201000
frags hard limit 20000
table-entries hard limit 200000

pfctl -si

_Status: Enabled for 0 days 00:38:54 Debug: Urgent

Interface Stats for bge0 IPv4 IPv6
Bytes In 222720655 0
Bytes Out 1626646091 172
Packets In
Passed 1008112 0
Blocked 57632 0
Packets Out
Passed 1436044 0
Blocked 78 2

State Table Total Rate
current entries 15161
searches 7824046 3352.2/s
inserts 124324 53.3/s
removals 109161 46.8/s
Counters
match 628081 269.1/s
bad-offset 0 0.0/s
fragment 0 0.0/s
short 0 0.0/s
normalize 0 0.0/s
memory 0 0.0/s
bad-timestamp 0 0.0/s
congestion 0 0.0/s
ip-option 0 0.0/s
proto-cksum 0 0.0/s
state-mismatch 113 0.0/s
state-insert 0 0.0/s
state-limit 0 0.0/s
src-limit 0 0.0/s
synproxy 0 0.0/s
divert 0 0.0/s_

netstat -m

4553/3037/7590 mbufs in use (current/cache/total)
2980/1580/4560/125452 mbuf clusters in use (current/cache/total/max)
2980/1574 mbuf+clusters out of packet secondary zone in use (current/cache)
1/40/41/62726 4k (page size) jumbo clusters in use (current/cache/total/max)
0/0/0/18585 9k jumbo clusters in use (current/cache/total/max)
0/0/0/10454 16k jumbo clusters in use (current/cache/total/max)
7102K/4079K/11181K bytes allocated to network (current/cache/total)
0/0/0 requests for mbufs denied (mbufs/clusters/mbuf+clusters)
0/0/0 requests for mbufs delayed (mbufs/clusters/mbuf+clusters)
0/0/0 requests for jumbo clusters delayed (4k/9k/16k)
0/0/0 requests for jumbo clusters denied (4k/9k/16k)
0 requests for sfbufs denied
0 requests for sfbufs delayed
0 requests for I/O initiated by sendfile

sysctl -a | grep kern.ipc.nmbclusters

kern.ipc.nmbclusters: 125452

PbIXTOP

Не знаю поможет ли совет.
Посомтрите на MTU пакетов и MSS, поскольку по описанию pfSense'y приходится много собирать-разбирать пакетов.

werter

2 hikmat
Если есть возможность, то установите 2.3.х с нуля. И смените сет. карту на что-то посовременнее.

hikmat

Спасибо PbIXTOP и werter!

Вопрос, вы имеете ввиду интерфейс ВПН? а какие именно пакеты смотреть, все?

Вчера обновился до 2.3.2, вроде работает пока.

2.3.2 New Features and Changes
Fixed pf fragment states not being purged, triggering "PF frag entries limit reached". #6499