Linux: iptable의 connection tracking을 중지시키기.

일의 발단은 이러했다. 어느날, 테스트용 머신의 /var/log/message에 이런 에러 코드가 무수히 쌓이기 시작한 것이다.

Oct 15 14:10:50 localhost kernel: printk: 1217 messages suppressed.
Oct 15 14:10:50 localhost kernel: ip_conntrack: table full, dropping packet.
Oct 15 14:10:50 localhost kernel: ip_conntrack: table full, dropping packet.

물론, "무수히" 는 아니지만;

당연히..

linux# sysctl -a | grep conntrack_max
net.ipv4.ip_conntrack_max = 65536
net.ipv4.netfilter.ip_conntrack_max = 65536
linux#

저걸 늘리면 된다. 하지만 무작정 늘리기만 하는 것이 능사는 아니고, 사실 나중의 실 환경에서 충분히 나올 수 있는 상황 같은데다가, conntrack이라는 기능에 대해서 아주 안좋은 추억이 있기도 하고... 어쨌든 가능하면 없애는 편이 낫겠다는 결론을 내렸다.

해결책을 찾으려고 뒤지던 중 conntrack-tools 라는 유틸리티를 찾아냈다. 이것을 사용하기 위해서는 libnfnetlink 라는 라이브러리가 필요하다. 두가지 다 www.netfilter.org 에서 찾을 수 있다. 바이너리를 별도로 첨부한다.

invalid-file

invalid-file

하지만 뭐, 한번에 깔리는 것은 없는건가; libnfnetlink 라이브러리 컴파일 중 두번의 오류가 발생했고, 소스상에서 간단히 수정했다. 그 결과는 아래와 같다.

diff -U 2 -r libnfnetlink-0.0.30/include/libnfnetlink/libnfnetlink.h libnfnetlink-0.0.30_fix/include/libnfnetlink/libnfnetlink.h
--- libnfnetlink-0.0.30/include/libnfnetlink/libnfnetlink.h 2007-07-28 22:32:30.000000000 +0900
+++ libnfnetlink-0.0.30_fix/include/libnfnetlink/libnfnetlink.h 2007-10-16 13:21:40.000000000 +0900
@@ -17,4 +17,5 @@

 #include <sys/socket.h>    /* for sa_family_t */
+#include <asm/types.h>
 #include <linux/netlink.h>
 #include <libnfnetlink/linux_nfnetlink.h>
diff -U 2 -r libnfnetlink-0.0.30/include/libnfnetlink/linux_nfnetlink.h libnfnetlink-0.0.30_fix/include/libnfnetlink/linux_nfnetlink.h
--- libnfnetlink-0.0.30/include/libnfnetlink/linux_nfnetlink.h  2007-07-28 22:32:01.000000000 +0900
+++ libnfnetlink-0.0.30_fix/include/libnfnetlink/linux_nfnetlink.h  2007-10-16 11:43:11.000000000 +0900
@@ -79,5 +79,5 @@
    u_int8_t  nfgen_family;     /* AF_xxx */
    u_int8_t  version;      /* nfnetlink version */
-   __be16    res_id;       /* resource id */
+   __u16    res_id;        /* resource id */
 };

이렇게 수정하고, libnfnetlink는 make에 install까지 무난하게 통과했다. 그런 다음, conntrack-tools의 (컴파일도 아니고!) configure에서 오류가 발생한다.

checking for LIBNFNETLINK... Package libnfnetlink was not found in the pkg-config search path.
Perhaps you should add the directory containing `libnfnetlink.pc'
to the PKG_CONFIG_PATH environment variable
No package 'libnfnetlink' found
no
configure: error: Cannot find libnfnetlink >= 0.0.25

난 깔았다구, 친구; 혹시나 해서 libnfnetlink에서 Makefile을 뒤져서 pkg-config 관련 install을 다시 한번 진행했다.

linux# make install-pkgconfigDATA
/bin/sh ./mkinstalldirs /usr/local/lib/pkgconfig
/usr/bin/install -c -m 644 libnfnetlink.pc /usr/local/lib/pkgconfig/libnfnetlink.pc
linux#

음.. 진행되고, /usr/local/lib/pkgconfig/libnfnetlink.pc 파일도 존재하는데 역시나 configure는 실패한다. 두번째, set으로 PKG_CONFIG_PATH 환경변수를 찾아봤는데, 음 없다. 이것을 세팅하고,

export PKG_CONFIG_PATH=/usr/local/lib/pkgconfig

다시 한번 도전. 음 이번에는 넘어가는듯 했지만..

checking pkg-config is at least version 0.9.0... yes
checking for LIBNFNETLINK... Unknown keyword 'URL' in '/usr/local/lib/pkgconfig/libnfnetlink.pc'
no
configure: error: Cannot find libnfnetlink >= 0.0.25

... 나 안할래; /usr/local/lib/pkgconfig/libnfnetlink.pc 파일을 열어봤다.

# libnfnetlink pkg-config file

prefix=/usr/local
exec_prefix=${prefix}
libdir=${exec_prefix}/lib
includedir=${prefix}/include

Name: libnfnetlink
Description: Low-level netfilter netlink communication library
URL: http://netfilter.org/projects/libnfnetlink/
Version: 0.0.30
Requires:
Conflicts:
Libs: -L${libdir} -lnfnetlink
Cflags: -I${includedir}

아 네. 저 URL 라인을 없애 달라굽쇼? (굽신굽신) 없애고, 음 다시 시도.

checking for LIBNFNETLINK... yes
checking for LIBNETFILTER_CONNTRACK... Package libnetfilter_conntrack was not found in the pkg-config search path.
Perhaps you should add the directory containing `libnetfilter_conntrack.pc'
to the PKG_CONFIG_PATH environment variable
No package 'libnetfilter_conntrack' found
no
configure: error: Cannot find libnetfilter_conntrack >= 0.0.81

멍.. 다시 한번 반복.

invalid-file

이번에는 libnetfilter_conntrack을 설치. configure 전에 PKG_CONFIG_PATH를 다시 한번 export하고, (소스는 수정 안했고;) 컴파일 하고 install 한 후에 /usr/local/lib/pkgconfig/libnetfilter_conntrack.pc (맞나?) 파일을 수정. 다시 URL 라인을 제거 해 준 후. 다시 conntrack_tools에서 configure... 오 이번에는 깔끔하게 성공! (당연한거 아닌가;) install까지 한 후에.. 이제 실행!

linux# conntrack
conntrack: error while loading shared libraries: libnetfilter_conntrack.so.1: cannot open shared object file: No such file or directory

당연한건 아닌가보다. ldconfig에 shared library 경로를 추가하고 다시 한번 실행. 그러나..

linux# conntrack -L
Operation failed: Connection refused

음??

linux# conntrackd --help
Linux kernel version must be >= 2.6.18
linux#  uname -a
Linux localhost.localdomain 2.6.9-42.EL.1.smp #1 SMP Tue Jan 2 02:25:11 KST 2007 x86_64 x86_64 x86_64 GNU/Linux
linux#

.. 네 그런데 왜 깔리셨나요?
어쨌든 이 길은 아닌가보다. 다시 한번 검색해보았다. 아니나다를까..

관련 사이트 : http://www.linuxarkivet.se/mlists/netfilter/0508/msg00510.html

음. 불현듯 생각이 든 것이.. conntrack 모듈이 올라갔으니까 당연히 conntrack 기능이 활성화가 된 것이고, linux의 iptable 모듈은 룰 구성에 따라서 자동으로 추가 기능 모듈을 올려주니까,

linux# iptables -L
Chain INPUT (policy ACCEPT)
target     prot opt source               destination
RH-Firewall-1-INPUT  all  --  anywhere             anywhere

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination
RH-Firewall-1-INPUT  all  --  anywhere             anywhere

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

Chain RH-Firewall-1-INPUT (2 references)
target     prot opt source               destination
ACCEPT     all  --  anywhere             anywhere
ACCEPT     all  --  anywhere             anywhere
ACCEPT     icmp --  anywhere             anywhere            icmp any
ACCEPT     ipv6-crypt--  anywhere             anywhere
ACCEPT     ipv6-auth--  anywhere             anywhere
ACCEPT     udp  --  anywhere             224.0.0.251         udp dpt:5353
ACCEPT     udp  --  anywhere             anywhere            udp dpt:ipp
ACCEPT     all  --  anywhere             anywhere            state RELATED,ESTABLISHED
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:ssh
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:smtp
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:http
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:https
ACCEPT     tcp  --  anywhere             anywhere            state NEW tcp dpt:ftp
REJECT     all  --  anywhere             anywhere            reject-with icmp-host-prohibited

그리고,

linux# lsmod
Module                  Size  Used by
ipt_REJECT              8897  1
ipt_state               3393  6
ip_conntrack           54297  1 ipt_state
iptable_filter          4673  1
ip_tables              21825  3 ipt_REJECT,ipt_state,iptable_filter
...

아 네;; 그러니까 RH-Firewall-1-INPUT 체인의 state - 룰이 ipt_state 모듈을 로딩하고, 이 모듈은 다시 ip_conntrack 모듈을 로딩하게 된다는 것이고, 그러니까 iptable 룰에서 state - 룰들을 다 뺀다면 ip_conntrack 모듈이 로딩되지 않는다는 의미인것.. 인가보다;

어쨌든 분석 끝. (기나긴 삽질의 세월 ~_~;)