iptables перенаправить пакет, дубль 2

Зачем SNAT? Одного DNAT'а должно хватить.

Есть же маскарадинг. По крайней мере я пользую и не жалуюсь, а нагрузки огого какие бывают иногда)

Хотя маскарадинг по идее должен работать медленнее, чем SNAT.

Но если он уже включён, то SNAT не нужен))

SNAT и MASQUERADE по сути одно и то-же.

машина ip1 должна прозрачно проксировать все запросы на свой порт на другую машину ip2. не понимаю откуда тормоза...

HELP!

Множество соединений это сколько? Покажите:

sysctl net.netfilter.nf_conntrack_max
sysctl net.netfilter.nf_conntrack_count
sysctl net.netfilter.nf_conntrack_buckets

У него, судя по всему, ip1 не является роутером для ip2, поэтому потребовалось двойное преобразование.

А множество соединений, это сколько? А то может быть Вам на tcp-proxy посмотреть? (udp Вам вроде уже не нужен)

net.ipv4.netfilter.ip_conntrack_max = 1048576
net.ipv4.netfilter.ip_conntrack_count = 8
net.ipv4.netfilter.ip_conntrack_buckets = 8192

у машины ip1 есть сетевуха eth1 с публичным ip на которую приходят пакеты и через которую она выбрасывает пакеты на ip2 с публичным ip

факт в том что когда я пробрасываю одно тестовое соединение по другому порты все прекрасно, а когда включаю по основному и туда начинают ломится клиенты и все тормозит

sysctl net.ipv4.netfilter.ip_conntrack_count
как я понял это количество текущих соединений... только что наблюдал как оно плясало в районе 60000 и при видимо 65555 машина становится недоступна, потом количество спадает и она опять слегка доступна...

упирается в сетевой канал?
может какие таймауты вниз подкрутить?
выставил sysctl net.ipv4.netfilter.ip_conntrack_tcp_timeout_time_wait=3

на машине ip2 при этом sysctl net.ipv4.netfilter.ip_conntrack_count в районе 9000 может

Уберите SNAT, разве для машины ip2 обязательно нужно чтобы трафик приходил src ip=ip1? Возможно достаточно написать дефолт роут в строну ip1 и не делать SNAT. Я не совсем понял, у вас в одном выводе net.ipv4.netfilter.ip_conntrack_count = 8 а потом вы говорите что 60000. Общее правило таково:

net.ipv4.netfilter.ip_conntrack_max=N*2
net.ipv4.netfilter.ip_conntrack_buckets=N

N - максимально наблюдаемое количество активных потоков(net.ipv4.netfilter.ip_conntrack_count)

В любом случае настройки хештаблиц для вас ситуацию вкорне не изменят, потому что упирается не в них.

>Я не совсем понял, у вас в одном выводе net.ipv4.netfilter.ip_conntrack_count = 8 а потом вы говорите что 60000.

8 было при не запущенном тесте, я думал это статическая настройка

>Возможно достаточно написать дефолт роут в строну ip1 и не делать SNAT.

если бы ip1 был гейтом в локальную сеть ip2 то да, но в тут это машины с публичными адресами в разных городах

>В любом случае настройки хештаблиц для вас ситуацию вкорне не изменят, потому что упирается не в них.

ip_conntrack_max, ip_conntrack_buckets это настройки хештаблиц в которые складывается проначеный пакет чтобы возвращенный пакет то-же пронатить? а во что тогда упирается? как я понимаю либо в канал либо в настройки tcp стека, либо в настройки (реализацию) сетевого драйвера либо в общую производительность сетевой подсистемы (cpu почти не загружен)

ip_conntrack_max - максимальное количество записей в таблице conntrack, после переполнения начинаются потери пакетов. ip_conntrack_buckets - размер хеша, наибольшая производительность достигается когда он близок к активному количеству записей.

сколько у вас трафика в мегабитах и килопакетах и какое железо?

>А то может быть Вам на tcp-proxy посмотреть?

что-ж попробуем. подскажите какой лучше - http://www.linux.org.ru/forum/talks/5627468

железо 8 ксеоновых ядер и 24 гига памяти, трафик достаточный

«достаточный» - это как то слабо описывает нагрузку ). 8 ядер прожуют гига 4 ната, однако сессий как то маловато по вашим счетчикам выходит.

думается что нат будет быстрее чем прокси.

от этой идеи и ната и прокси отказались зарулили трафик dns на другой сервер. сессий дофига висит, тысяч 300, думаю нужно пытаться уменьшать таймауты

300 сессий это не особо много при корректном размере хеша.

300000 сессий

ну я и имел ввиду 300k