Jump to content
Калькуляторы

Сокращение нагрузки от conntrack

Если для TCP соединений отключить conntrack с помощью NOTRACK, а stateful для TCP сделать с помощью --syn, уменьшит ли это нагрузку от conntrack? Я бы конечно совсем отключил conntrack но stateful требуется.

Share this post


Link to post
Share on other sites

stateful для TCP сделать с помощью --syn

это не настоящий stateful, некоторая эмуляция NEW только. Conntrack обычно нужен только для NAT'а и для конструкций вида

iptables -I OUTPUT 1 -m state --state ESTABLISHED,RELATED -j ACCEPT

чтобы не прогонять пакеты из уже установленных соединений ещё раз по правилам фаервола. Для routed-трафика без NAT conntrack не нужен обычно.

Share this post


Link to post
Share on other sites
А как вообще оценить степень загруженности системы от механизма Conntrack ?

OProfile...

 

[root@xxx xxx]# opreport -l | less

CPU: Core 2, speed 2327.32 MHz (estimated)
Counted CPU_CLK_UNHALTED events (Clock cycles when not halted) with a unit mask of 0x00 (Unhalted core cycles) count 100000
samples  %        image name               app name                 symbol name
127204   11.0229  nf_conntrack             nf_conntrack             /nf_conntrack
116900   10.1300  ip_tables                ip_tables                /ip_tables
81166     7.0335  e1000e                   e1000e                   /e1000e
63942     5.5409  pppoe                    pppoe                    /pppoe
59542     5.1597  ipt_NETFLOW              ipt_NETFLOW              /ipt_NETFLOW
38714     3.3548  vmlinux                  vmlinux                  tcp_sendmsg
37260     3.2288  vmlinux                  vmlinux                  tcp_transmit_skb
31798     2.7555  vmlinux                  vmlinux                  tcp_write_timer
24369     2.1117  vmlinux-unknown          vmlinux-unknown          /vmlinux-unknown
23889     2.0701  ppp_generic              ppp_generic              /ppp_generic
22696     1.9667  vmlinux                  vmlinux                  fb_find_mode
20284     1.7577  ts_kmp                   ts_kmp                   /ts_kmp
18511     1.6041  vmlinux                  vmlinux                  __generic_block_fiemap
17676     1.5317  vmlinux                  vmlinux                  native_calibrate_tsc
13569     1.1758  iptable_nat              iptable_nat              /iptable_nat
13491     1.1691  vmlinux                  vmlinux                  rt_worker_func
13315     1.1538  nf_nat                   nf_nat                   /nf_nat
12475     1.0810  vmlinux                  vmlinux                  tcp_create_openreq_child
11294     0.9787  nf_conntrack_ipv4        nf_conntrack_ipv4        /nf_conntrack_ipv4
...
...
...

Edited by Jugernault

Share this post


Link to post
Share on other sites
Для routed-трафика без NAT conntrack не нужен обычно.
Как так то? А если нужно фаерволить в зависимости от состояния, типа режим невидимки, "ты видишь все тебя никто".

Ну те я правильно думаю если для TCP сделать NOTRACK, то загрузка от conntrack уменьшится?

Share this post


Link to post
Share on other sites
Как так то? А если нужно фаерволить в зависимости от состояния, типа режим невидимки, "ты видишь все тебя никто".
то это уже не подпадает под "обычно".
Ну те я правильно думаю если для TCP сделать NOTRACK, то загрузка от conntrack уменьшится?
NOTRACK нужно делать не для tcp, а для того трафика, для которого вам не нужны состояния в фаерволе и которому не нужен conntrack для прохождения. Основной и зачастую единственный кандидат для NOTRACK на бордере это как раз routed-трафик реальных IP юзеров. "Невидимку" можно частично эмулировать через дроп syn'ов, идущих из мира на реальные IP юзеров.

Share this post


Link to post
Share on other sites
perf top
url?

 

perfctr на cpu q6600 работать отказался:

# perfex -L
CPU type Intel Core 2          
One time-stamp counter available
5 performance counters available
Overflow interrupts available   

The event list for this CPU type is not available
#

Share this post


Link to post
Share on other sites

Create an account or sign in to comment

You need to be a member in order to leave a comment

Create an account

Sign up for a new account in our community. It's easy!

Register a new account

Sign in

Already have an account? Sign in here.

Sign In Now
Sign in to follow this