СКАТ и NAT

[Urs_ak]

Кто-нибудь использует NAT на СКАТе ?

 

Какие вы делаете ограничения для абонентов:

nat_tcp_max_sessions

nat_udp_max_sessions

 

Есть ощущение что предлагаемое "2000" по-умолчанию - это мало для tcp

 

Спасибо.

[orlik]

Ну если клиент не пользуется очень активно торентами то 2000 сессий для 5-6 девайсов (телефоны компьютеры) должно быть вполне достаточно. А если у клиента мега торент сервер и разрешены тысячи подключений , то думаю что и 10000 вас не спасет

[bike]

2 часа назад, Urs_ak сказал:

Есть ощущение что предлагаемое "2000" по-умолчанию - это мало для tcp

На Эриксоне было ограничение в 2000 tcp сессий и проблем не было.

Когда переходили на Скат расширили пулл CG-NATa до /23 сети и выставили max_sessions как tcp так и udp в 8000, но у нас около 2к абонентов и такой пулл портов абонентом просто не израсходовать.

Из статистики, в среднем по больнице - tcp/udp 1000/500 , редко у кого то кол-во tcp сессий превышает 2000.

Из рекордов видел стабильные 5к tcp сессий, но там "извращенный торенто мен" и это скорее исключение.

П.С. У нас ещё из настроек CG-NATa присутствует - lifetime_flow_long=1800.

[Urs_ak]

@orlik @bike

 

Спасибо большое.

 

Мы вот начали эксплуатировать этот функционал и начали сталкиваться с тем, что у некоторых абонентов пул утилизируется в более чем 2000 tcp сессий, соотв. у них всё колом встаёт.

 

Сейчас вот такой есть: 100.100.32.101 ... sess_tcp=3568   sess_udp=66

 

 

А ещё столкнулись с тем, что сессии на СКАТе так и висят.

 

Вот был абонент с ip 100.100.32.13 и он упёрся в потолок в 2000 tcp сессий

 

Ему поменяли ip, такого ip уже нету, а на СКАТе сессия висит уже 12 часов

100.100.32.13   ... sess_tcp=1990   sess_udp=1 ...

 

По netflow видно что есть входящий извне трафик на эти порты.

 

И чего вот с этим делать ?

 

Можно как-то почистить сессии для 100.100.32.13 ? Не знаете ?

[bike]

41 минуту назад, Urs_ak сказал:

Ему поменяли ip, такого ip уже нету, а на СКАТе сессия висит уже 12 часов

100.100.32.13   ... sess_tcp=1990   sess_udp=1 ...

 

По netflow видно что есть входящий извне трафик на эти порты.

Странно, такого не замечали, по завершении абонентской сессии все трансляции чистились.

41 минуту назад, Urs_ak сказал:

И чего вот с этим делать ?

Задать вопрос разработчикам в Скайпе?

А версия Скат какая, плюс ещё посмотреть, как вариант, по --login, что там привязано.

[rm_]

On 10/28/2020 at 3:53 PM, Urs_ak said:

И чего вот с этим делать ?

IPv6 внедрить, большая часть сессий уйдёт туда, и их не надо будет NATить.