mpd5 проблема со скоростью.

[root]

В правилах все нормально. Проверил 5 раз, потом знакомых попросил - проблем не заметили.

я не говорил что там должно быть не нормально, я говорил об оптимизации правил, когда какие то правила можно "сархивировать" до одного или нескольких
например правила NAT`а и т.п.

[Андрей]

У меня pf. NAT одним правилом.

Код: Выделить всё

table <rfcnets> {10.0.0.0/8, !192.168.1.0/24, 192.168.0.0/16, !172.16.0.0/16, 172.16.0.0/12 }
table <vpn>     persist
#table <vpn>    {172.16.0.0/24}
table <me>      { self, 172.16.0.1}

# Options: tune the behavior of pf, default values are given.
set timeout { interval 10, frag 30 }
set timeout { tcp.first 120, tcp.opening 30, tcp.established 86400 }
set timeout { tcp.closing 900, tcp.finwait 45, tcp.closed 5 }
set timeout { udp.first 60, udp.single 30, udp.multiple 60 }
set timeout { icmp.first 20, icmp.error 10 }
set timeout { other.first 60, other.single 30, other.multiple 60 }
set timeout { adaptive.start 0, adaptive.end 0 }
set limit { states 50000, frags 5000 }
set loginterface none

#set optimization normal
set block-policy drop
set require-order yes
set fingerprints "/etc/pf.os"

#set state-policy if-bound
# Normalization: reassemble fragments and resolve or reduce traffic ambiguities.
scrub in all

nat on em0 from 172.16.0.0/16 to any -> em0

# Разрешаем loopback
pass quick on lo from any to any

# ЗДЕСЬ ОПИСЫВАЕМ ВСЕ IN ПРАВИЛА
#запрещаем локальные сети на внешнем интерфейсе
block in quick on em0 from <rfcnets> to any

# Этот блок правил обеспечивает работу только сервисов на самом сервере
# icmp
pass in quick inet proto icmp from any to 10.10.3.2 icmp-type echoreq keep state
# ssh
pass in quick proto tcp from any to 10.10.3.2 port 22 flags S/SA keep state
# http,https
pass in quick proto tcp from any to 10.10.3.2 port {443, 80} flags S/SA keep state
# dns
pass in quick proto {tcp, udp} from any to <me> port domain flags S/SA keep state
# GRE наружу
pass in quick proto gre from any to <me> keep state
# MPD
pass in quick proto tcp from any to <me> port 5006 flags S/SA keep state
# pptp
pass in quick proto tcp from any to <me> port 1723 flags S/SA keep state

# Все остальное ко мне закрываем нахрен
block in quick from any to <me>
block quick from 172.16.0.0/16 to 172.16.0.0/16

# Разрешаем ВПН
pass in quick inet from <vpn> to any
pass in quick inet from any to <vpn>

# остатки входящего блокируем и логгируем нафиг
block in quick all

# ЗДЕСЬ ОПИСЫВАЕМ ВСЕ OUT ПРАВИЛА
# блокируем RFC сети на исходящем интерфейсе
block out quick on em0 from <rfcnets> to any

#от меня
pass out quick from <me> to any keep state

# навыход пускаем всё что дошло до сюда
#pass out quick from <rfcnets> to <rfcnets>

# и от клиентов
pass out quick from any to <vpn>
pass out quick from <vpn> to any

# А че на выход не описали - блокируем
block out quick all


Вроде ничего лишнего.

[root]

set limit { states 50000, frags 5000 }

посмотри не упирается ли у тя кол-во состояний NAT в "потолок"
если упирается, то не удивительно что с Инетом у клиентов проблема
а вообще лучше MRTG по этому параму сделать, тогда будет наглядно видно

[Андрей]

set limit { states 50000, frags 5000 }

посмотри не упирается ли у тя кол-во состояний NAT в "потолок"
если упирается, то не удивительно что с Инетом у клиентов проблема
а вообще лучше MRTG по этому параму сделать, тогда будет наглядно видно

Пофиксил 3 дня назад до 1000000, изменений не заметил.

[root]

изменений не заметил.

как и я ответа на вот это:

посмотри не упирается ли у тя кол-во состояний NAT в "потолок"
если упирается, то не удивительно что с Инетом у клиентов проблема
а вообще лучше MRTG по этому параму сделать, тогда будет наглядно видно

[Андрей]

посмотри не упирается ли у тя кол-во состояний NAT в "потолок"если упирается, то не удивительно что с Инетом у клиентов проблемаа вообще лучше MRTG по этому параму сделать, тогда будет наглядно видно

Код: Выделить всё

pfctl -si
Status: Enabled for 0 days 09:24:16           Debug: Urgent

State Table                          Total             Rate
  current entries                    46065
  searches                      1541645972        45535.4/s
  inserts                         21605103          638.1/s
  removals                        21559038          636.8/s
Counters
  match                           32455943          958.6/s
  bad-offset                             0            0.0/s
  fragment                            1023            0.0/s
  short                                455            0.0/s
  normalize                            708            0.0/s
  memory                                 0            0.0/s
  bad-timestamp                          0            0.0/s
  congestion                             0            0.0/s
  ip-option                           3437            0.1/s
  proto-cksum                        16151            0.5/s
  state-mismatch                     32683            1.0/s
  state-insert                           2            0.0/s
  state-limit                            0            0.0/s
  src-limit                              0            0.0/s
  synproxy                               0            0.0/s


[root]

Пофиксил 3 дня назад до 1000000, изменений не заметил.

да можно хоть 200000 тыс. написать, толку то ?
смотри на нагрузку на сервер, его сетевую карту.
попробуй сменить NAT с pf на ipfw nat и т.п.

[Андрей]

В общем я решил проблему со скоростью.
Проблема была в проце сервера. При ~22 kpps, на внешнем порту, и 560 сессиях нагрузка на проц была ~85%. Сейчас, при аналогичной нагрузке, нагрузка на проц составляет 11%.
Это о многом говорит.

Всем спасибо за помощь в решении проблемы.

[root]

В общем я решил проблему со скоростью.

ну так рассказал бы что именно ты сделал, т.к.

Проблема была в проце сервера.

ни о чем конкретном не говорит
остается тока предполагать, что ты его заменил

[Андрей]

остается тока предполагать, что ты его заменил

Заменил... сервер.
Старый сервер Dell powerEdge 2850 оказался дохлым, не смотря на то, что у него 4х ядерный проц. Сколько он держал сессий и пакетов - я написал.
Сейчас стоит другой сервер, судя по dmesg в нем 4 ядра + HT. В итоге система видит cpu0-cpu7. Попутно можно добавить еще 1 аналогичный процессор (пока думаю над этим). График загрузки проца на илл. Зеленый - idle, синий - system. 100 - (id + sy) = user.