[Urgehal]

Здравствуйте!! Решил вот попросить совета, может быть кто-то сталкивался с чем-то подобным. Имеется сеть в которой примерно 2 тысячи абонентов. Ну и собственно говоря проблема началась на новый год, когда наш старый роутер вышел из строя. Замениили на аналогичный ну и месяц сеть работала без проблем. Далее начались проблема за проблемой. Берем канал от двоих провайдеров. Роутер постоянно уходил в ребут из-за того что очереди грузили процессор под 100%. Временное решение было их полное отключение. Пришли к выводу что включим когда будет новый биллинг. Это все не важно впринципе.

Проблема сейчас такая что постоянно сокращается объем свободной памяти и роутер рано или поздно уходит в ребут. Прошивка стоит 6.33. Обновлялись до 6.35, но вся сеть работает не стабильно на этой прошивке, поэтому сделали откат. Буду признателен, если подскажете в какую сторону копать и хочется выяснить что же так кушает память. Знаю что ребут поможет, но хочется все-таки разобраться. За ранее спасибо!!

[myth]

мусорный трафик наличествует, скорее всего.

[nur16]

Какие задачи возложены на роутер?

[Urgehal]

мусорный трафик наличествует, скорее всего.

Спасибо за подсказку! Как найти источник тогда не подскажете?

 

Какие задачи возложены на роутер?

Да абсолютно все. Маршрутизация, Фаервол, шейпинг, NAT. Все на этом микроте вертится, в этом и проблема что лишний раз стремно его перезагружать.

[pppoetest]

Сколько трафика в pps и кол-во правил в фаерволле?

[Urgehal]

Сколько трафика в pps и кол-во правил в фаерволле?

Если я вас правильно понял то количество пакетов на обоих каналах в час пик, держится районе 60-70 тыс в секунду. В фаерволе около 100 правил, часть просто отключена. Память собственно говоря уменьшается ночью.

[Saab95]

Если я вас правильно понял то количество пакетов на обоих каналах в час пик, держится районе 60-70 тыс в секунду. В фаерволе около 100 правил, часть просто отключена. Память собственно говоря уменьшается ночью.

 

А что это за 100 правил в файрволе? Там должны быть только 2 правила блокировок DNS и NTP, если используете, да правило блокировки абонентов из адрес листа, более ничего там быть не должно.

Если у вас 100 в манглах, то явно дело в не верной настройке, т.к. типовой маршрутизатор работает если и с ними, то там всего несколько правил, не более 10.

[myth]

У человека, возможно, политика "запрещено все, что не разрешено". Нормальная политика, имхо.

Edited May 4, 2016 by myth

[alexaaa]

по микротикам CCR-1036 скажу так, у нас их 4 штуки было,

использовали прошивки разные от 6.18 до 6.33

под BGP использовали отдельно целый микротик

под PPPoE сервера остальные три микротика

в среднем оптимальная нагрузка на них 700-1000 клиентов

при больших нагрузках потери пакетов начинаются и скорости

у нас один микротик тоже уходил в ребут сам по себе каждые 2 дня

на одном постоянно отваливался snmp мониторинг и доступ

своих болезней хватает и проявляются они только в результате эксплуатации

нам за 1,5 года хватило

[nur16]

 

Какие задачи возложены на роутер?

Да абсолютно все. Маршрутизация, Фаервол, шейпинг, NAT. Все на этом микроте вертится, в этом и проблема что лишний раз стремно его перезагружать.

Тогда очь тяжко будет причину ухода памяти отыскать. Можете отключать на ночь какие-то сервисы? (shaping, firewall, snmp, etc)?

 

BGP тоже поднят?

 

есть возможность, хотя бы временно, разнести задачи на разные микротики?

[kaist]

Urgehal

показывайте конфиг некротика и рассказывайте как авторизуете и изолируете клиентов.

 

вообще говоря, при 2к договоров, вертеть все на одном микротике, имхо, зашквар...

[Urgehal]

Urgehal

показывайте конфиг некротика и рассказывайте как авторизуете и изолируете клиентов.

 

вообще говоря, при 2к договоров, вертеть все на одном микротике, имхо, зашквар...

Авторизация идет через биллинг будь он проклят. В принципе догадались уже в чем проблема, ночью будем играть с правилами фаервола и методом тыка искать что жрет память. Ну а в целом проблема решится когда будет новый биллинг, и шейпинг с фаерволом можно будет перекинуть на другую железку, а на микроте оставить маршрутизацию только. Спасибо всем за помощь!

[Saab95]

У человека, возможно, политика "запрещено все, что не разрешено". Нормальная политика, имхо.

 

Не верная политика, смотрите сами:

 

1. Если IP адрес не выделен абоненту, то он на сети нигде не стоит, доступа на него нет.

2. Если IP выделен абоненту, но он не заплатил, этот IP есть в списке должников и трафик блокируется.

3. Если IP выделен абоненту и есть средства на счете, то никаких правил на этом IP быть не должно, доступ разрешен.

4. Если IP был выделен абоненту, но абонент отключился, то IP удаляется с сети и доступа на него нет.

 

Встанет вопрос, а если адреса белые, но на сети адреса нет, на него идет поток трафика с интернета, так этот трафик все равно по сети вышестоящего придет и займет часть канала, а первый же маршрутизатор его отбросит, потому что не знает где этот IP расположен. Это если IP выдаются поштучно. Если IP выдаются по маске, и запрос идет на один из входящих в нее адресов, то трафик пойдет по сети провайдера до узла, который эту сеть терминирует, и уже он будет трафик отбрасывать. Но такие случаи встречаются настолько редко, что ими можно пренебречь.

 

Второй минус тут в том, что если кто-то где-то укажет абонентский IP на сети, то сможет получить доступ в интернет, т.к. все открыто. Но это решается тем, что IP адреса вешает администратор или биллинг, никто другой доступа до этого не имеет.

 

Поэтому если нагрузки большие и абонентов много, то схемы запрещено все, что не разрешено - не правильные, т.к. весь трафик будет проходить по цепочке фильтров, занимая ресурсы, которых и так при высокой нагрузке мало.

[myth]

700мегабит канал. Загрузка тазика 10%

[nur16]

700мегабит канал. Загрузка тазика 10%

А роутерос'у пофиг на загрузку цпу. Может казать загрузку мизерную, но лагать вовсю.

Какой пинг до микротика? График желательна.

[myth]

Загрузка ТАЗИКА.