iptables тормаз ?

0

0

Столкнулся с следующей проблемой :

Значит машина - 850 селерон
Мать какая-то виа

512 оперативки

Жесткий 40 гб с дма все ок.

3 сетевые интел , с дровами с интела и поллингом .

Сервак имеет следующее:

Правила роутинга при помощи ипоруте2
Роутинг по источнику - примерно 400 ип сегментов .

Клиенты .

Все это гонит 1700 пакетов в сек трафика .
И 15%-20% нагрузки на проц .

И вот мы берем iptables и добовляем 800 правил для подсчета трафика .

И мы имеем - рост пинга к серверу в 3 раза .
Нагрузка на проц стала 45% в совокупности достигая в пиках 60%.

А ведь это все надо скинуть в базу , сложить , разтусовать .
Забыл добавить - 512 правил HTB.init . Режем скорость каждому индивидуально . Народ за это бабки платит .

Вопрос - что делать ? Поступать радикально - менять железо . Или есть какаято возможность кеширования и тд ? Оптимизации ?

И как расчитать вобще нагрузку на проц считая из расчета на одно правило теблей ? Еще учитывая максимальную скорость которая выдаст машина и максимально колво пакетов в сек .

Ссылка

←	ipfw и natd редирект порта

проблема в SELinux?

→

имхо покупать железо , pc router имеют особенность затыкасться на прерываниях при большом трафике .

можно попробовать polling .

j262 ★★
(25.03.06 07:45:16 MSK)

Ответ на: комментарий от j262 25.03.06 07:45:16 MSK

Вот поллинг имеется . Дрова интела собраны с поллингом .

Значит бум менять железо .

anonymous
(25.03.06 09:38:39 MSK)

Ссылка

Ответ на: комментарий от j262 25.03.06 07:45:16 MSK

этот polling практически ничего ничего не дает... кол-во прерываний уменьшает всего на 10-20%. на некоторых гигабитных картах есть такая фича - interrupt moderation. вот она-то и уменьшает кол-во прерываний в десятки раз...

Cosmicman ★★
(25.03.06 13:19:03 MSK)

Ответ на: комментарий от Cosmicman 25.03.06 13:19:03 MSK

1700 пакетов в сек - это фигня. с этим даже реалтеки справятся ;) тут нужно проц помощнее, однозначно.

Cosmicman ★★
(25.03.06 13:22:15 MSK)

Ответ на: комментарий от Cosmicman 25.03.06 13:22:15 MSK

еще, как вариань попробуй оптимизировать правила. грамотно раскидать их по цепочкам и т.д...

Cosmicman ★★
(25.03.06 14:07:31 MSK)

Ответ на: комментарий от Cosmicman 25.03.06 14:07:31 MSK

а как насчет поставить не iptables а packet filter или BSD у меня 100 пень между думя сетевухами 6 мбайт в секунду давал на опенке правда правил было штух сорок

x86 ★★
(25.03.06 15:42:29 MSK)

Ответ на: комментарий от x86 25.03.06 15:42:29 MSK

дык при текущей нагрузке и правил 50-100 - которые запрещают вирусные порты и всякие виндовские порты кривые - дает без проблем скорость с сервака 4.5 мб в сек с жесткого . Не сказываясь никак на скорости пакетов в сек и задержках . А поллинг да , субъективно дал как раз преимущество в эти 10-20% . А на счет реалтеков - не надо ;) Если поставить их - будет намного худо - пробывали , риалтек это пройденый этап.

Ну раз так , значит сменим железо .

ПС БЗД ставить никак низя 1-я его не знаю . 2 - там много что настроено - и " работает " . Так что сменим железо .

anonymous
(25.03.06 20:17:05 MSK)