[Comm] Помогите, kernel panic

[Comm] Помогите, kernel panic

[Egorov Alexey]

Привет всем!
Есть Мастер 2.4+updates, выполняет роль шлюза из локальной сети в инет и 
dial-in сервера.
В последнее время постоянно стал падать в kernel-panic, иногда в день 
раза 3-4.
Последние изменения на сервере - это установка updates и немного поменял 
скрипт iptables.
Помогите пожалуста решеть проблему.
Если нужны какие логы вышлю немедленно.

Re: [Comm] Помогите, kernel panic

[Dmytro O. Redchuk]

On Wed, Sep 21, 2005 at 09:10:54AM +0400, Egorov Alexey wrote:
> Привет всем!
> Есть Мастер 2.4+updates, выполняет роль шлюза из локальной сети в инет и 
> dial-in сервера.
> В последнее время постоянно стал падать в kernel-panic, иногда в день 
> раза 3-4.
> Последние изменения на сервере - это установка updates и немного поменял 
> скрипт iptables.
А что в iptables?

(У меня были падения при разных играх с RELATED,ESTABLISHED для tftpd)

А ядро какое?

(Я переставил на alt12 -- и остановил эксперименты:)

> Помогите пожалуста решеть проблему.
> Если нужны какие логы вышлю немедленно.

-- 
  _,-=._              /|_/|
  `-.}   `=._,.-=-._.,  @ @._,
     `._ _,-.   )      _,.-'
        `    G.m-"^m`m'        Dmytro O. Redchuk

Re: [Comm] Помогите, kernel panic

[Egorov Alexey]

Dmytro O. Redchuk wrote:
> On Wed, Sep 21, 2005 at 09:10:54AM +0400, Egorov Alexey wrote:
>   
> А что в iptables?
>
> (У меня были падения при разных играх с RELATED,ESTABLISHED для tftpd)
>
> А ядро какое?
>
> (Я переставил на alt12 -- и остановил эксперименты:)
>   
Ядро kernel-image-std-up-2.4.26-alt12.i586.rpm из updates
Вот iptables (сильно не ругайте если что):
$IPTABLES -F
$IPTABLES -X
$IPTABLES -t nat -F
$IPTABLES -t nat -X
$IPTABLES -P INPUT DROP
$IPTABLES -P OUTPUT DROP
$IPTABLES -P FORWARD DROP
#
$IPTABLES -N allowed
$IPTABLES -A allowed -j ULOG --ulog-nlgroup 1 --ulog-qthreshold 50 
--ulog-cprange 100 --ulog-prefix allow
$IPTABLES -A allowed -j ACCEPT
$IPTABLES -N rejected
$IPTABLES -A rejected -j ULOG --ulog-nlgroup 1 --ulog-qthreshold 50 
--ulog-cprange 100 --ulog-prefix drop
$IPTABLES -A rejected -j DROP
#
$IPTABLES -N bad_packets
$IPTABLES -N good_packets
$IPTABLES -N udp_packets
$IPTABLES -N icmp_packets
#
$IPTABLES -A bad_packets -p TCP --tcp-flags SYN,ACK SYN,ACK -m state 
--state NEW -j rejected
$IPTABLES -A bad_packets -p TCP ! --syn -m state --state NEW -j rejected
$IPTABLES -A bad_packets -m state --state INVALID -j rejected
#
$IPTABLES -A good_packets -m state --state ESTABLISHED,RELATED -j allowed
#
$IPTABLES -A udp_packets -p UDP -s 0/0 --dport 53 -j allowed
$IPTABLES -A udp_packets -p UDP -s 0/0 --dport 135:139 -j rejected
#
$IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 8 -j rejected
$IPTABLES -A icmp_packets -p ICMP -s 0/0 --icmp-type 11 -j allowed
$IPTABLES -A icmp_packets -p ICMP --fragment -j rejected
#
$IPTABLES -A INPUT -i ! $INET_DEVICE -j allowed
$IPTABLES -A INPUT -i $INET_DEVICE -j bad_packets
$IPTABLES -A INPUT -i $INET_DEVICE -j good_packets
$IPTABLES -A INPUT -i $INET_DEVICE -p UDP -j udp_packets
$IPTABLES -A INPUT -i $INET_DEVICE -p ICMP -j icmp_packets
$IPTABLES -A INPUT -i $INET_DEVICE -j rejected
#
$IPTABLES -A FORWARD -i ! $INET_DEVICE -j allowed
$IPTABLES -A FORWARD -i $INET_DEVICE -j bad_packets
$IPTABLES -A FORWARD -i $INET_DEVICE -j good_packets
$IPTABLES -A FORWARD -i $INET_DEVICE -j rejected
#
$IPTABLES -A OUTPUT -j allowed
#
# NAT
$IPTABLES -t nat -A POSTROUTING -o $INET_DEVICE -s $LOCAL_IP -j SNAT 
--to $INET_ADDR

Re: [Comm] Помогите, kernel panic

[Dmytro O. Redchuk]

On Wed, Sep 21, 2005 at 10:05:48AM +0400, Egorov Alexey wrote:
> Dmytro O. Redchuk wrote:
> >On Wed, Sep 21, 2005 at 09:10:54AM +0400, Egorov Alexey wrote:
> >  
> >А что в iptables?
> >
> >(У меня были падения при разных играх с RELATED,ESTABLISHED для tftpd)
> >
> >А ядро какое?
> >
> >(Я переставил на alt12 -- и остановил эксперименты:)
> >  
> Ядро kernel-image-std-up-2.4.26-alt12.i586.rpm из updates
> Вот iptables (сильно не ругайте если что):
Хм, не знаю...

Надо ловить oops -- как именно ядро "мотивирует".

-- 
  _,-=._              /|_/|
  `-.}   `=._,.-=-._.,  @ @._,
     `._ _,-.   )      _,.-'
        `    G.m-"^m`m'        Dmytro O. Redchuk

[Comm] Re: Помогите, kernel panic

[Michael Shigorin]

On Wed, Sep 21, 2005 at 09:10:54AM +0400, Egorov Alexey wrote:
> Есть Мастер 2.4+updates, выполняет роль шлюза из локальной сети
> в инет и dial-in сервера.  В последнее время постоянно стал
> падать в kernel-panic, иногда в день раза 3-4.

Абсолютно на всякий случай -- пылесос (память, пропеллеры)
не помогает?  Порой до абсурда доходило, пока не применялось
базовое средство.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/
 ----       visit our conference (Oct 1):
--          http://conference.osdn.org.ua

Re: [Comm] Re: Помогите, kernel panic

[Egorov Alexey]

Michael Shigorin wrote:
> On Wed, Sep 21, 2005 at 09:10:54AM +0400, Egorov Alexey wrote:
>   
>> Есть Мастер 2.4+updates, выполняет роль шлюза из локальной сети
>> в инет и dial-in сервера.  В последнее время постоянно стал
>> падать в kernel-panic, иногда в день раза 3-4.
>>     
>
> Абсолютно на всякий случай -- пылесос (память, пропеллеры)
> не помогает?  Порой до абсурда доходило, пока не применялось
> базовое средство.
>
>   
Пробовал, не помогает
Большое подозрение на mgetty+pppd - часто падает при попытке дозвонится 
на сервер.
Линия плохая - иногда происходит при дозвоне обрыв связи и часто после 
этого вроде бывает kernel panic.

Re: [Comm] Re: Помогите, kernel panic

[Egorov Alexey]

Egorov Alexey wrote:
> Michael Shigorin wrote:
>> Абсолютно на всякий случай -- пылесос (память, пропеллеры)
>> не помогает?  Порой до абсурда доходило, пока не применялось
>> базовое средство.
>>
>>   
> Пробовал, не помогает
> Большое подозрение на mgetty+pppd - часто падает при попытке 
> дозвонится на сервер.
> Линия плохая - иногда происходит при дозвоне обрыв связи и часто после 
> этого вроде бывает kernel panic.

Только что опять был kernel panic при дозвоне на сервер
Выдало:
OOPS: 0000
CPU:  0
Ну там регистры и потом:
Process mgetty (pid: 9670, stackpage=didd5000)

Выходит mgetty виноват ?
Самое странно что сервер стоит давно и раньше все ок было

Re: [Comm] Re: Помогите, kernel panic

["А. Куликовский"]

Egorov Alexey пишет:
> ...
> Только что опять был kernel panic при дозвоне на сервер
> Выдало:
> OOPS: 0000
> CPU:  0
> Ну там регистры и потом:
> Process mgetty (pid: 9670, stackpage=didd5000)
> 
> Выходит mgetty виноват ?
> Самое странно что сервер стоит давно и раньше все ок было
> ...

Вот-вот, именно оно и было, когда обновил ядро в М2.4 с родного 
kernel-image-std-up-2.4.26-alt6 до alt12. Вылечил через apt-get 
install --reinstall старого ядра.

-- 
С уважением, Анатолий Куликовский.

Re: [Comm] Re: Помогите, kernel panic

[Alexey V. Novikov]

23.09.2005 0:18, А. Куликовский пишет:
> Egorov Alexey пишет:
> 
>> ...
>> Только что опять был kernel panic при дозвоне на сервер
>> Выдало:
>> OOPS: 0000
>> CPU:  0
>> Ну там регистры и потом:
>> Process mgetty (pid: 9670, stackpage=didd5000)
>>
>> Выходит mgetty виноват ?
>> Самое странно что сервер стоит давно и раньше все ок было
>> ...
> 
> 
> Вот-вот, именно оно и было, когда обновил ядро в М2.4 с родного 
> kernel-image-std-up-2.4.26-alt6 до alt12. Вылечил через apt-get install 
> --reinstall старого ядра.

А вот кажется и объяснение (из security-anonce@):

Пакет       : kernel-image
Уязвимости  : локальная, удалённая
Тип ошибки  : недостаточность проверок входных данных
ALT-specific: нет
CVE ID      : CAN-2005-0384 CAN-2005-0531

CAN-2005-0384:
Ошибка в драйвере PPP может быть использована потенциальным
злоумышленником, действующим удалённо, для организации аварии ядра.

CAN-2005-0531:
Ошибка в драйвере ATM может быть использована потенциальным
злоумышленником, действующим удалённо, для записи в память ядра с целью
организации аварии ядра или выполнения произвольного кода в контексте
ядра.

Исправление этих уязвимостей для ALT Linux 2.3 Compact доступно в пакетах
kernel-image-std-{up,smp}-2.4.22-alt34.

Исправление этих уязвимостей для ALT Linux 2.4 Master доступно в пакетах
kernel-image-std-{up,smp}-2.4.26-alt10.

Исправление этих уязвимостей для ALT Linux Sisyphus доступно в пакетах
kernel-image-std-{up,smp}-2.4.29-alt4.


-- 
WBR, Alexey V. Novikov

Re: [Comm] Re: Помогите, kernel panic

[Egorov Alexey]

Alexey V. Novikov wrote:
> 23.09.2005 0:18, А. Куликовский пишет:
>> Вот-вот, именно оно и было, когда обновил ядро в М2.4 с родного 
>> kernel-image-std-up-2.4.26-alt6 до alt12. Вылечил через apt-get 
>> install --reinstall старого ядра.
>
> А вот кажется и объяснение (из security-anonce@):
>
> Пакет       : kernel-image
> Уязвимости  : локальная, удалённая
> Тип ошибки  : недостаточность проверок входных данных
> ALT-specific: нет
> CVE ID      : CAN-2005-0384 CAN-2005-0531
>
> CAN-2005-0384:
> Ошибка в драйвере PPP может быть использована потенциальным
> злоумышленником, действующим удалённо, для организации аварии ядра.
>
> CAN-2005-0531:
> Ошибка в драйвере ATM может быть использована потенциальным
> злоумышленником, действующим удалённо, для записи в память ядра с целью
> организации аварии ядра или выполнения произвольного кода в контексте
> ядра.
>
> Исправление этих уязвимостей для ALT Linux 2.3 Compact доступно в пакетах
> kernel-image-std-{up,smp}-2.4.22-alt34.
>
> Исправление этих уязвимостей для ALT Linux 2.4 Master доступно в пакетах
> kernel-image-std-{up,smp}-2.4.26-alt10.
>
> Исправление этих уязвимостей для ALT Linux Sisyphus доступно в пакетах
> kernel-image-std-{up,smp}-2.4.29-alt4.
>
Так исправили в 10 версии а у меня 12. В 12 что опять поломали ?
Разработчики скажите что нибудь

Re: [Comm] Re: Помогите, kernel panic

[Alexey V. Novikov]

23.09.2005 8:53, Egorov Alexey пишет:
> Alexey V. Novikov wrote:
> 
>> 23.09.2005 0:18, А. Куликовский пишет:
>>
>>> Вот-вот, именно оно и было, когда обновил ядро в М2.4 с родного 
>>> kernel-image-std-up-2.4.26-alt6 до alt12. Вылечил через apt-get 
>>> install --reinstall старого ядра.
>>
>>
>> А вот кажется и объяснение (из security-anonce@):
>>
>> Пакет       : kernel-image
>> Уязвимости  : локальная, удалённая
>> Тип ошибки  : недостаточность проверок входных данных
>> ALT-specific: нет
>> CVE ID      : CAN-2005-0384 CAN-2005-0531
>>
>> CAN-2005-0384:
>> Ошибка в драйвере PPP может быть использована потенциальным
>> злоумышленником, действующим удалённо, для организации аварии ядра.
>>
>> CAN-2005-0531:
>> Ошибка в драйвере ATM может быть использована потенциальным
>> злоумышленником, действующим удалённо, для записи в память ядра с целью
>> организации аварии ядра или выполнения произвольного кода в контексте
>> ядра.
>>
<skip>
>> Исправление этих уязвимостей для ALT Linux 2.4 Master доступно в пакетах
>> kernel-image-std-{up,smp}-2.4.26-alt10.
<skip>
> Так исправили в 10 версии а у меня 12. В 12 что опять поломали ?
> Разработчики скажите что нибудь

Как обычно - исправили одно, сломали другое. :(

-- 
WBR, Alexey V. Novikov

Re: [Comm] Re: Помогите, kernel panic

[Egorov Alexey]

Alexey V. Novikov wrote:
>> Так исправили в 10 версии а у меня 12. В 12 что опять поломали ?
>> Разработчики скажите что нибудь
>
> Как обычно - исправили одно, сломали другое. :(
>

И какое ядро мне в итоге ставить теперь ? :(
На 2.6 из Сизифа переходить что ли ?

[Comm] Re: Помогите, kernel panic

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 381 bytes --]

On Fri, Sep 23, 2005 at 10:16:53AM +0400, Egorov Alexey wrote:
> И какое ядро мне в итоге ставить теперь ? :(

Подождите, пусть vsu@ доберётся до этого сообщения.
Или перешлите ему лично.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/
 ----       visit our conference (Oct 1):
--          http://conference.osdn.org.ua

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] Re: Помогите, kernel panic

[Roman Savochenko]

[-- Attachment #1: Type: text/plain, Size: 303 bytes --]

Michael Shigorin пишет:

>>И какое ядро мне в итоге ставить теперь ? :(
> 
> Подождите, пусть vsu@ доберётся до этого сообщения.
> Или перешлите ему лично.

Как решили проблему?
У меня тоже падает и в основном при входе на /bin/login. Отключил туда 
доступ, посмотрю чего получится.

С уважением Роман!

[-- Attachment #2: rom_as.vcf --]
[-- Type: text/x-vcard, Size: 270 bytes --]

begin:vcard
fn:Roman Savochenko
n:Savochenko;Roman
org:NIP "DIYA"
adr:;;;Dneprodzerjinsk;;;Ukraine
email;internet:rom_as@diyaorg.dp.ua
tel;work:+380569262025
tel;fax:+380569262025
tel;home:+380569292458
tel;cell:+380679859815
x-mozilla-html:FALSE
version:2.1
end:vcard

Re: [Comm] Re: Помогите, kernel panic

[Roman Savochenko]

[-- Attachment #1: Type: text/plain, Size: 578 bytes --]

Roman Savochenko пишет:

>>> И какое ядро мне в итоге ставить теперь ? :(
>>
>>
>> Подождите, пусть vsu@ доберётся до этого сообщения.
>> Или перешлите ему лично.
> 
> 
> Как решили проблему?
> У меня тоже падает и в основном при входе на /bin/login. Отключил туда 
> доступ, посмотрю чего получится.

Устойчиво уходит в панику после записи в mgetty логе:
05:10:01 ##### data dev=ttyS1, pid=830, caller='none', conn='57600', 
name='', cmd='/bin/login', user='5.'

Т.е после попытки зайти на сервер по логину через модем.
Надо фиксить, это уж очень критично!

С уважением Роман!

[-- Attachment #2: rom_as.vcf --]
[-- Type: text/x-vcard, Size: 270 bytes --]

begin:vcard
fn:Roman Savochenko
n:Savochenko;Roman
org:NIP "DIYA"
adr:;;;Dneprodzerjinsk;;;Ukraine
email;internet:rom_as@diyaorg.dp.ua
tel;work:+380569262025
tel;fax:+380569262025
tel;home:+380569292458
tel;cell:+380679859815
x-mozilla-html:FALSE
version:2.1
end:vcard

[Comm] Re: Помогите, kernel panic

[Michael Shigorin]

On Thu, Nov 03, 2005 at 09:39:31AM +0200, Roman Savochenko wrote:
> Т.е после попытки зайти на сервер по логину через модем.
> Надо фиксить, это уж очень критично!

Багу вешай...

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Comm] Re: Помогите, kernel panic

[Roman Savochenko]

[-- Attachment #1: Type: text/plain, Size: 892 bytes --]

Roman Savochenko пишет:
>>>> И какое ядро мне в итоге ставить теперь ? :(
>>> Подождите, пусть vsu@ доберётся до этого сообщения.
>>> Или перешлите ему лично.
>> Как решили проблему?
>> У меня тоже падает и в основном при входе на /bin/login. Отключил туда 
>> доступ, посмотрю чего получится.
> Устойчиво уходит в панику после записи в mgetty логе:
> 05:10:01 ##### data dev=ttyS1, pid=830, caller='none', conn='57600', 
> name='', cmd='/bin/login', user='5.'
> 
> Т.е после попытки зайти на сервер по логину через модем.
> Надо фиксить, это уж очень критично!

Кстате, в "user='5.'" точка не простая, это управляющий символ 0x05(^E).
Я даже незнаю как такое повторить. Ктото из моих клиентов такое шлёт.
И ещё одно, в /etc/mgetty+sendfax/login.config имею строку:
#*      -       -       /bin/login @

По идее пускать на login недолжен, а он пускает. Это фича или бага?

С уважением Роман!

[-- Attachment #2: rom_as.vcf --]
[-- Type: text/x-vcard, Size: 270 bytes --]

begin:vcard
fn:Roman Savochenko
n:Savochenko;Roman
org:NIP "DIYA"
adr:;;;Dneprodzerjinsk;;;Ukraine
email;internet:rom_as@diyaorg.dp.ua
tel;work:+380569262025
tel;fax:+380569262025
tel;home:+380569292458
tel;cell:+380679859815
x-mozilla-html:FALSE
version:2.1
end:vcard

Re: [Comm] Re: Помогите, kernel panic

[Roman Savochenko]

[-- Attachment #1: Type: text/plain, Size: 242 bytes --]

Michael Shigorin пишет:

>>Т.е после попытки зайти на сервер по логину через модем.
>>Надо фиксить, это уж очень критично!
> Багу вешай...

Ещё вчера повесил #8403, а жить как?
Даже отключить вход по логину не получается?

С уважением Роман!

[-- Attachment #2: rom_as.vcf --]
[-- Type: text/x-vcard, Size: 270 bytes --]

begin:vcard
fn:Roman Savochenko
n:Savochenko;Roman
org:NIP "DIYA"
adr:;;;Dneprodzerjinsk;;;Ukraine
email;internet:rom_as@diyaorg.dp.ua
tel;work:+380569262025
tel;fax:+380569262025
tel;home:+380569292458
tel;cell:+380679859815
x-mozilla-html:FALSE
version:2.1
end:vcard

Re: [Comm] Re: Помогите, kernel panic

[Roman Savochenko]

[-- Attachment #1: Type: text/plain, Size: 1008 bytes --]

Roman Savochenko пишет:

>>>>> И какое ядро мне в итоге ставить теперь ? :(
>>>>
>>>> Подождите, пусть vsu@ доберётся до этого сообщения.
>>>> Или перешлите ему лично.
>>>
>>> Как решили проблему?
>>> У меня тоже падает и в основном при входе на /bin/login. Отключил 
>>> туда доступ, посмотрю чего получится.
>>
>> Устойчиво уходит в панику после записи в mgetty логе:
>> 05:10:01 ##### data dev=ttyS1, pid=830, caller='none', conn='57600', 
>> name='', cmd='/bin/login', user='5.'
>>
>> Т.е после попытки зайти на сервер по логину через модем.
>> Надо фиксить, это уж очень критично!
> 
> Кстате, в "user='5.'" точка не простая, это управляющий символ 0x05(^E).
> Я даже незнаю как такое повторить. Ктото из моих клиентов такое шлёт.
> И ещё одно, в /etc/mgetty+sendfax/login.config имею строку:
> #*      -       -       /bin/login @
> 
> По идее пускать на login недолжен, а он пускает. Это фича или бага?

Ответ нашел здесь http://www.opennet.ru/tips/info/773.shtml
Вечером проверю.

С уважением Роман!

[-- Attachment #2: rom_as.vcf --]
[-- Type: text/x-vcard, Size: 270 bytes --]

begin:vcard
fn:Roman Savochenko
n:Savochenko;Roman
org:NIP "DIYA"
adr:;;;Dneprodzerjinsk;;;Ukraine
email;internet:rom_as@diyaorg.dp.ua
tel;work:+380569262025
tel;fax:+380569262025
tel;home:+380569292458
tel;cell:+380679859815
x-mozilla-html:FALSE
version:2.1
end:vcard