dst cache overflow

[linuxservice]

Vorab: Fritzbox 7170 im ATA-Mode (hinter Speedport 300HS am VDSL 50), Firmware z.Zt. 29.04.55-10393-freetz-devel-1992M.

Seit einiger Zeit (leider lagen dieses Update - davor 15.2 auf .37er Basis - und der Wechsel von DSL16000 auf VDSL50 zeitlich sehr nah beieinander, kann also nicht sicher sagen, obs am einen oder am anderen liegt) erhalte ich tonnenweise Logmeldungen wie diese:

kdsld: ERROR: internet: ipsec: icmp frag needed 1492 received UDP from xx.xx.xx.xx - no connection

(rund 50 pro Stunde - xx... ist dabei häufig, aber nicht immer meine eigene externe dynIP)

Das führt dazu, dass der route cache wächst und wächst, bis er irgendwann das Limit erreicht hat (massenhaft Logmeldungen "dst cache overflow"). Danach wird die Internetverbindung immer gemütlicher, bis irgendwann nicht mal mehr DNS-Lookups sauber funktionieren.

Wenn ich dann "grep dst /proc/slabinfo" mache, sehe ich, dass der Cache tatsächlich voll ist. Hochsetzen von /proc/sys/net/ipv4/route/max_size behebt das Problem dann erstmal, bis er irgendwann wieder voll ist.

Kennt jemand das Problem und hat eine Idee, wie man das verhindern kann?

 

[hermann72pb]

Das hört sich nach einem Fragmentierungsproblem. Wenn du OpenVPN hättest, würde ich empfehlen evtl. mit MTU-Werten zu spielen, aber ipsec... Wo wird ipsec bei dir verwendet? Hast du VPN? Kannst du VPN probeweise abschalten und dann nach den Fehlern schauen?

MfG

 

[linuxservice]

ipsec verwende ich z.Zt. noch gar nicht (will es allerdings demnächst zu Fernwartungszwecken einsetzen). Die Fehlermeldung kommt aus dem kdsldmod der Labor-Firmware, die ich wegen des Faxempfangs verwende. Offensichtlich denkt er gelegentlich mal bei einem UDP-Paket, dass ipsec zuständig wäre. Dass man den Bug wahrscheinlich nicht fixen kann, weil ein AVM-binary-only Modul dabei mitspielt, ist klar. Ich suche eher nach einem Workaround - d.h. sowas wie ein cache reinit bei DSL-reconnect oder durch einen Watchdog auf /proc/slabinfo. Kann man den Cache irgendwie neu initialisieren?

(edit: oder kann man das AVM-Feature "Zwangstrennung durch den Anbieter verschieben in die Zeit zwischen ..." irgendwie auch für einen Reboot missbrauchen? Wäre dann zwar ein Kandidat für "ugliest hack ever", aber wenns anders nicht geht...)