vppkn 102 Posted 2012-11-19 13:16:18 Author Share Posted 2012-11-19 13:16:18 А у меня вот что с ipfw происходит: last pid: 75717; load averages: 4.07, 3.83, 3.86 up 13+07:28:16 20:42:47 394 processes: 8 running, 363 sleeping, 20 waiting, 3 lock CPU 0: 1.2% user, 0.0% nice, 6.7% system, 42.1% interrupt, 50.0% idle CPU 1: 0.0% user, 0.0% nice, 14.6% system, 43.7% interrupt, 41.7% idle CPU 2: 0.0% user, 0.0% nice, 9.1% system, 49.6% interrupt, 41.3% idle CPU 3: 0.0% user, 0.0% nice, 6.7% system, 75.6% interrupt, 17.7% idle Mem: 62M Active, 640M Inact, 754M Wired, 72K Cache, 417M Buf, 2475M Free Swap: 4096M Total, 4096M Free А что за процессор? Link to post Share on other sites
sergeev 1 Posted 2012-11-19 13:23:26 Share Posted 2012-11-19 13:23:26 Читал его заметки, кое-что себе взял. Но что можно крутить в моём случае hw.bce.rx_ticks: 18 hw.bce.rx_ticks_int: 18 hw.bce.rx_quick_cons_trip: 6 hw.bce.rx_quick_cons_trip_int: 6 hw.bce.tx_ticks: 80 hw.bce.tx_ticks_int: 80 hw.bce.tx_quick_cons_trip: 20 hw.bce.tx_quick_cons_trip_int: 20 hw.bce.loose_rx_mtu: 0 hw.bce.hdr_split: 1 hw.bce.tx_pages: 2 hw.bce.rx_pages: 2 hw.bce.msi_enable: 1 hw.bce.tso_enable: 1 hw.bce.verbose: 1 По прерыванием выставлял стандартно: net.isr.numthreads: 4 net.isr.maxprot: 16 net.isr.defaultqlimit: 4096 net.isr.maxqlimit: 10240 net.isr.bindthreads: 0 net.isr.maxthreads: 4 net.isr.direct: 0 net.isr.direct_force: 0 net.isr.dispatch: deferred Процессор: hw.machine: amd64 hw.model: Intel® Xeon® CPU 5140 @ 2.33GHz hw.ncpu: 4 hw.machine_arch: amd64 Link to post Share on other sites
Artcv 4 Posted 2012-11-19 13:29:01 Share Posted 2012-11-19 13:29:01 load averages: 4.07, 3.83, 3.86 Такие показатели нормальные считаются? Link to post Share on other sites
sergeev 1 Posted 2012-11-19 14:00:57 Share Posted 2012-11-19 14:00:57 load averages: 4.07, 3.83, 3.86 Такие показатели нормальные считаются? Нет конечно, о чём и пишу. Сервер практически работает в холостую, а нагрузка большая. Как только убираю нат - всё хорошо. Из-за ipfw nat получается большое кол-во прерываний и net.isr не успевает их разгрести и система уходит в перезагрузку. В ipfw правила только для ната: nat 11 ip from 172.16.200.0/24 to any out nat 11 ip from any to 1.1.1.1 in ipfw nat 11 config ip 1.1.1.1 same_ports reset Link to post Share on other sites
andryas 1,062 Posted 2012-11-19 14:06:15 Share Posted 2012-11-19 14:06:15 Правильно, кажется делать так:: out via <interface> in via <interface> и поотключайте всякие -rxcsum -tso Link to post Share on other sites
sergeev 1 Posted 2012-11-19 14:27:12 Share Posted 2012-11-19 14:27:12 Спасибо, попробуем. Link to post Share on other sites
nightfly 1,252 Posted 2012-11-19 15:08:01 Share Posted 2012-11-19 15:08:01 Кстати да, "-rxcsum -txcsum -tso" практически объязательны на данный момент. libalias их очень не любит. Link to post Share on other sites
sergeev 1 Posted 2012-11-19 15:41:23 Share Posted 2012-11-19 15:41:23 Кстати да, "-rxcsum -txcsum -tso" практически объязательны на данный момент. libalias их очень не любит. Вот за проверку контрольных сумм как-то подзабыл, эти опции по умолчанию включены options=c01bb<RXCSUM,TXCSUM,VLAN_MTU,VLAN_HWTAGGING,JUMBO_MTU,VLAN_HWCSUM,TSO4,VLAN_HWTSO,LINKSTATE> и hw.bce.tso_enable: 1 Ночью буду пробывать. Но подниму еще вопрос - ddos nat со стороны пользователя - возможен? 40-50 интерфейсов и мизер трафика а NAS уходил в перезагрузку. Сейчас около недели всё тихо. Link to post Share on other sites
nightfly 1,252 Posted 2012-11-19 15:59:26 Share Posted 2012-11-19 15:59:26 Но подниму еще вопрос - ddos nat со стороны пользователя - возможен? 40-50 интерфейсов и мизер трафика а NAS уходил в перезагрузку. Сейчас около недели всё тихо. Не должно быть. По сути NAT далеко не настолько трудоемкая задача. Максимум, что там может кончиться это доступная ядру память. Смотрим в vmstat и если что крутим KVA_PAGES, vm.kmem_size и соответственно буфера. К сожелению статистика ipfw nat show очень скудная, но если вы не видите там шестизначных цифр - все должно быть вполне нормально, даже по дефолту. При невырубленных чексумах и ТСО у нас в свое время просто захлопывались физические сетевухи и не подымались до down/up. Уход в ребут уже недобрый симптом намекающий на извечные проблемы с тунельными соединениями и сколько помниться крутившийся какраз вокруг isr и flowtables и mpd. Точнее ничего не скажу - с pppoe/pptp не работаем очень давно. Link to post Share on other sites
laffytaffy 84 Posted 2012-11-19 17:26:30 Share Posted 2012-11-19 17:26:30 Кстати, какие на данный момент сетевые лучше использовать, что там новее Intel 82576 (драйвер igb) появилось, подскажите? Link to post Share on other sites
LV10 282 Posted 2012-11-19 17:38:51 Share Posted 2012-11-19 17:38:51 82599EB Link to post Share on other sites
laffytaffy 84 Posted 2012-11-19 17:51:46 Share Posted 2012-11-19 17:51:46 а если по-скромнее, гигабитные? Link to post Share on other sites
mlevel 52 Posted 2012-11-19 18:03:32 Share Posted 2012-11-19 18:03:32 Думав переходити на ipfw kernel nat з pf, але: 1. round-robin nat не настільки просто реалізувати як в pf 2. не дружить з апаратним tos Link to post Share on other sites
vppkn 102 Posted 2012-11-19 18:04:33 Author Share Posted 2012-11-19 18:04:33 Думав переходити на ipfw kernel nat з pf, але: А причина думания про переход? Link to post Share on other sites
LV10 282 Posted 2012-11-19 18:15:33 Share Posted 2012-11-19 18:15:33 имхо, лучше чем 82576 igb не видел Link to post Share on other sites
smokenet 0 Posted 2012-11-21 07:30:27 Share Posted 2012-11-21 07:30:27 Господа, а кто знает вариант нормального не дорогого аппаратного NATа? Жевать нужно 500Мбит на 1000 клиентов с пакетами до 30Мбит. (Намучились с Микротиками и софтовыми решениями) Link to post Share on other sites
KaYot 3,732 Posted 2012-11-21 07:38:50 Share Posted 2012-11-21 07:38:50 Требования не совместимы - аппаратный, нормальный, недорогой. Чем тазик с линуксом не устраивает для этих целей? Соберите нормальный сервер - любой 4ех ядерник, серверную мать, ECC память и двухголовую сетевку на 82576 - один раз настроите и забудете о нем пока в гигабит не упретесь, чем там мучаться? Link to post Share on other sites
smokenet 0 Posted 2012-11-21 08:16:14 Share Posted 2012-11-21 08:16:14 Intel Quad-Core Xeon E3-1220 3.1GHz/8MB/5GT (BX80623E31220) s1155 BOX + Asus P8B-C/4L (s1155, Intel C202, PCI-E x16) + ECC DDR3 дают такие показания по нагрузке и, судя даже по графику процессора, по устойчивости, при 500 абонентов на 200Мбит во фре 8 64bit А несовместимые слова - нужно совместить. Иначе не было-бы смысла в вопросе )))))))) Link to post Share on other sites
KaYot 3,732 Posted 2012-11-21 09:18:11 Share Posted 2012-11-21 09:18:11 Значит нужно что-то менять в софте, у вас судя по загрузке NAT где-то в user space крутится. Ядерный при таком трафике должен давать от силы 5% загрузку, вот я и предлагаю linux+iptables для этого. А по аппаратным - вам нужна железка уровня cisco ASA 5550 или что-то из ACE, но недорогими их назвать язык не поворачивается.. Link to post Share on other sites
Kucher2 122 Posted 2012-11-21 10:37:31 Share Posted 2012-11-21 10:37:31 IPFW2 против PF. Link to post Share on other sites
greyshadow 22 Posted 2012-11-21 10:38:30 Share Posted 2012-11-21 10:38:30 CPU: Intel® Xeon® CPU E5504 @ 2.00GHz (2008.09-MHz 686-class CPU) (1 шт) FreeBSD 8.1-RELEASE 200-800 pppoe юзерей с NAT-ом при трафике до 600М - CPU выше 30% не поднимается.... Link to post Share on other sites
vppkn 102 Posted 2012-11-21 12:37:19 Author Share Posted 2012-11-21 12:37:19 CPU: Intel® Xeon® CPU E5504 @ 2.00GHz (2008.09-MHz 686-class CPU) (1 шт) FreeBSD 8.1-RELEASE Ну а нат то какой из? Link to post Share on other sites
greyshadow 22 Posted 2012-11-21 13:50:56 Share Posted 2012-11-21 13:50:56 ipfw + natd Link to post Share on other sites
vppkn 102 Posted 2012-11-21 15:00:54 Author Share Posted 2012-11-21 15:00:54 ipfw + natd Нифига себе какой natd производительный . Link to post Share on other sites
greyshadow 22 Posted 2012-11-22 07:25:46 Share Posted 2012-11-22 07:25:46 Ну их там вообще-то 6 штук вертиться и в 6 адресов соответственно НАТ-ится... Link to post Share on other sites
Recommended Posts
Create an account or sign in to comment
You need to be a member in order to leave a comment
Create an account
Sign up for a new account in our community. It's easy!
Register a new accountSign in
Already have an account? Sign in here.
Sign In Now