Perguntas[networking](server)

Configuramos as configurações do BBR em todas as nossas máquinas RHEL 8.6 da seguinte forma: (de acordo com a documentação da Red Hat [https://access.redhat.com/solutions/3713681]). O objetivo é avaliar se a configuração do BBR proporciona alguma melhoria na rede. Caso contrário, planejamos reverter para as configurações padrão do Cubic.

sysctl -w net.ipv4.tcp_congestion_control=bbr
echo "net.ipv4.tcp_congestion_control = bbr" >> /etc/sysctl.conf
modprobe tcp_bbr

para reverter as alterações escrevi os seguintes passos

sysctl -w net.ipv4.tcp_congestion_control=cubic
delete from /etc/sysctl.conf the line with net.ipv4.tcp_congestion_control = bbr

mas não tenho certeza de como reverter as alterações sobremodprobe tcp_bbr

precisamos apenas fazer:

modprobe tcp_cubic

ou

rmmod tcp_bbr
rmmod: ERROR: Module tcp_bbr is in use

ou então?

Minha configuração do Wireguard parou de funcionar repentinamente ontem, sem nenhuma alteração de configuração ou chave. Para solucionar o problema, reduzi-a à configuração mais simples. Um cliente na minha rede deve se conectar a um servidor rodando em um VPS.

Configuração do servidor ("posto avançado"):

outpost:~# cat /etc/wireguard/wg0.conf
[Interface]
PrivateKey = <outpost-privkey>
Address = 10.5.0.1/16
MTU = 1440
ListenPort = 51820

[Peer]
PublicKey = <rp-pubkey>
AllowedIPs = 10.5.0.2/32
PersistentKeepAlive = 13

Configuração do cliente ("rp"):

rp:~# cat /etc/wireguard/wg0.conf
[Interface]
PrivateKey = <rp-privkey>
Address = 10.5.0.2/16
MTU = 1440

[Peer]
PublicKey = <outpost-pubkey>
Endpoint = <outpost-ip>:51820
AllowedIPs = 10.5.0.1/32
PersistentKeepAlive = 23

Usando dmesge tcpdumpposso observar repetidas tentativas de iniciação de handshake enviadas pelo cliente:

rp:~# dmesg -wT
...
[Fri Apr 25 23:45:18 2025] wireguard: wg0: Sending handshake initiation to peer 1 (<outpost-ip>:51820)

rp:~# tcpdump -n -vvv -i ens18 udp port 51820
...
23:45:19.115710 IP (tos 0x88, ttl 64, id 34886, offset 0, flags [none], proto UDP (17), length 176)
    <rp-ip>.48825 > <outpost-ip>.51820: [bad udp cksum 0x825d -> 0x3db4!] UDP, length 148

O servidor recebe o pacote:

outpost:~# tcpdump -n -vvv -i enp0s6 udp port 51820
...
23:45:19.129033 IP (tos 0x8, ttl 55, id 34886, offset 0, flags [none], proto UDP (17), length 176)
    <rp-ip>.46567 > <outpost-rp>.51820: [udp sum ok] UDP, length 148

Mas o Wireguard no servidor não mostra nenhuma indicação de que recebeu algo.

outpost:~# wg
interface: wg0
  public key: <outpost-pubkey>
  private key: (hidden)
  listening port: 51820

peer: <rp-pubkey>
  allowed ips: 10.5.0.2/32
  persistent keepalive: every 13 seconds

O servidor tenta regularmente enviar sua própria iniciação de handshake:

outpost:~# dmesg -wT
[Fri Apr 25 23:46:45 2025] wireguard: wg0: Sending handshake initiation to peer 1 ((einval))

Mas como o servidor não tem conhecimento do IP público (dinâmico) do cliente, essa iniciação de handshake não aparece nem no servidor nem no cliente que o utiliza tcpdump.

Ambas as máquinas usam o mesmo servidor NTP ( ntp.ubuntu.com) e estão sincronizadas corretamente. Minha MTU de 1440 está otimizada para minha configuração, e o comportamento não muda sem esta linha. Também regenerei as chaves do servidor/cliente várias vezes sem alterações no comportamento.

iptables estão definidos corretamente no servidor/cliente:

# iptables -S
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT
...

O UFW não está instalado.

Qualquer sugestão é bem-vinda.

Tenho o Virtualbox com quatro adaptadores de rede.

1. adaptador somente host
2. adaptador interno
3. adaptador somente host
4. adaptador NAT

NAT na primeira interface:

route -n

0.0.0.0         10.0.2.2        0.0.0.0         UG    100    0        0 enp0s3
10.0.2.0        0.0.0.0         255.255.255.0   U     100    0        0 enp0s3
10.0.2.2        0.0.0.0         255.255.255.255 UH    100    0        0 enp0s3
10.0.2.3        0.0.0.0         255.255.255.255 UH    100    0        0 enp0s3
10.10.0.0       0.0.0.0         255.255.255.0   U     100    0        0 enp0s8
203.0.133.0     0.0.0.0         255.255.255.0   U     100    0        0 enp0s9


1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host noprefixroute
       valid_lft forever preferred_lft forever
2: enp0s3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 08:00:27:46:e4:90 brd ff:ff:ff:ff:ff:ff
    inet 10.0.2.15/24 metric 100 brd 10.0.2.255 scope global dynamic enp0s3
       valid_lft 86198sec preferred_lft 86198sec
    inet6 fd00::a00:27ff:fe46:e490/64 scope global dynamic mngtmpaddr noprefixroute
       valid_lft 86201sec preferred_lft 14201sec
    inet6 fe80::a00:27ff:fe46:e490/64 scope link
       valid_lft forever preferred_lft forever
3: enp0s8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 08:00:27:fc:34:9c brd ff:ff:ff:ff:ff:ff
    inet 10.10.0.6/24 metric 100 brd 10.10.0.255 scope global dynamic enp0s8
       valid_lft 398sec preferred_lft 398sec
    inet6 fe80::a00:27ff:fefc:349c/64 scope link
       valid_lft forever preferred_lft forever
4: enp0s9: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 08:00:27:fb:36:58 brd ff:ff:ff:ff:ff:ff
    inet 203.0.133.5/24 metric 100 brd 203.0.133.255 scope global dynamic enp0s9
       valid_lft 398sec preferred_lft 398sec
    inet6 fe80::a00:27ff:fefb:3658/64 scope link
       valid_lft forever preferred_lft forever
5: enp0s10: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 08:00:27:82:93:6b brd ff:ff:ff:ff:ff:ff
    inet6 fe80::a00:27ff:fe82:936b/64 scope link
       valid_lft forever preferred_lft forever

Host Only na primeira interface e NAT na segunda interface:

route -n
Kernel IP routing table
Destination     Gateway         Genmask         Flags Metric Ref    Use Iface
0.0.0.0         10.0.2.2        0.0.0.0         UG    100    0        0 enp0s8
10.0.2.0        0.0.0.0         255.255.255.0   U     100    0        0 enp0s8
10.0.2.2        0.0.0.0         255.255.255.255 UH    100    0        0 enp0s8
10.0.2.3        0.0.0.0         255.255.255.255 UH    100    0        0 enp0s8
10.10.0.0       0.0.0.0         255.255.255.0   U     100    0        0 enp0s3
203.0.133.0     0.0.0.0         255.255.255.0   U     100    0        0 enp0s9

1: lo: <LOOPBACK,UP,LOWER_UP> mtu 65536 qdisc noqueue state UNKNOWN group default qlen 1000
    link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00
    inet 127.0.0.1/8 scope host lo
       valid_lft forever preferred_lft forever
    inet6 ::1/128 scope host noprefixroute
       valid_lft forever preferred_lft forever
2: enp0s3: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 08:00:27:46:e4:90 brd ff:ff:ff:ff:ff:ff
    inet 10.10.0.5/24 metric 100 brd 10.10.0.255 scope global dynamic enp0s3
       valid_lft 462sec preferred_lft 462sec
    inet6 fe80::a00:27ff:fe46:e490/64 scope link
       valid_lft forever preferred_lft forever
3: enp0s8: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 08:00:27:fc:34:9c brd ff:ff:ff:ff:ff:ff
    inet 10.0.2.15/24 metric 100 brd 10.0.2.255 scope global dynamic enp0s8
       valid_lft 85962sec preferred_lft 85962sec
    inet6 fd00::a00:27ff:fefc:349c/64 scope global dynamic mngtmpaddr noprefixroute
       valid_lft 85964sec preferred_lft 13964sec
    inet6 fe80::a00:27ff:fefc:349c/64 scope link
       valid_lft forever preferred_lft forever
4: enp0s9: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 08:00:27:fb:36:58 brd ff:ff:ff:ff:ff:ff
    inet 203.0.133.5/24 metric 100 brd 203.0.133.255 scope global dynamic enp0s9
       valid_lft 462sec preferred_lft 462sec
    inet6 fe80::a00:27ff:fefb:3658/64 scope link
       valid_lft forever preferred_lft forever
5: enp0s10: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc pfifo_fast state UP group default qlen 1000
    link/ether 08:00:27:82:93:6b brd ff:ff:ff:ff:ff:ff
    inet6 fe80::a00:27ff:fe82:936b/64 scope link
       valid_lft forever preferred_lft forever

Não consigo me conectar à minha VM usando NAT e encaminhamento de porta quando o NAT está na segunda, terceira ou última posição na interface de rede.

Deve estar sempre na primeira posição.

Alguém pode explicar o porquê?

Obrigado

Temos um problema intermitente em nossa rede que ocorre entre os roteadores A e B. A é o mais próximo do gateway.

Quando o problema ocorre, A não consegue fazer ping em B e vice-versa. Se eu acessar o roteador B via gerenciamento fora de banda, um traceroute de volta pela rede em direção ao gateway retorna resultados estranhos.

Os saltos são os seguintes do Roteador B: Roteador B -> Roteador A -> R1 -> R2 -> R3 etc.

Um traceroute para R3 retorna: RA -> Responder.
R1 -> Responder.
R2 -> Responder.
Tempo limite

Um traceroute para R2 retorna: RA -> Responder.
R1 -> Responder.
Tempo limite

Para R1 retorna: RA -> Responder.
Tempo limite

Isso não faz sentido para mim. Como o R2 pode responder quando o traceroute é para o R3, mas não responder quando ele é o ponto final do traceroute?

Esse problema aparecerá e desaparecerá sem nenhuma alteração de configuração na rede.

Tenho um servidor web com um endereço IP público (chame-o de 1.1.1.1) e um endereço IP local (chame-o de 10.10.10.10). O servidor web atua como um proxy para sites na faixa 10.xxx.

O problema que estou tendo é que os sites no intervalo 10.xxx não conseguem acessar uns aos outros via curling do nome de domínio dos sites. No DNS, cada nome de domínio para cada site é definido para ir para 1.1.1.1.

Quando o tráfego dos sites sai da rede, ele é enviado por NAT de origem por um roteador que fica na frente do servidor web para o endereço do servidor web (1.1.1.1).

Não há problema com dispositivos em outras redes acessando os sites, o que me faz pensar que eu precisaria de NAT hairpin, mas não tinha 100% de certeza.

Há pelo menos um ano, a impressora de rede do meu escritório tem despejado aleatoriamente páginas de rabiscos. Ou pelo menos a maior parte é rabiscos - alguns deles parecem solicitações HTTP. É formatado da mesma forma que a impressora faz quando você envia um arquivo de texto sem informações de estilo. Essas páginas são impressas a qualquer hora do dia, às vezes nas primeiras horas da manhã, às vezes tarde da noite. Estamos confusos quanto à causa, e estou preocupado que possa ser um problema de segurança de algum tipo. Incluí uma foto de algumas das páginas que ela imprimiu. O número de páginas é bastante esporádico, às vezes uma ou duas por dia, às vezes 30 ou 40. Alguma ideia?

Adendo : Trabalhei brevemente em dois outros locais em nossa organização que tinham esse problema. Um outro que não tinha. Cada local tem seu próprio conjunto de funcionários regulares.

Tenho uma conexão SSL com um servidor (owner-api.teslamotors.com) que trava com wget, curl ou openssl s_client. Estou mostrando a versão curl, pois ela fornece a maioria das mensagens de depuração:

# curl -iv https://owner-api.teslamotors.com 
*   Trying 18.203.70.200:443...
* Connected to owner-api.teslamotors.com (18.203.70.200) port 443 (#0)
* ALPN: offers h2,http/1.1
* TLSv1.3 (OUT), TLS handshake, Client hello (1):
*  CAfile: /etc/ssl/certs/ca-certificates.crt
*  CApath: /etc/ssl/certs

Lá ele trava depois de ClientHello. Conexão TCP estabelecida com sucesso (também confirmada com telnet/nc). Outra conexão de rede, incluindo qualquer conexão SSL que eu tentei, funciona. Exceto owner-api.teslamotors.com:443.

Achei esta postagem falando sobre MTU e parecia absurdo. Mas reduzi o MTU do servidor e funcionou! Funciona com qualquer MTU <= 1420.

O servidor se conecta usando Ethernet (MTU 1500) a um roteador Mikrotik e de lá a conexão passa por um túnel WireGuard (MTU 1420). Estou ciente de que isso pode não ser o ideal, pois qualquer pacote IP do servidor >1420 precisará ser fragmentado. No entanto, isso é agnóstico de qualquer protocolo L4. SSL sobre TCP não deve se importar com fragmentação e MTU. No entanto, este host se importa.

Executei uma captura de pacotes na caixa Mikrotik e o tráfego não lista nada de anormal para mim:

O típico handshake TCP Num 1-3, depois ClientHello (Num 4-5) e ServerHello (Num 6-7). Nenhum tamanho de pacote chega perto do MTU e nenhuma outra mensagem ICMP que indicaria problemas com fragmentação etc.

Por comentário, aqui está a saída do tracepath:

# tracepath owner-api.teslamotors.com
 1?: [LOCALHOST]                      pmtu 1500
 1:  XX.XX.56.210                                          0.410ms 
 1:  XX.XX.56.210                                          0.198ms 
 2:  XX.XX.56.210                                          0.138ms pmtu 1420
 2:  XX.XX.56.185                                        151.394ms 
 3:  no reply
 4:  100.100.200.1                                       157.220ms 
 5:  10.75.0.193                                         154.068ms 
 6:  10.75.2.53                                          161.950ms asymm  7 
 7:  decix1.amazon.com                                   152.107ms asymm  8 
 8:  decix2.amazon.com                                   153.068ms 
 9:  no reply
 [...]

Estou realmente perdido, o que diabos está acontecendo aqui?

Por que essa conexão SSL falha?

Quando eu tenho pingum endereço IP de host na minha LAN, meu host transmite uma ARPsolicitação. Após receber uma ARPresposta do host de destino, ele inicia uma sessão de ICMP echomensagens com suas respostas.

Quando o host de destino está recebendo do ARP requestmeu host de origem, o host de destino está atualizando o ARPcache com as informações incorporadas na solicitação (já que a origem MAC addressestá presente no ARP request)?

Se sim, por que o host de destino às vezes envia outro ARP requestendereço IP para o meu host de origem e descarta todas ICMP echoas solicitações até receber um ARP replyretorno?

Observe que esse comportamento é ocasional e, às vezes, a ICMP echoresposta é feita antes de um ARP requestdo meu host de destino, mas esse tipo de resposta ARP requestsempre ocorre em algum lugar no meio de uma sessão de ping.

Não sei se isso se deve à atualização das tabelas ARP dos hosts de sessões de ping anteriores ou se o segundo ARP requesté apenas um protocolo e o host de destino já tem as informações do host de origem MAC addressdo primeiro ARP request.

Ou será que o host de destino nem precisa do host de origem MAC addressem primeiro lugar, já que ele é sempre encapsulado em cada ICMP echosolicitação e a resposta a cada uma dessas solicitações usa as informações recebidas sobre eles MAC addressese os alterna no quadro de resposta?

Edição 1: Após alguma pesquisa, descobri que o host de destino não preenche seu próprio ARP cachepassivo ARP requests, ou seja, de solicitações de outros hosts. Ele preenche seu ARP cachesomente das ARPrespostas que recebe de suas próprias solicitações.

Edição 2: Seguindo de Edit 1, o segundo ARP requestdo host de destino antes de qualquer ICMP echoresposta indica que a origem MAC addressnão está em seu ARP cacheou se tornou STALE, acionando assim outro ARP requestantes de responder à ICMP echosolicitação. (Às vezes, um STALEendereço é primeiro verificado por meio de uma sondagem e, se o mapeamento for inválido ou a sondagem expirar, a nova sondagem ARP requestocorre.

Assim, o segundo ARP requestocorrendo no meio da pingsessão, indica que a fonte MAC addresstinha se tornado STALEno meu host de destino ARP cachedevido a alguns ARP timeout value(configurado em 60 segundos em meus hosts), o que disparou um segundo ARP request. Além disso, essas segundas ARPsolicitações esclarecem que, embora o host de destino não precise que a fonte MAC addressseja preenchida em seu ARP cachee use as informações sobre ARP requesta fonte MAC addresspara responder a ela, ele realmente precisa saber a fonte MAC addresspara responder a uma TCMP echosolicitação.

Ainda assim, quaisquer respostas que elaborem ou corrijam quaisquer erros nas descobertas acima são muito apreciadas.

O OpsCenter oferece suporte ao controle de acesso por meio de marcação. Os usuários podem restringir o acesso a OpsItems com base em marcações específicas, permitindo um controle mais granular sobre quem pode visualizar ou gerenciar incidentes com base em suas funções ou responsabilidades atribuídas.

Como a marcação para controle de acesso no AWS Systems Manager funciona com o administrador delegado?

Quando estou na minha rede local (sub-rede?), gostaria de ir para sub1.myserver.come que funcionasse da mesma forma que ir para 192.168.1.99:1234- ou seja, o objetivo seria usar o mesmo nome de domínio que também uso publicamente para este servidor, obtendo, por exemplo, velocidades de download da LAN.

Minha configuração:

Tenho vários serviços em execução em portas diferentes, por exemplo: 192.168.1.99:1234e 192.168.1.99:5678no meu servidor Debian Bookworm.

Meu DNS (porkbun) tem Aregistros para meus IPs públicos -> nomes de (sub)domínios.

E eu tenho um proxy nginx fazendo proxy_passcoisas como sub1.myserver.com-> 0.0.0.0:1234e sub2.myserver.com-> 0.0.0.0:5678.

Isso funciona muito bem e posso acessar meu servidor publicamente via sub1.myserver.com.

Também posso, é claro, ir 192.168.1.99:1234diretamente e conectar-me ao mesmo aplicativo via LAN.

Como posso reutilizar o mesmo domínio para conexões LAN locais e, se não for possível/não aconselhável, qual seria a próxima melhor solução?