Websites niet te benaderen onder Linux kernel 2.4

Op Enteprise Linux Today wordt melding gemaakt van een probleem na het updaten van de kernel. Doordat de kernel nu is uitgerust met het Explicit Congestion Notification (ECN) protocol kan het voorkomen dat websites niet te benaderen zijn. Het grote voordeel van dit protocol is dat routers en hosts een packet kunnen sturen welke aangeeft dat deze bezet is of over onvoldoende bandbreedte beschikt om de host van data te voorzien. Routers die (nog) geen ondersteuning bieden aan dit protocol, handelen de packets van de host af als invalide en dus krijgt de host geen verbinding. De gebruiker kan echter de ondersteuning voor ECN helemaal uitzetten of dit tijdelijk doen zodat het probleem verholpen is:

ECN is a way to improve the speed of the Internet for everyone by allowing hosts or routers to specifically notify one another when there is congestion due to heavy traffic. With the existing TCP/IP standards, the only way to detect congestion was that routers would drop packets when they had no bandwidth available. These packets would be automatically retransmitted by the sending host, but the host would (presumably) notice that packets were being dropped and would decrease its transmission rate.

[..] Another, perhaps simpler, approach is to use the sysctl feature of the /proc virtual filesystem to turn off ECN at runtime. Executing this command:

echo "0" > /proc/sys/net/ipv4/tcp_ecn

will turn off ECN support until the next reboot, while replacing "0" with "1" in the above command will turn ECN back on.

Reacties (31)

[SvMp]

Beetje een misleidend nieuwbericht voor Linux-leken. Die zullen het misschien letterlijk opvatten, terwijl het gaat om een optionele feature (die bovendien experimenteel is, zoals al is gezegd) die je ook gewoon uit kunt zetten en dan is er niets aan de hand.
Wat dat nieuwsbericht betreft is er dan geen enkele reden om de nieuwste kernel niet te gebruiken.

Leken hoeven zich al helemaal niet druk te maken trouwens, want de beginners-distro's gebruiken meestal nog 2.2.x en als ze wel 2.4 gebruiken zullen de experimentele zaken overwegend uit staan, ook de ondersteuning voor ECN.

[zomertje]

Bij een nieuwe kernel configgen staat er meestal achter dat het nog expirimenteel is.
En bij de toelichting staat vaak heel mooi: 'If unsure say no'

[wouzer]

beginners-distro's gebruiken meestal nog 2.2.x

Zoals RH7.1, Mandrake 8 en dat soort beginners distros? Ik denk dat het eerder andersom is omdat de niet zo beginnerdistros zich spitsen op de toch wat stabielere kernelversies. (2.2.x)

[deef-]

Dit is een EXPERIMENTELE OPTIE in de linux kernel is, die standaard UIT staat. Niets aan de hand dus, alleen jammer dat dit gepost wordt....

Verder is dit alleen het gevalt bij routers die een standaard policy DROP hebben.

Edit:
CONFIG_INET_ECN:

Explicit Congestion Notification (ECN) allows routers to notify clients about network congestion, resulting in fewer dropped packets and increased network performance. This option adds ECN support to the Linux kernel, as well as a sysctl (/proc/sys/net/ipv4/tcp_ecn) which allows ECN support to be disabled at runtime.

Note that, on the Internet, there are many broken firewalls which refuse connections from ECN-enabled machines, and it may be a while before these firewalls are fixed. Until then, to access a site behind such a firewall (some of which are major sites, at the time of this writing) you will have to disable this option, either by saying N now or by using the sysctl.

If in doubt, say N.

[OpAmp]

'k kan het toch niet laten om even te reageren op de manier en toon van reacties hier. Zij alle Linux freaks nu boos ofzo? Linux is toch zo goed, ja er staat idd bij If unsure say no. Maar het gaat er nu wel om dat ook als dit pakket uit de experimentele fase is er nog steeds routers zijn die de packets droppen. Het is beter om het nu alvast te weten, gewoon als waarschuwing, dan dat je strax moet gaan roepen (ook als linux aanhanger) sja, dat had er wel even bijgezegt moeten worden. Het wordt gewoon als een mogelijk probleem aangekaard, niks mis mee denk ik. Gewoon goede informatievoorziening en ook meteen duidelijk wat het probleem zou kunnen zijn.

[zomertje]

Ik wilde slechts uitleggen dat er ook in linux vaak een uitleg of een advies bijstaat en dat je dus niet gelijk bang hoeft te zijn dat alles in het honderd loopt als je zo'n kernel probeert.

En natuurlijk is een waarschuwing op zijn plaats, het was alleen mijn bedoeling het geheel een beetje te nuanceren. (De soep wordt nooit zo heet gegeten enzo....)

Mijn ervaring is ook vaak dat de meeste mensen gewoon niet goed lezen, kijk maar eens bij een willekeurige gebruiker. Er zijn hier ook vast helpdeskmedewerkers die dat kunnen bevestigen....

[OpAmp]

Ja, ik snap dat. Maar als deze module uit de exp fase is zal hij als misschien wel als aanbevolen worden gezien, en zelfs standaard op Y, (hij brengt de algehele load van internet immers omlaag) maar er blijven de routers bestaan die ze per direct droppen. En ik lees zelf een hoop van de bijgevoegde omschrijvingen etc van een kernel, maar echt niet alles.

[zomertje]

Tegen die tijd dat dit standaard wordt zullen de routers ook wel aangepast worden *denk ik*. Als dit niet zo is zal men er ook niet zo snel voor kiezen om het standaard op Y te zetten.
Als dit echt goed werkt zou het mooiste zou zijn als andere besturingssystemen ECN ook gaan overnemen en dan kunnen de fabrikanten van routers niet achterblijven

[Verwijderd]

Tegen die tijd dat dit standaard wordt zullen de routers ook wel aangepast worden

Dit IS al standaard (en staat inderdaad in een van de RFCxxxx-standaarden 'as such' genoemd). De routers zijn echter niet up-to-date met die standaarden. Dat is dus juist het hele probleem, als iedere router nou gewoon uptodate bleef dan was dit hele probleem er niet.

[dextertje]

Linux is toch zo goed, ja er staat idd bij If unsure say no.

En er staat (zoals hierboven te lezen valt) in de helpfiles die je bij het kernelconfiggen kunt raadplegen dat je waarschijnlijk sommige sites (nog) niet kan bereiken met die optie aan.

De meeste mensen lezen de helpfiles bij onbekende opties wel als ze voor het eerst een kernelconfig doen, lijkt me (da's waarom een verse kernelconfiguratie bij mij altijd zo lang duurt, er zijn zoooo veel opties en zo veel helpfiles om te lezen...). Zolang de feature standaard op uit staat is er niks aan de hand (een kernelfeature aanzetten waarvan je niet precies weet waar die voor dient, zonder de helpfile erbij te lezen, is imho gewoon dom).

De reacties van de 'Linux-mensen' hier zijn volgens mij ook vooral gericht op de nogal misleidende kop...'t Zal Linux-newbies wellicht afschrikken, terwijl een goede 'newbie-distro' die optie niet aan zal hebben staan zolang dit probleem bestaat.

edit:
O ja, en aan Linux-haters geeft het weer wat onterechte flamebait.

(voor de mods): deze post van mij is in elk geval geen +4 inzichtvol waard!

[Verwijderd]

Als fanatiek Linux gebruiker vraag ik me wel af of dit een goede stap is in de richting naar de massa's voor Linux. Laten we niet vergeten dat de ervaren beheerder dit leest en denkt: OK. De gemiddelde gebruiker leest dit en denkt OOOOOPS! En daar ligt nu net het knelpunt bij de grote doorbraak van Linux op de desktop. De doorsnee gebruiker wil geen boeken lezen, kernel configgen enz. Gewoon cd er in en gaan.

Op deze wijze wordt voer gegeven aan de Windows maar vooral de Novell beheerders die zeggen dat Linux niet effectief te beheren is. Ben ik het niet mee eens, maar het geeft wel weer nieuwe bedenkingen bij de mensen die dit vanuit hun optiek beoordelen.

[Ritch]

Ik snap de linux mensen wel, dit bericht heeft het niveau van "Als je je netwerk protocollen eruit gooit kun je niet meer internetten" onder Windows.
De functie is nog experimenteel, dus kun je niet verwachten dat de documentatie al perfect is, dat is ook helemaal niet nodig, als het de functie niet meer als experimenteel in de kernel zit, neem ik aan dat de documentatie beter verzorgd is.
Verder is het nog zo, dat deze functie standaard uit staat, dus alleen mensen die eigen kernels gebruiken ipv de standaard kernel van de distro zullen deze optie tegen komen en mensen die eigen kernels configgen zetten heus niet alles voor de gein maar aan.
Ik zie deze situatie totaal niet als problematisch...

[slaapkop]

Tegen de tijd dat veel mensen de gelegenheid hebben om hier last van te hebben is de "bug" al lang weer opgelost.
Verder lijkt over dit protocol in ieder geval meer nagedacht dan de routing onder Windows.
Zoiets heeft in het begin altijd kinderziektes en gelukkig hebben we dan enthousiaste mensen die het probleem oplossen voor het echt vervelend is.

[Verwijderd]

Tegen de tijd dat veel mensen de gelegenheid hebben om hier last van te hebben is de "bug" al lang weer opgelost.
Verder lijkt over dit protocol in ieder geval meer nagedacht dan de routing onder Windows.
Zoiets heeft in het begin altijd kinderziektes en gelukkig hebben we dan enthousiaste mensen die het probleem oplossen voor het echt vervelend is.

Ik vraag me serieus af waarom dit met +2 inzichtvol wordt beoordeeld. Dit is geen bug in de linux kernel oid. maar een feature, die echter vervelende neveneffecten heeft, dat is echter iets waarvoor je kiest als je dit enabled. En er zijn heus niet een paar enthousiaste mensen die dat ff kunnen oplossen hoor; ga jij ff alle 'fucked up' routers/firewalls fixun?
Waarom wordt dit in hemelsnaam gepost op t.net? Dit geeft,sorry dat ik het moet zeggen, wel aan dat de poster totaal _geen_ verstand van zaken heeft en vast nog nooit een `make menuconfig` heeft gezien...

[Verwijderd]

-1/ oftopic waardeer het ook maar zo...

Iemand afzeiken kan iedereen.... maar iemand helpen is een probleem volgens mij . Hij doet ze`n best om iets te posten. Ik waardeer geen mensen die iemand afzeiken op hun kennis je bent toch ook niet geboren als iemand die VOLMAAKT is. of ben je god?????

[musiman]

ECN Is nog geen standaard.
Verschillende vendors hebben verschillende (=eigen) interpretaties van ecn. Dus ook al zou binnen een internetwerk alle apparatuur ecn ondersteunen, dan nog is het de vraag of de apparatuur van dezelfde fabrikant is of niet.
In de toekomst zal er vast wel een keer een de facto standaard komen, maar daar is nu nog lang geen sprake van. Dus voorlopig blijft de ecn optie gewoon op experimenteel en standaard op OFF staan.

[Jit]

Van ECN is er een RFC (2481 om precies te zijn; zie http://www.ietf.org/rfc/rfc2481.txt?number=24 81 voor meer info). RFCs staan eigenlijk te boek als defacto standaarden.
Verder wordt het probleem veroorzaakt door routers die een eerdere RFC FOUT implementeren. ECN maakt nl. gebruik van een aantal flag-bits in de TCP header die in de oorspronkelijke RFC voor TCP als 'reserved for future use' aangemerkt werden. Daarbij werd ook gelijk opgemerkt dat implementaties van het protocol deze bits ongemoeid moeten laten in verband hiermee. Dat wordt dus door die foute routers niet gedaan.

* 786562 Jit

[Bobco]

Klopt. Voor de geinteresseerden onder ons even een linkje naar een evaluatie

Af en toe zijn er relatieve verbeteringen van meer dan 50% te zien door ECN aan te zetten. Niet slecht lijkt me zo.....

edit:
Jit was me net voor met de link naar de RFC...

[Xtuv]

Dat is wel erg jammer...
Dan kun je Linux niet eens gebruiken om een beetje veilig te surfen Daar lijkt het me juist veel voor gebruikt te worden!

[Verwijderd]

Dan kun je Linux niet eensgebruiken om een beetje veilig te surfen

Daar heeft dit geen enkele invloed op. Het is jammer van deze nieuwsposting, want het is totaal niet relevant. Het is alleen relevant voor mensen die dit aan hebben gezet zonder dat de routers op het zelfde netwerk er support voor hebben.

Het probleem doet zich normaal niet voor omdat dit standaard uit staat. Bij mensen die dit (ondankt de waarschuwing) aanzetten is er hopelijk genoeg kennis dat ze weten dat de routers het ook moeten ondersteunen.

Deze nieuwsposting is van het gehalte "je radio doet het niet als je de stekker eruit trekt".

[4of9]

Niet surfen is de ultieme security...

[BikkelZ]

Routers die (nog) geen ondersteuning bieden aan dit protocol, handelen de packets van de host af als invalide

Invalide?

Ongeldig bedoel je misschien?

[SvMp]

...host af als invalide

gewoon een geval van brakke (te letterlijke) vertaling

[Verwijderd]

[gaap]
Valide => Geldig
Invalide => Ongeldig
Valideren => Geldig maken

Wat is nou het probleem?
[/gaap]

[GraveR]

[off-topic]
Dus op die gele krengen in de bus kan beter staan:
"Deze zitplaats is bestemd voor ongeldigen"
[/off-topic]

[BikkelZ]

in·va·Žli·de1 (de ~ (m.))
1 iem. die door een gebrek beperkt is in zijn fysieke mogelijkheden => gehandicapte
in·va·Žli·de2 (bn.)
1 door een gebrek beperkt in zijn fysieke mogelijkheden => gebrekkig, gehandicapt
2 [jur.] ongeldig
in·va·Žli·den·wa·gen (de ~ (m.))
1 rolstoel
in·va·Žli·den·wo·ning (de ~ (v.))
1 woning die door speciale voorzieningen geschikt gemaakt is voor bewoning door invaliden
in·va·li·Žde·ren (ov.ww.) [jur.]
1 ongeldig verklaren, krachteloos maken

DAMN

[blue eyes]

aah vandaar! Ik kon met Red Hat 7.1 niet internetten met Netscape....... (via een proxy)

Het rare is, dat ik dat wel met Konqueror kon onder Red hat 7.1......

Wie weet dit dan te verklaren?

p.s. Ook netscape op een NT machine geinstalleerd, exact dezelfde instellingen, (proxy etc.) en wel verbinding!

[NiPeng]

Ik vind dit een zeer slechte titel voor dit onderwerp.

Dit is ongeveer gelijk aan: "Websites niet te benaderen onder W2k"
En dan staat er in de tekst: Zonder TCP/IP kan je onder W2K geen websites benaderen !

Ik ben nu met RH 7.1 aan het knoeien en ik kan gewoon alles benaderen of te wel die gasten die de stock kernel compileren zetten heus niet dergelijke experimentele "features" aan.

Met mijn Debian 2.2 systeempje met 2.4.2 kernel (zelf gebakken) is er ook geen probleem. Inderdaad ik heb die optie niet aanstaan.