Jake zelezo na router (UP nebo DP)

[Petr Bezděk]

Petr Rehor wrote:
> 2006/2/27, Petr Bezděk <freebsd at ada-net.cz>:
> 
>>Pres den bezne dosahujem kolem 5 000 paketu/s. S lokalnim provozem
>>kratkodobe o dost vic. Stavajici zelezo (Athlon 2500+, FE a GE sitovka,
>>na GE sitovce nekolik VLANu), hlavne vykon procesoru, prestava stihat.
>>
>>Kamen urazu je v poctu pravidel firewallu IPFW (cca 3000) pro
>>internetovy provoz. V nejhorsim pripade se prochazi az nekolik set
>>pravidel. Snizovat pocet prochazenych pravidel uz moc nejde, pouzivam
>>skoky, kde to jen jde. Dale v kazdem smeru paket musi projit pres 3
>>pipe/queue kvuli shapingu rychlosti. A jeste k tomu se musi provadet NAT
>>pomoci natd.
> 
> 
> Taky jsem musel postelovat router na vykon, bylo to sice na mensi tok
> (# Mbps a 600 pps prumer, 5 Mbps a 1000 pps spicky), ale taky na
> pomalejsim stroji (celeron - jestli se dobre pamatuju tak 300 MHz).
> Dopadlo to takhle (400 zakazniku, 1200 pravidel):
> 
> 

Pravidla mam reseny podobne, jen tam mam nekolik pravidel vzdy navic 
kvuli nekterym vyjimkam a aplikacnim zalezitostem (kterych se zbavim az 
pri prechodu na novy router)

Vcera jsem delal revizi pravidel, dost veci jsem zjednodusil a hlavne 
jsem razantne snizil pocet prochazenych pravidel. Chce to jeste trochu 
reorganizace cisel a programovani a dostanu se na rozumny pocet pravidel 
pri pruchodu firewallem (ted jsem nekde na 40, odhaduji, ze to pujde 
jeste o vic jak polovinu snizit).

Dnes vecer uvidim, zda to melo nejaky zasadni vliv na zatizeni procesoru 
a latenci paketu.

> 
> Dalsi optamlizace, ktery dost pomohly:
> - zvysit HZ na 1000 (pri prekladu, zobrazit pomoci sysctl kern.clockrate)
>   na Athlon 2.5 GHz by slo urcite jit i vys, hodne to pomohlo efektivite
>   zpracovani traffic shapingu

HZ mam na 1000

> - skompilovat kernel s options POLLING a zapnout pomoci sysctl
>   kern.polling.enable=1

bge driver bez patchovani nepodporuje polling (ve verzi 5.x), zkusim ale 
na novem zeleze, tam bych mel byt sitovku od Intelu (em).

> - zjednodusit traffic shaping, aby paket prochazel jenom jednou frontou

Tohle budu moct udelat az ve chvili, kdy si budu jisty, ze mam k 
dispozici dost konektivity na pokryti spicek a jeste mit nejakou 
rezervu. Ted takovy stav sice je, nedavno jsme konektivitu navysovali s 
dostatecnou rezervou, ale clovek nikdy nevi, co bude za 2 mesice.

-- 
Petr Bezděk