Сегодня мои iptables nat на хост-система перестала работать, и я понятия не имею, что случилось! (Это очень плохо, я знаю)
Все команды выполняются от имени пользователя root.
Если я сбегу $ iptables -t nat -L Я получаю следующее сообщение об ошибке:
$ iptables -t nat -L
iptables v1.4.7: can't initialize iptables table `nat': Table does not exist (do you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.
Дальнейших обновлений нет. Я также перезапустил сервер с несколькими старыми ядрами, но всегда получаю одно и то же сообщение об ошибке.
Мой сервер работает на CentOS с официальным ядром OpenVZ последней версии.
$ uname -r
2.6.32-042stab088.4
Также протестированы версии ядра: 2.6.32-042stab85.20 и 2.6.32-042stab084.26
Первое ядро в grub.conf:
title OpenVZ (2.6.32-042stab088.4)
root (hd0,1)
kernel /vmlinuz-2.6.32-042stab088.4 ro root=/dev/md2 rd_NO_LUKS rd_NO_DM nomodeset crashkernel=auto SYSFONT=latarcyrheb-sun16 LANG=en_US.UTF-8 KEYTABLE=de
initrd /initramfs-2.6.32-042stab088.4.img
Были установлены следующие обновления:
$ rpm -qa --last
vzctl-4.7.2-1.x86_64 Mon 05 May 2014 03:25:16 AM CEST
vzctl-core-4.7.2-1.x86_64 Mon 05 May 2014 03:25:14 AM CEST
util-linux-ng-2.17.2-12.14.el6_5.x86_64 Wed 30 Apr 2014 11:37:19 PM CEST
libuuid-2.17.2-12.14.el6_5.x86_64 Wed 30 Apr 2014 11:37:18 PM CEST
libblkid-2.17.2-12.14.el6_5.x86_64 Wed 30 Apr 2014 11:37:18 PM CEST
vzkernel-2.6.32-042stab088.4.x86_64 Mon 26 Apr 2014 09:01:00 AM CEST
nss-softokn-freebl-3.14.3-10.el6_5.x86_64 Sat 26 Apr 2014 09:01:00 AM CEST
nss-softokn-3.14.3-10.el6_5.x86_64 Sat 26 Apr 2014 09:01:00 AM CEST
bridge-utils-1.2-10.el6.x86_64 Tue 15 Apr 2014 02:22:41 PM CEST
openssl-1.0.1e-16.el6_5.7.x86_64 Wed 09 Apr 2014 10:14:03 AM CEST
...
lsmod дает мне следующее:
$ lsmod | grep ip
iptable_nat 6302 0
nf_nat 23213 2 iptable_nat,vzrst
nf_conntrack_ipv4 9946 3 iptable_nat,nf_nat
nf_defrag_ipv4 1531 1 nf_conntrack_ipv4
nf_conntrack 80281 5 iptable_nat,vzrst,nf_nat,nf_conntrack_ipv4,vzcpt
ip6t_REJECT 4711 0
ip6table_mangle 3669 0
ip6table_filter 3033 0
ip6_tables 18988 2 ip6table_mangle,ip6table_filter
iptable_mangle 3493 0
iptable_filter 2937 0
xt_multiport 2716 0
ipt_REJECT 2399 0
ip_tables 18119 3 iptable_nat,iptable_mangle,iptable_filter
ipv6 322519 35 vzrst,ip6t_REJECT,ip6table_mangle
Запуск modprobe дает следующую ошибку:
$ modprobe /lib/modules/2.6.32-042stab088.4/kernel/net/ipv4/netfilter/iptable_nat.ko
FATAL: Module /lib/modules/2.6.32_042stab088.4/kernel/net/ipv4/netfilter/iptable_nat.ko not found.
Но файл существует:
$ ll /lib/modules/2.6.32-042stab088.4/kernel/net/ipv4/netfilter/iptable_nat.ko
-rwxr--r-- 1 root root 16K Apr 3 16:20 /lib/modules/2.6.32-042stab088.4/kernel/net/ipv4/netfilter/iptable_nat.ko*
Любые идеи?
В связи с обновлением vzctl с 4.6 до 4.7 они изменили настройку nf_conntrack, чтобы она была отключена по умолчанию. (https://openvz.org/Download/vzctl/4.7/changes)
Соответствующее сообщение фиксации:
...
Отключить conntrack для VE0 по умолчанию
Функциональность IP conntrack оказывает некоторое негативное влияние на производительность Venet (примерно до 10%), поэтому их лучше отключить по умолчанию.
...
(Источник: http://git.openvz.org/?p=vzctl;a=commit;h=a191a462579ee)
Решение:
В зависимости от дистрибутива он находится где-то в каталоге / etc. Найди это:
Параметры $ sudo grep -R "nf_conntrack ip_conntrack_disable_ve0 = 1" /etc/modprobe.d/
и замените «1» на «0»:
параметры nf_conntrack ip_conntrack_disable_ve0 = 0
перезагрузите вашу систему
(Источник: https://bugzilla.openvz.org/show_bug.cgi?id=2943#c5)
В качестве альтернативы перезагрузке:
rmmod iptable_nat
rmmod nf_nat
rmmod nf_conntrack_ipv4
rmmod nf_conntrack
И нат сейчас работает
Все источники:
Список изменений для vzctl 4.7: https://openvz.org/Download/vzctl/4.7/changes
Отчет об ошибке с решением в комментариях: https://bugzilla.openvz.org/show_bug.cgi?id=2943
Отчет об ошибке с сокращенным описанием решения: https://bugzilla.openvz.org/show_bug.cgi?id=2755#c4
Соответствующий коммит GIT: http://git.openvz.org/?p=vzctl;a=commit;h=a191a462579ee
Связанная статья Wiki: https://openvz.org/NAT#IP_conntracks
Вы должны быть суперпользователем, чтобы запускать iptables. Поэтому запустите его как root.
$ iptables -t nat -L
iptables v1.4.19.1: can't initialize iptables table `nat': Permission denied (you must be root)
Perhaps iptables or your kernel needs to be upgraded.
# iptables -t nat -L
Chain PREROUTING (policy ACCEPT)
target prot opt source destination
[...]
Кажется, что-то действительно не так с файлом? Что, если вы попытаетесь использовать modprobe /lib/modules/2.6.32-042stab088.4/kernel/net/ipv4/netfilter/iptable_nat.ko? Система действительно возвращает ENOENT (нет такого файла или каталога)? Я не могу представить, что это могло быть так, но, может быть, SELinux возится с файлом? И, наконец, возможно, файл / файловая система повреждены. md5sum его с заведомо хорошей версией. Или просто удалите его и скопируйте новый. Надеюсь, дело не в файловой системе.
Попробуй это: https://stackoverflow.com/questions/3140478/fatal-module-not-found-error-using-modprobe
Нашел другое решение этой проблемы! На узле удалить не удалось
rmmod iptable_nat
rmmod nf_nat
rmmod nf_conntrack_ipv4
rmmod nf_conntrack
в официальном руководстве я нашел:
vzctl set VZID --netfilter full --save --setmode restart