net:connection_tracking_в_linux_и_не_работающие_хелперы [Моя склеротичка]

Эта страница только для чтения. Вы можете посмотреть её исходный текст, но не можете его изменить. Сообщите администратору, если считаете, что это неправильно.

====== Connection tracking в Linux и не работающие хелперы [SOLVED] ======

Внезапно, после ребута в новое ядро, возникла проблема на пограничном маршрутизаторе -- перестали устанавливаться соединения по PPTP и FTP.
Для PPTP tcpdump показывает, что трафик по TCP1723 ходит в обе стороны, а GRE трафик с обоих сторон доходит до маршрутизатора и пропадает.

В настройках есть правило
<code bash>
iptables -A FORWARD -p ALL  -m conntrack --ctstate ESTABLISHED,RELATED  -j ACCEPT
</code>
Но, вполне очевидно, что оно для GRE не отрабатывает. (Хотя до ребута всё было хорошо и GRE трафик принимался именно на этом правиле!)

Если гуглить проблему, то выдаётся 100500 ссылок с указанием загрузить модули ядра nf_conntrack_pptp, nf_nat_proto_gre и т.п. Но **в моём случае эти модули точно были загружены**, да и проверялось это несколько раз.

Как временное решение, были прописаны правила, насильно цепляющие нужные хелперы на соединения.
<code bash>
iptables -t raw     -A PREROUTING      -d ${SPSL_VPN}  -p tcp          --dport 1723    -j CT --helper pptp
iptables -t raw     -A PREROUTING                      -p tcp          --dport ftp     -j CT --helper ftp
</code>
Такое решение работает, хотя и напрягает, т.к. "раньшебылохорошо"

После пары дней мучений была таки найдена [[https://home.regit.org/netfilter-en/secure-use-of-helpers/|ссылка]], с внятным описанием происходящего.

Ну и прописывание
<code bash>
echo 1 > /proc/sys/net/netfilter/nf_conntrack_helper
</code>
принесло мне успокоение.