Astaro freeze

Possibly a NIC problem... what kind are you using?

Barry

I use HP NIC. How can I know if it's a NIC problem ? There is a log or something that can advice me about it ?

   Thanks,

ip-queue has to do with forwarded traffic to the IPS or IM/P2P classifier.

The message: 'ip-queue : full at 1024 entries, dropping packets. Dropped 65890' means, that there was more traffic routed to the the IPS or IM/P2P classifier, than the system can handle.

How often did this occur? 

Please try this via console when it occur the next time:
# /var/mdw/scripts/snort restart
after that the traffic through the ASG should work again. 

If so, please try to reduce traffic through the IPS. E.g. by adding exceptions for high traffic hosts.

What is IPS ?
Where I can add exception for high traffic hosts ?

IPS = Intrusion Protection System... it's in the web admin.

Barry

IPS = Intrusion Protection System... it's in the web admin.

Barry

We just experienced a similar issue.  

...
2008:07:04-19:57:11 (none) kernel: ip_queue: full at 1024 entries, dropping packets(s). Dropped: 712242
2008:07:04-19:57:16 (none) kernel: printk: 1525 messages suppressed.
2008:07:04-19:57:16 (none) kernel: ip_queue: full at 1024 entries, dropping packets(s). Dropped: 713768
2008:07:04-19:57:21 (none) kernel: printk: 1561 messages suppressed.
2008:07:04-19:57:21 (none) kernel: ip_queue: full at 1024 entries, dropping packets(s). Dropped: 715330
2008:07:04-19:57:26 (none) kernel: printk: 1760 messages suppressed.
2008:07:04-19:57:26 (none) kernel: ip_queue: full at 1024 entries, dropping packets(s). Dropped: 717091
2008:07:04-19:57:31 (none) kernel: printk: 1587 messages suppressed.
2008:07:04-19:57:31 (none) kernel: ip_queue: full at 1024 entries, dropping packets(s). Dropped: 718679
2008:07:04-19:57:36 (none) kernel: printk: 1594 messages suppressed.
2008:07:04-19:57:36 (none) kernel: ip_queue: full at 1024 entries, dropping packets(s). Dropped: 720274
2008:07:04-19:57:41 (none) kernel: printk: 1603 messages suppressed.
2008:07:04-19:57:41 (none) kernel: ip_queue: full at 1024 entries, dropping packets(s). Dropped: 721878
2008:07:04-19:57:46 (none) kernel: printk: 1488 messages suppressed.
2008:07:04-19:57:46 (none) kernel: ip_queue: full at 1024 entries, dropping packets(s). Dropped: 723367
2008:07:04-19:57:51 (none) kernel: printk: 1377 messages suppressed.
2008:07:04-19:57:51 (none) kernel: ip_queue: full at 1024 entries, dropping packets(s). Dropped: 724745
2008:07:04-19:57:56 (none) kernel: printk: 1434 messages suppressed.
2008:07:04-19:57:56 (none) kernel: ip_queue: full at 1024 entries, dropping packets(s). Dropped: 726180
2008:07:04-19:58:01 (none) kernel: printk: 1406 messages suppressed.
2008:07:04-19:58:01 (none) kernel: ip_queue: full at 1024 entries, dropping packets(s). Dropped: 727587
2008:07:04-19:58:06 (none) kernel: printk: 1433 messages suppressed.
2008:07:04-19:58:06 (none) kernel: ip_queue: full at 1024 entries, dropping packets(s). Dropped: 729021
2008:07:04-19:58:11 (none) kernel: printk: 1409 messages suppressed.
2008:07:04-19:58:11 (none) kernel: ip_queue: full at 1024 entries, dropping packets(s). Dropped: 730431
2008:07:04-19:58:16 (none) kernel: printk: 1352 messages suppressed.
2008:07:04-19:58:16 (none) kernel: ip_queue: full at 1024 entries, dropping packets(s). Dropped: 731784
2008:07:04-19:58:21 (none) kernel: printk: 1376 messages suppressed.
2008:07:04-19:58:21 (none) kernel: ip_queue: full at 1024 entries, dropping packets(s). Dropped: 733161
2008:07:04-19:58:26 (none) kernel: printk: 1454 messages suppressed.
2008:07:04-19:58:26 (none) kernel: ip_queue: full at 1024 entries, dropping packets(s). Dropped: 734616

It is at this point where no more traffic goes through the firewall.

In my case, it seems that these errors occur whenever snort crashes.  I've done some investigation and can see a trend that whenever snort is not happy, these messages appear and occasionally the firewall stops passing traffic.  Now, why snort is crashing is beyond me.  Does anyone know if there is a way to get a dump of snort when it is crashed?

-Eric

I will be interested if you fnd the solution.

Have find an answer ?

Hi,
Somebody can help me ?

    Regards,

This problem was also raised in 

https://community.sophos.com/products/unified-threat-management/astaroorg/f/92/t/66594

It is affecting one of my live customers on 7.200 causing the stopping of traffic through the firewall.  HA does not kick in.  Turning off IDS allows traffic to flow, but loses the protection and security monitoring.  Rebooting/HA failover is the current workaround.

This is raised with Astaro support as of this morning as a Critical Issue, as it is taking their WebServer offline.   Will keep you posted.

Best Regards,

Adrien Belcourt.

Astaro have responded recommending updating the kernel and snort to the versions currently being tested for 7.300.   This does mean doing two RPM installs and a reboot to activate the kernel. Querying the risk of doing such a change - i.e. what is the confidence this will not drag in new incompatibility problems, and is it tested with a 7.200 software load (same question different tack). 

I guess a kernel should be generic and changing that is low impact.  Similarly for SNORT.  However waiting for further details. 

If you want this solution for this problem I suggest contacting Astaro Support for this.

Best Regards,

Thanks for your help !

Do you think that their is no risk to install 2 packets of a beta version on to a production version ?

Astaro have this hybrid release working.  I doubt regression testing has been done on the Hybrid release.  I pitch it at low-medium risk.  The last known stable release for the customer is 7.103.  They are going to try the patched 7.201 (recommedation from Astaro to go to 201 before patching).  If problems then ISO back to 103.

How update the kernel and snort to the version 7.300 ?

Astaro Support will tell you how to get access to the three RPMs (kernel, snort and libnl) and how to install it.   For Gold support, contact them through your reseller, or contact them directly if you have Platinum support.   Are you getting the kernel logs:-

2008:04:09-18:44:08 (none) kernel: ip_queue: full at 1024 entries, dropping packets(s). Dropped: 2
2008:04:09-18:44:08 (none) kernel: ip_queue: full at 1024 entries, dropping packets(s). Dropped: 3

????

Best Regards,