Jump to content
Калькуляторы

кто чем органичивает ip сессии

на форуме много дебатов резать или не резать IP сессии на клиента, это пусть решает сам.

Возникает вопрос, если резать то чем и как?

 

Мы пробовали резать на linux используюя -m connlimit

Столкнулись с проблемой производительности: при пропуске трафика порядка 200+Мбит (35-40pps),

пинг растет, пакеты дропаются и т.д.

 

Google подсказал что, connlimit весьма ресурсоемкий вариант, отсюда вопрос, кто чем ограничивает по Linux, если нужно переварить такой или чуть больший объем трафика?

Share this post


Link to post
Share on other sites
на форуме много дебатов резать или не резать IP сессии на клиента, это пусть решает сам.

Возникает вопрос, если резать то чем и как?

На сетевом уровне, там где IP, ни сессий, ни соединений вообще нет. Нужно говорить об ограничении числа firewall states на один IP. На самом деле, беда не в соединениях и не в стейтах, а в большом пакетрейте. Почему пакеты теряются? Потому что у сетевухи RX-буфер забивается до того, как ядро что-то успеет обработать и ограничить. Наиболее приемлемый вариант -- ограничивать пакетрейт не на шейпере, а на коммутаторах и как можно ближе к источнику. Если большой пакетрейт создается не одним-двумя IP, то это не аномалия, и надо ставить более мощное железо.
Edited by photon

Share this post


Link to post
Share on other sites

2kapa: pf под linux нет.

 

2photon: в моем случае задача именно ограничивать кол-во одновременных соединений во внешнюю сеть (интернет) с одного/нескольких локальных IP адресов. С pps отдельная история.

Share this post


Link to post
Share on other sites
на форуме много дебатов резать или не резать IP сессии на клиента, это пусть решает сам.

Возникает вопрос, если резать то чем и как?

Cisco ASA очень хорошо умеет то, что Вам надо, мы используем в т.ч. и под ограничение количества коннектов на клиента более года - довольны

Share this post


Link to post
Share on other sites
на форуме много дебатов резать или не резать IP сессии на клиента, это пусть решает сам.

Возникает вопрос, если резать то чем и как?

Cisco ASA очень хорошо умеет то, что Вам надо, мы используем в т.ч. и под ограничение количества коннектов на клиента более года - довольны

Щас Вам ответят, что cisco под linux нет ;)

 

Я думаю, тему стоит более конкретно назвать.

Share this post


Link to post
Share on other sites

нет, совершенно очевидно те кто применяет решение под linux не имеет средств на asa,

Share this post


Link to post
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now
Sign in to follow this