[vinnipux]

Xeb, хотел сказать большое спасибо за титанический труд!

 

Есть несколько вопросов.

Развернул на Fedora 16, Linux 3.1.9-1.fc16.i686 #1 SMP Fri Jan 13 17:14:41 UTC 2012 i686 i686 i386 GNU/Linux,

Accel-ppp 1.5

Раз-два в сутки выхватываю

Jan 26 07:25:52 nas2 kernel: [537700.722178] accel-pppd[16273]: segfault at 4c6006 ip 00154c09 sp b00fc200 error 4 in libcrypto.so.1.0.0f[110000+173000]

Jan 26 18:37:00 nas2 kernel: [577969.266853] accel-pppd[13615]: segfault at 378007 ip 00168c09 sp b65fe200 error 4 in libcrypto.so.1.0.0f[124000+173000]

Сервак тестовый, максимальная нагрузка около 200 человек.

Использую все три способа одновременно.

 

/etc/accel-ppp.conf

[modules]

#path=/usr/lib/accel-ppp

log_file

#log_tcp

#log_pgsql

pptp

pppoe

l2tp

auth_mschap_v2

auth_mschap_v1

auth_chap_md5

auth_pap

radius

#ippool

sigchld

pppd_compat

#shaper_tbf

#chap-secrets

net-snmp

#ipv6_nd

#ipv6_dhcp

 

[core]

log-error=/var/log/accel-ppp/core.log

thread-count=4

 

[ppp]

verbose=1

#min-mtu=1280

min-mtu=1400

mtu=1400

mru=1400

#ccp=0

ccp=0

#sid-case=upper

#check-ip=0

#single-session=replace

#mppe=require

ipv4=require

ipv6=deny

ipv6-intf-id=0:0:0:1

ipv6-peer-intf-id=0:0:0:2

ipv6-accept-peer-intf-id=1

 

[lcp]

echo-interval=30

echo-failure=3

 

[auth]

#any-login=0

#noauth=0

 

[pptp]

echo-interval=30

verbose=1

 

[pppoe]

interface=vlan11

................................

interface=vlan360

#ac-name=xxx

#service-name=yyy

#pado-delay=0

#pado-delay=0,100:100,200:200,-1:500

#ifname-in-sid=called-sid

#tr101=1

verbose=1

 

[l2tp]

dictionary=/usr/share/accel-ppp/l2tp/dictionary

hello-interval=60

timeout=60

rtimeout=5

retransmit=5

host-name=accel-ppp

dir300_quirk=0

verbose=1

 

[dns]

dns1=xxx.xxx.xxx.xxx

dns2=xxx.xxx.xxx.xxx

 

[radius]

dictionary=/usr/share/accel-ppp/radius/dictionary

nas-identifier=nas2

nas-ip-address=xxx.xxx.xxx.xxx

gw-ip-address=xxx.xxx.xxx.xxx

#auth-server=127.0.0.1:1812,testing123 (obsolete)

#acct-server=127.0.0.1:1813,testing123 (obsolete)

server=xxx.xxx.xxx.xxx,password

#dae-server=127.0.0.1:3799,testing123

verbose=1

#timeout=3

max-try=3

acct-timeout=120

#acct-delay-time=0

 

[client-ip-range]

192.168.0.0/16

 

[ip-pool]

gw-ip-address=192.168.0.1

192.168.0.2-255

192.168.1.1-255

192.168.2.1-255

192.168.3.1-255

192.168.4.0/24

 

[log]

log-file=/var/log/accel-ppp/accel-ppp.log

log-emerg=/var/log/accel-ppp/emerg.log

log-fail-file=/var/log/accel-ppp/auth-fail.log

#log-debug=/dev/stdout

#log-tcp=127.0.0.1:3000

copy=1

#color=1

#per-user-dir=per_user

#per-session-dir=per_session

#per-session=1

level=3

#log-tcp=127.0.0.1:3000

 

[log-pgsql]

conninfo=user=log

log-table=log

 

[pppd-compat]

#ip-pre-up=/etc/ppp/ip-pre-up

ip-up=/etc/ppp/ip-up

ip-down=/etc/ppp/ip-down

ip-change=/etc/ppp/ip-change

radattr-prefix=/var/run/radattr

verbose=1

 

[chap-secrets]

gw-ip-address=xxx.xxx.xxx.xxx

#chap-secrets=/etc/ppp/chap-secrets

 

[tbf]

#attr=Filter-Id

#down-burst-factor=0.1

#up-burst-factor=1.0

#latency=50

 

[cli]

telnet=127.0.0.1:2000

tcp=127.0.0.1:2001

#password=123

 

[snmp]

master=0

agent-name=accel-ppp

 

 

[ipv6-pool]

fc00:0:1::/48,64

delegate=fc00:1::/36,48

 

[ipv6-dns]

#fc00:1::1

#fc00:1::2

#fc00:1::3

#dnssl=suffix1.local.net

#dnssl=suffix2.local.net.

 

[ipv6-dhcp]

verbose=1

pref-lifetime=604800

valid-lifetime=2592000

route-via-gw=1

 

Дампы попробую словить и выложить в след. раз.

Отписался еще здесь про эту проблему

http://sourceforge.net/tracker/?func=detail&aid=3480127&group_id=390718&atid=1622576

 

Хотел поинтересоваться - есть ли разница, если запускать accel-ppp сугубо под что-то одно: PPTP, L2TP или PPPoE ? Или в принципе работа сразу с тремя протоколами уже может считаться стабильной ?

 

P.S. Еще один момент, о котором хотелось упомянуть - работа с SNMP (запрос кто сейчас подключен) вызывает высокую нагрузку (90-100%) одного из ядер CPU на сервере процессом accel-pppd на время отработки запроса, что как мне кажется может негативно сказаться на работе софт-роутера в целом. У меня достаточно часто происходит опрос на серверах доступа кто онлайн.

Переделал в своих скриптах опрос таблицы клиентов на telnet - такой метод не грузит вообще - ~1%.

 

P.P.S. connlimit - это доступно в git версии, не в 1.5 ?

Изменено 26 января, 2012 пользователем vinnipux

[xeb]

Если этого нет в wiki, то надо обязательно добавить, не важно, на каком языке.

ok

 

Кстати, Дима, добавь, плз, ipv6pool к списку модулей в конфигурационном файле. Это все-таки не интуитивно понятно, что он там должен быть. Если вообще должен :) (т.е. у меня с ним работает, а без него - не пробовал)

ну да упустил его из виду ... добавил уже

 

Раз-два в сутки выхватываю

Jan 26 07:25:52 nas2 kernel: [537700.722178] accel-pppd[16273]: segfault at 4c6006 ip 00154c09 sp b00fc200 error 4 in libcrypto.so.1.0.0f[110000+173000]

Jan 26 18:37:00 nas2 kernel: [577969.266853] accel-pppd[13615]: segfault at 378007 ip 00168c09 sp b65fe200 error 4 in libcrypto.so.1.0.0f[124000+173000]

надо собрать с дебагом и поймать coredump, тем более если так стабильно падает

 

Хотел поинтересоваться - есть ли разница, если запускать accel-ppp сугубо под что-то одно: PPTP, L2TP или PPPoE ? Или в принципе работа сразу с тремя протоколами уже может считаться стабильной ?

должно стабильно работать с любыми протоколами в любой комбинации

 

P.S. Еще один момент, о котором хотелось упомянуть - работа с SNMP (запрос кто сейчас подключен) вызывает высокую нагрузку (90-100%) одного из ядер CPU на сервере процессом accel-pppd на время отработки запроса, что как мне кажется может негативно сказаться на работе софт-роутера в целом. У меня достаточно часто происходит опрос на серверах доступа кто онлайн.

Переделал в своих скриптах опрос таблицы клиентов на telnet - такой метод не грузит вообще - ~1%.

ок, гляну...

 

P.P.S. connlimit - это доступно в git версии, не в 1.5 ?

это в гит пока, жду пока кто-нибудь что-нибудь напишет про новый шейпер, потом буду 1.6 релизить

[lan-viper]

жду пока кто-нибудь что-нибудь напишет про новый шейпер

Пишу что-нибудь: гоняю конфигурацию htb/htb с настройками по умолчанию. Общее впечатление - вроде работает, хотя заметил больше жалоб на качество от абонентов (надо проверять, возможно причина не в смене шейпера). Аномальных потреблений ресурсов пока нет. Пришлось увеличить значние burst в разы. По графикам уменьшилось потребление трафика абонентами на 5-10%, что странно, т.к. кол-во сидящих в онлайн постоянно растёт. Вчера было ~300 тунелей.

 

PS

В целом исходящий шейпинг на htb конечно лучше, чем полисинг, а вот тип входящего шейпа хочется вернуть на tbf...

Изменено 27 января, 2012 пользователем lan-viper

[alexaaa]

Хочу узнать по настройке новых функций

 

logwtmp

лог чего? что за функция?

 

dir300_quirk=0

эта функция создана чтобы роутеры dir-300 работали по l2tp? это хорошо!

 

acct-timeout=120

acct-delay-time=0

эти функции чтобы убивать уже созданную сессию? или что-то другое?

 

[ip-pool]

gw-ip-address=192.168.0.1

192.168.0.2-255

как я понял NAT ip пул можно назначать через accel?

 

syslog=accel-pppd,daemon

это встроенный сислог в accel или связка с syslog сервером?

 

[cli]

telnet=127.0.0.1:2000

возможно ли прописать любой ip и порт?

[xeb]

logwtmp

лог чего? что за функция?

чтобы last показывала сессии

 

dir300_quirk=0

эта функция создана чтобы роутеры dir-300 работали по l2tp? это хорошо!

https://sourceforge....ues#dir300_l2tp

 

acct-timeout=120

acct-delay-time=0

эти функции чтобы убивать уже созданную сессию? или что-то другое?

описано тут, переведу на русский:

acct-timeout - время ожидания ответа радиус сервера на Interim-Update пакеты, по истечении этого таймаута сессия будет остановлена, если указать 0, то accel-ppp будет отправлять Interim-Update пакеты, но ответа ждать не будет и, соответственно, сессию обрывать не будет

acct-delay-time - указывает включать ли в Accounting-Request пакеты атрибут Acct-Delay-Time, более подробно об этом в rfc2866

 

[ip-pool]

gw-ip-address=192.168.0.1

192.168.0.2-255

как я понял NAT ip пул можно назначать через accel?

нет, это с NAT никак не связано, это диапазон(ы) адресов из которых будут выдаваться адреса клиентам, если radius или chap-secrets не назначат

 

syslog=accel-pppd,daemon

это встроенный сислог в accel или связка с syslog сервером?

это чтобы отправлять логи в системный syslog

 

[cli]

telnet=127.0.0.1:2000

возможно ли прописать любой ip и порт?

конечно, иначе зачем в конфиг выносить

[alexaaa]

Собрал и протестировал 1.5 версию с новым шейпером, собираюсь тестировать на реальном сервере в 1000 клиентов с форсажем в 30Мбит/с, Xeb есть ли отзывы о новой версии от крупных провайдеров?

[xeb]

есть ли отзывы о новой версии от крупных провайдеров?

только lan-viper написал, не знаю насколько он крупный :)

[NiTr0]

gcc 4.6 кстати ругается при компиляции 1.5.0 (скорее всего и более ранних - не замечал) на таки присутствующую ошибку в pppd_compat.с - env объявляется как char*[2], при этом в fill_env идет присвоение элементов env[2] и env[3]...

[xeb]

да нет, там всё правильно с env, env[2], env[3] присваиваются только если в env[1] не NULL

[lan-viper]

есть ли отзывы о новой версии от крупных провайдеров?

только lan-viper написал, не знаю насколько он крупный :)

Не крупный я, метр с кепкой )))

А если серьёзно, то работаем на accel-ppp где-то с мая 2011 года. В ЧНН доходит до 300 абонов в онлайн. Всё работает стабильно.

alexaaa, что-бы избежать ментальной абонентской атаки, внедряйте ночью, проверено )))

[lan-viper]

с форсажем в 30Мбит/с

Если шейп будет на htb, то возможно надо будет пересчитать значение r2q (или quantum).

[alexaaa]

есть ли отзывы о новой версии от крупных провайдеров?

только lan-viper написал, не знаю насколько он крупный :)

Не крупный я, метр с кепкой )))

А если серьёзно, то работаем на accel-ppp где-то с мая 2011 года. В ЧНН доходит до 300 абонов в онлайн. Всё работает стабильно.

alexaaa, что-бы избежать ментальной абонентской атаки, внедряйте ночью, проверено )))

Мы работаем со старой версией accel-ppp с 2010г сейчас, в онлайне 1000-1200 клиентов ежедневно, форсаж 30Мбит/с а общая скорость канала 600Мбит/с, поэтому неизвестно как переварит это всё новая версия accel-ppp, хотя новый шейпер и l2tp на dir-300 это большой плюс, спасибо Xeb, нобелевскую премию заслуживает, насчёт атак скажу что сервер надо хорошо зашищать от DOS атак круглосуточно.

Изменено 28 января, 2012 пользователем alexaaa

[lan-viper]

насчёт атак скажу что сервер надо хорошо зашищать от DOS атак круглосуточно

<offtop>

Я не зря написал слово ментальных атак ))) Это же шутка и имелись ввиду ситуации, когда, например, в 15:00 Вы начинаете перезагружать свой NAS, а в это время "Ментальные энергетические лучи мата" начинают потихоньку пронизывать вас и ваших коллег и всю сеть в целом... Если вы этого ни когда не ощущали на своей шкуре, то Вы просто пулинепробиваемый человек!

</offtop>

[alexaaa]

насчёт атак скажу что сервер надо хорошо зашищать от DOS атак круглосуточно

<offtop>

Я не зря написал слово ментальных атак ))) Это же шутка и имелись ввиду ситуации, когда, например, в 15:00 Вы начинаете перезагружать свой NAS, а в это время "Ментальные энергетические лучи мата" начинают потихоньку пронизывать вас и ваших коллег и всю сеть в целом... Если вы этого ни когда не ощущали на своей шкуре, то Вы просто пулинепробиваемый человек!

</offtop>

Всё это мы ощушали не один год, пока сидим год на старой версии,пока устраивало, если есть проблема,на сервере есть автоперезагрзка, которая длиться 2 минуты,а вообще у нас сервера 2 штуки, они заменяют друг друга, сервера 4 ядра, 4 гига, intel сетевые c прерываниями, настройки от DOS атак, пока терпимо.

особенность в том что на каждом сервере свой DNS, а у клиета 2 DNS, по DHCP раздаче с сервера, когда один сервер упал и DNS, клиент выходит через другой по второму DNS на другой сервер.

Изменено 28 января, 2012 пользователем alexaaa

[mcym]

Версия accel последняя из git , модул logwtmp в конфиг прописал но по команде last ничего не выводится относительно сесий PPP.

[brodayga]

добрый день.

Собрал версию 1.5 без ошибок

при попытке подключения pptp с использованием шейпера аксел вылетает с ошибкой

BUG: msg.c:676
accel-pppd: msg.c:676: nlmsg_free: Assertion `0' failed.
Aborted

Если подключаться без отсылки атрибутов скорости подключение проходит нормально.

Как я понимаю проблемма с libnl

версия libnl 2

ldd /usr/local/lib/accel-ppp/libshaper_tbf.so
       linux-vdso.so.1 =>  (0x00007fff4af28000)
       libnl.so.2 => /usr/local/lib/libnl.so.2 (0x00007fd7dcfd9000)
       libm.so.6 => /lib64/libm.so.6 (0x00007fd7dcd83000)
       libc.so.6 => /lib64/libc.so.6 (0x00007fd7dca24000)
       /lib64/ld-linux-x86-64.so.2 (0x00007fd7dd409000)

    Linux Nas 2.6.32.12-0.7-default #2 SMP Fri Jan 27 17:24:05 MSK 2012 x86_64 x86_64 x86_64 GNU/Linux

не могу понять где допустил ошибку и чего не хватает.

[xeb]

мда, раньше такой ошибки не встречал, ну могу предложить либо использовать новый шейпер в гит, ему libnl не нужен, либо собрать с отладкой и поймать coredump, может больше информации будет

[lan-viper]

xeb, подскажи, в чём может быть проблема:

accel-ppp.log

[2012-01-31 11:16:57]: error: pppd_compat: fork: Cannot allocate memory
[2012-01-31 11:16:57]: error: pppd_compat: fork: Cannot allocate memory
[2012-01-31 11:16:57]: error: pppd_compat: fork: Cannot allocate memory
[2012-01-31 11:16:57]: error: pppd_compat: fork: Cannot allocate memory
[2012-01-31 11:16:57]: error: pppd_compat: fork: Cannot allocate memory
[2012-01-31 11:16:57]: error: pppd_compat: fork: Cannot allocate memory
[2012-01-31 11:16:57]: error: pppd_compat: fork: Cannot allocate memory
[2012-01-31 11:16:58]: error: pppd_compat: fork: Cannot allocate memory
[2012-01-31 11:17:00]: error: pppd_compat: fork: Cannot allocate memory
[2012-01-31 11:17:02]: error: pppd_compat: fork: Cannot allocate memory

Первое сообщение было вчера в 23:00 и до сегодня, пока не начали названивать, что l2tp не работает. Заметил необычно много дочерних процессов accel-ppp (по htop).

 

На всякий пожарный соотв. части конфига:

[modules]
...
pppd_compat
...

[pppd-compat]
#ip-pre-up=/etc/ppp/ip-pre-up
ip-up=/etc/ppp/ip-up
ip-down=/etc/ppp/ip-down
ip-change=/etc/ppp/ip-change
radattr-prefix=/var/run/radattr
verbose=1

В файлах ip-up и ip-down только

#!/bin/sh

ip-change отсутствует.

 

Файл подкачки почти гиг отъело, после перезапуска accel-я график резко скакнул в своё рабочее положение. По графику файл подкачки (в смысле занятое пространство) начал постепенно расти с момента установки версии 8d5390ef0e836de11da82c6ca43110af524a724e 23-го января.

 

Ранее такого никогда не наблюдал, просьба разобраться. Вывод debug.log к сожалению был отключен за ненадобностью.

Изменено 31 января, 2012 пользователем lan-viper

[brodayga]

Хотел уточнить про использование HTB для исходящего трафика(со стороны клиента).

Насколько я понял создаёться виртуальный интерфейс IFB и трафик заворачиваеться со всех ppp сессий.

Далее создаются фильтры , классы и очереди под каждую сессию.

если это так хотел уточнить по поводу фильтров используеться хеш или линейные фильтры?

[xeb]

Файл подкачки почти гиг отъело, после перезапуска accel-я график резко скакнул в своё рабочее положение. По графику файл подкачки (в смысле занятое пространство) начал постепенно расти с момента установки версии 8d5390ef0e836de11da82c6ca43110af524a724e 23-го января. Ранее такого никогда не наблюдал, просьба разобраться. Вывод debug.log к сожалению был отключен за ненадобностью.

ладно, посмотрим ...

 

Далее создаются фильтры , классы и очереди под каждую сессию. если это так хотел уточнить по поводу фильтров используеться хеш или линейные фильтры?

используется наиболее оптимальный алгоритм

 

у ifb0 один единственный фильтр:

# tc filter show dev ifb0
filter parent 1: protocol ip pref 1 flow 
filter parent 1: protocol ip pref 1 flow handle 0x1 map keys priority baseclass 1:1 

 

для каждой сессии:

# tc class show dev ifb0
class htb 1:2 root prio 0 rate 512000bit ceil 512000bit burst 6400b cburst 6400b

 

# tc filter show dev ppp0 parent ffff:
filter protocol ip pref 1 u32 
filter protocol ip pref 1 u32 fh 800: ht divisor 1 
filter protocol ip pref 1 u32 fh 800::1 order 1 key ht 800 bkt 0 flowid :1 
 match 00000000/00000000 at 0
   	action order 1:  skbedit priority :1
   	action order 2: mirred (Egress Redirect to device ifb0) stolen
   	index 1 ref 1 bind 1

Изменено 31 января, 2012 пользователем xeb

[alexaaa]

xeb, подскажи, в чём может быть проблема:

accel-ppp.log

[2012-01-31 11:16:57]: error: pppd_compat: fork: Cannot allocate memory
[2012-01-31 11:16:57]: error: pppd_compat: fork: Cannot allocate memory
[2012-01-31 11:16:57]: error: pppd_compat: fork: Cannot allocate memory
[2012-01-31 11:16:57]: error: pppd_compat: fork: Cannot allocate memory
[2012-01-31 11:16:57]: error: pppd_compat: fork: Cannot allocate memory
[2012-01-31 11:16:57]: error: pppd_compat: fork: Cannot allocate memory
[2012-01-31 11:16:57]: error: pppd_compat: fork: Cannot allocate memory
[2012-01-31 11:16:58]: error: pppd_compat: fork: Cannot allocate memory
[2012-01-31 11:17:00]: error: pppd_compat: fork: Cannot allocate memory
[2012-01-31 11:17:02]: error: pppd_compat: fork: Cannot allocate memory

Первое сообщение было вчера в 23:00 и до сегодня, пока не начали названивать, что l2tp не работает. Заметил необычно много дочерних процессов accel-ppp (по htop).

 

На всякий пожарный соотв. части конфига:

[modules]
...
pppd_compat
...

[pppd-compat]
#ip-pre-up=/etc/ppp/ip-pre-up
ip-up=/etc/ppp/ip-up
ip-down=/etc/ppp/ip-down
ip-change=/etc/ppp/ip-change
radattr-prefix=/var/run/radattr
verbose=1

В файлах ip-up и ip-down только

#!/bin/sh

ip-change отсутствует.

 

Файл подкачки почти гиг отъело, после перезапуска accel-я график резко скакнул в своё рабочее положение. По графику файл подкачки (в смысле занятое пространство) начал постепенно расти с момента установки версии 8d5390ef0e836de11da82c6ca43110af524a724e 23-го января.

 

Ранее такого никогда не наблюдал, просьба разобраться. Вывод debug.log к сожалению был отключен за ненадобностью.

если у тебя встроенный шейпер применяется зачем тогда ppp интерфейсу правила через файлы, закоментируй эту директорию.

Изменено 31 января, 2012 пользователем alexaaa

[lan-viper]

секрет фирмы! ))

[alexaaa]

секрет фирмы! ))

 

вот так используем с внешним шейпером

 

[pppd-compat]

#ip-pre-up=/etc/ppp/ip-pre-up

ip-up=/etc/ppp/ip-up

#ip-down=/etc/ppp/ip-down

#ip-change=/etc/ppp/ip-change

radattr-prefix=/var/run/radattr

verbose=1

 

в ip-up tc шейпер

а форсаж реализовывается отдельным скриптом который меняет параметры tc.

 

а со встроенным эти директории вообще не используеться

Изменено 31 января, 2012 пользователем alexaaa

[lan-viper]

alexaaa, большое спасибо за советы, но я их не просил, а лишь указал на потенциальный баг программы, возможно не относящийся даже к данному модулю. С работой и особенностями шейперов я уже давно разобрался сам.

[alexaaa]

alexaaa, большое спасибо за советы, но я их не просил, а лишь указал на потенциальный баг программы, возможно не относящийся даже к данному модулю. С работой и особенностями шейперов я уже давно разобрался сам.

это не баг программы, эти файлы надо создавать самому, это стандартые файлы при использовании vpn клиента на linux.