Перейти до

Нормально ли такое поведение у CCR-1072?

Karfax

Автор: Karfax,
в Маршрутизатор L3

 Share Подписчики 3

Рекомендованные сообщения

Karfax

Karfax 3

Опубликовано:
Опубликовано: (відредаговано)

Здравствуйте!

 

Имеется два CCR-1072, у обоих есть свой внешний канал (BGP) через разных провайдеров. Между роутерами есть L2.

Стала задача выпустить второй бордер через первый в его внешнего провайдера (Когент).

 

Проблема в том, что сейчас на бордере-1 загрузка проца около 25% (есть с два десятка правил в фаерволе, трафика бегает около 5 Гбит/сек). Если я выпускаю второй бордер через первый, то добавляется где-то 2 гбит/сек трафика и загрузка процессора на первом возрастает на 10%.

В самый верх фаервола (по после правил фасттрека) добавил такое правило:
  

/ip firewall filter
add action=accept chain=forward comment="Permit Cogent to border-2" in-interface=Cogent out-interface=Border-2

это правило позволяет трафику, который не попал в фасттрек не проходить все остальные цепочки в фаерволе, таким образом снижая загрузку где-то на 5-7% (иначе дополнительная загрузка была б не 10%, а все 20%).

 

Собственно в чем вопрос: нормально ли такое поведение ццра? Как мне кажется дополнительная нагрузка в 10% при форвардинге 2 гиг/сек трафика это как-то многовато.

 

Во вложении схема, скриншоты профайлера до и после дополнительной нагрузки, а также графики забикса с трафиком и цпу.

Screenshot_1.png

Screenshot_3.png

Screenshot_4.png

 

Screenshot_5.png

Відредаговано Karfax
Ссылка на сообщение
Поделиться на других сайтах
Karfax

Karfax 3

Опубліковано:
  • Автор
Опубліковано:
  В 08.04.2021 в 11:38, tkapluk сказав:

Чего не поднять вторую бгп сессию с когентом сразу на втором бордере? 

Expand  

 

Невозможно в силу разных причин.

Тут нарисована упрощенная схема, на самом деле бордеры соединены между собой через стороннюю сеть, в которой нам выделили влан, который используется для нашей внутренней маршрутизации. Ну и честно, тут для примера взят когент как известный провайдер, на самом деле провайдер другой и у них не такая уж либеральная политика в отношении множества сессий. К тому же, в дальнейшем интресует выпускать не один бордер, а еще штуки 2-3 дополнительно. Так что тут тогда придется больше сессий просить - могут и не дать.

 

Интересует конкретно этот момент, как описан в первом посте. Если это его нормально поведение при форвардинге трафика, то будем кто-то думать.

  • Thanks 1
Ссылка на сообщение
Поделиться на других сайтах
xakep7

xakep7 6

Опубліковано:
Опубліковано: (відредаговано)

Raw? Если нет, то юзайте их, а нее фаерволл. Неплохо снижает нагрузку т.к. эти правила работают на уровне чипа не доходя до ядра системы (RouterOS) тем самым меньше нагружая процессор при большей производительности, фаер же по факту софт т.е. над ядром системы, а не под ним. (Грубые определения)

Conntrack актуально (включен али нет?).

Да и сравнения не точны. 5 гбит и 2 гбит могут генерировать одинаковое кол-во PPS, что в основном и влияет на нагрузку.

Відредаговано xakep7
Ссылка на сообщение
Поделиться на других сайтах
Kiano

Kiano 616

Опубліковано:
Опубліковано:
  В 08.04.2021 в 16:47, xakep7 сказав:

Raw? Если нет, то юзайте их, а нее фаерволл. Неплохо снижает нагрузку т.к. эти правила работают на уровне чипа не доходя до ядра системы (RouterOS) тем самым меньше нагружая процессор при большей производительности, фаер же по факту софт т.е. над ядром системы, а не под ним. (Грубые определения)

Conntrack актуально (включен али нет?).

Expand  

а зачем raw?

Ссылка на сообщение
Поделиться на других сайтах
Kiano

Kiano 616

Опубліковано:
Опубліковано:
  В 08.04.2021 в 16:50, xakep7 сказав:

Менее ресурсозатратны при таких операциях.

Expand  

я это и спрашиваю

при каких?

Ссылка на сообщение
Поделиться на других сайтах
xakep7

xakep7 6

Опубліковано:
Опубліковано: (відредаговано)
  В 08.04.2021 в 16:51, Kiano сказав:

я это и спрашиваю

при каких?

Expand  

Роутинг (прероутинг)/фильтрация трафика на дубовом уровне (блок портов/типов трафика/адресов)/дроп по спискам адресов.

При одних и тех же правилах в данных операциях, выигрыш получается в несколько раз.

Відредаговано xakep7
Ссылка на сообщение
Поделиться на других сайтах
Kiano

Kiano 616

Опубліковано:
Опубліковано:
  В 08.04.2021 в 16:52, xakep7 сказав:

Роутинг (прероутинг)/фильтрация трафика на дубовом уровне (блок портов/типов трафика/адресов)

Expand  

Роутинг здесь не при чем, raw к нему никакого отношения не имеет. Raw это stateless фв, по сути. И он здесь вообще не при чем. Если это чисто маршрутизатор, то фв на нем не стоит использовать вообще. В таком случае - да, лучше raw, и то, лучше вообще без фв.

Ссылка на сообщение
Поделиться на других сайтах
DVSGROUP

DVSGROUP 127

Опубліковано:
Опубліковано:
  В 08.04.2021 в 12:01, Karfax сказав:

Тут нарисована упрощенная схема, на самом деле бордеры соединены между собой через стороннюю сеть, в которой нам выделили влан, который используется для нашей внутренней маршрутизации.

Expand  

VLAN поднят на стороннем свиче, или на самом CCR?

 

  В 08.04.2021 в 16:51, Kiano сказав:

я это и спрашиваю

при каких?

Expand  

 

ConnTrack это целая подсистема, которая ведет таблицу всех соединений, при этом для каждого соединения определяется его статус и зависимости (new, established, related, invalid). Иными словами, определяется принадлежность пакетов отдельным потокам.

 

Само собой разумеется, работа ConnTrack вызывает нагрузку на ЦП, даже если правило всего 1.

 

Обычно на стыках нет NAT, поэтому ConnTrack не используется, чтобы не нагружать Бордер.

 

ConnTrack нужен уровнем ниже, где нет прямой маршрутизации и рулится NAT.

Ссылка на сообщение
Поделиться на других сайтах
Karfax

Karfax 3

Опубліковано:
  • Автор
Опубліковано:
  В 08.04.2021 в 14:36, Kiano сказав:

Надеюсь conntrack выключен?

Expand  

нет, вкючен. на бордере есть небольшой (по объему трафика) нат. Не сломает ли выключение контрака нат?

Ссылка на сообщение
Поделиться на других сайтах
DVSGROUP

DVSGROUP 127

Опубліковано:
Опубліковано:
  В 08.04.2021 в 20:36, Karfax сказав:

Не сломает ли выключение контрака нат?

Expand  

 

NAT перестанет работать

Ссылка на сообщение
Поделиться на других сайтах
DVSGROUP

DVSGROUP 127

Опубліковано:
Опубліковано:
  В 08.04.2021 в 20:38, Karfax сказав:

на самом ццр

Expand  

 

Это не совсем правильно. У вас на входе для таких вещей должен быть хороший управляемый коммутатор.

 

VLAN принимается tagged или untagged? Если tagged - то софтово или аппаратно?

 

Если вы принимаете VLAN софтово, это также создает дополнительную нагрузку.

Ссылка на сообщение
Поделиться на других сайтах
Kiano

Kiano 616

Опубліковано:
Опубліковано:
  В 08.04.2021 в 19:51, DVSGROUP сказав:

VLAN поднят на стороннем свиче, или на самом CCR?

 

 

ConnTrack это целая подсистема, которая ведет таблицу всех соединений, при этом для каждого соединения определяется его статус и зависимости (new, established, related, invalid). Иными словами, определяется принадлежность пакетов отдельным потокам.

 

Само собой разумеется, работа ConnTrack вызывает нагрузку на ЦП, даже если правило всего 1.

 

Обычно на стыках нет NAT, поэтому ConnTrack не используется, чтобы не нагружать Бордер.

 

ConnTrack нужен уровнем ниже, где нет прямой маршрутизации и рулится NAT.

Expand  

Спасибо за информацию)) но я не спрашивал, что такое conntrack

  В 08.04.2021 в 20:36, Karfax сказав:

нет, вкючен. на бордере есть небольшой (по объему трафика) нат. Не сломает ли выключение контрака нат?

Expand  

На этом маршрутизаторе нат необходимо отключить как таковой.

механизм conntrack это часть NAT

Как вариант, сделайте такое: RAW, для ипов, которые не имеют отношения к nat сделайте action=notrack

Ссылка на сообщение
Поделиться на других сайтах
Kiano

Kiano 616

Опубліковано:
Опубліковано: (відредаговано)

Иными словами, Вы полностью трекаете весь трафик, проходящий через ццр

На 5 гигах роутинга он не должен грузиться выше 10%

Відредаговано Kiano
Ссылка на сообщение
Поделиться на других сайтах
Karfax

Karfax 3

Опубліковано:
  • Автор
Опубліковано: (відредаговано)
  В 09.04.2021 в 05:04, Kiano сказав:

Как вариант, сделайте такое: RAW, для ипов, которые не имеют отношения к nat сделайте action=notrack

Expand  

 

IP онтосящиеся к нату - это которые указаны в Action=src-nat To address=...? Или еще в добавок и не которые натятся? Судя по

 

 

  В 08.04.2021 в 22:21, DVSGROUP сказав:

VLAN принимается tagged или untagged? Если tagged - то софтово или аппаратно?

Expand  

Не совсем понимаю что значит принимать влан софтово?

 

Внешний провайдер выкидывает в нашу сторону свой влан антагом (ну это обычно у всех так). Его линк включен в CRS, там принимается антагом, ему назначается тэе и дальше этот влан расходится по узлам.

 

На ццре влан создается в interface/vlan и вешается на порт, который смотрит в сторону ццра.

Відредаговано Karfax
Ссылка на сообщение
Поделиться на других сайтах
DVSGROUP

DVSGROUP 127

Опубліковано:
Опубліковано:
  В 09.04.2021 в 06:46, Kiano сказав:

На ццр только софтово вланы

Expand  

 

старые ревизии ccr умели, тот же 1009 с атеросом

https://wiki.mikrotik.com/wiki/Manual:Switch_Chip_Features

 

Ссылка на сообщение
Поделиться на других сайтах

Создайте аккаунт или войдите в него для комментирования

Вы должны быть пользователем, чтобы оставить комментарий

Создать аккаунт

Зарегистрируйтесь для получения аккаунта. Это просто!

Зарегистрировать аккаунт

Вхід

Уже зарегистрированы? Войдите здесь.

Войти сейчас
 Share
Подписчики 3
Перейти до переліку тем

  • Зараз на сторінці   0 користувачів

    Немає користувачів, що переглядають цю сторінку.

  • Схожий контент

    • neom
      Продам MikroTIK CCR1072-1G-8S+ майже даром
      Від neom
      Продам MikroTIK CCR1072-1G-8S+ майже даром,
      8 портів 10G
      72 ядра!!!
      2 БЖ
      споживання на рівні LCD телевізора.
       
       
      80к грн, 


    • superb
      Микротик x86 на игровой материнке
      Від superb
      Всем привет. Есть полностью рабочий диск ssd Sata2 ,не из новых, с Микротик х86 6.х.х лицензия. Хочу подкинуть на материнку asus rog strix z490-h gaming. 
      Сначало танцы с бубном, вообще не определялся ssd. В биосе меняешь с UEFi на Intel RST Premium With Intel Optane System Acceleration (Raid) и можно выбрать режим в Sata interrupt Selection: Legasy. После этого диск начинает определятся. Но система не стартует и не видится.  Других режимов кроме этих двух (UEFI и Intel rst...(RAID) больше нет).
      В разделе Загрузка CSM (модуль совместимости) параметры загрузочных устройств меняю Uefi и Legasy OPROM меняю на Только Legasy OPROM.  Загрузка с устройств хранения Legasy only. После этих манипуляций система начинает видится, на экране появляется первая надпись Loading system 01 и все. Дальше не грузится. Второй день голову ломаю, что ему надо? Отключал быстрые загрузки итд, не помогло. Другой hdd ноутбучный 2.5 с микротиком  x86 на этой системе ведёт себя так же. Версия Биоса последняя.
    • vit75
      Как в DNS Mikrotik, настроить чтобы всем доменам, давало одну IP?
      Від vit75
      Как в собственном DNS Mikrotik, настроить чтобы всем доменам, давало одну IP? Пустое поле не проходит.
    • blank
      Куплю CCR1072-1G-8S+ Б/У
      Від blank
      Куплю CCR1072-1G-8S+ в состоянии Б/У
      Предложения в личку.
    • Break
      Продам mikrotik rb962 hap ac
      Від Break
      Продам mikrotik rb962 hap ac
      Новый 1 шт
      Не подключался
      Цена 2450 грн
      Тел 0996315636
      Отправка новой почтой

×
×
  • Створити нове...