FreeBSD - обрыв TCP соединений из-за PF

Настройка сетевых служб, маршрутизации, фаерволлов. Проблемы с сетевым оборудованием.
Правила форума
Убедительная просьба юзать теги [code] при оформлении листингов.
Сообщения не оформленные должным образом имеют все шансы быть незамеченными.
Аватара пользователя
Dorlas
сержант
Сообщения: 257
Зарегистрирован: 2008-07-18 22:17:49

FreeBSD - обрыв TCP соединений из-за PF

Непрочитанное сообщение Dorlas » 2010-01-20 13:51:05

Сегодня полдня на одном им серверов борол непонятную для меня багу:
При передаче с сервера большого файла (более 120 мб) по протоколу TCP (пробовал SCP и FTP) происходит обрыв примерно на 115-125 мбайтах (т.е. столько передается, дальше рвется).

Сервер: Sun Fire X4200 M2
Данные: FreeBSD 7.2-STABLE AMD64
Сетевая: Dual Port Gigabit Ethernet Controller (Copper) (82546EB) (em0,1)
Тюнинг (пробовал по разному, пробовал оставлять пустым /etc/sysctl.conf - никак не влияет)
Межсетевой экран: PF
Ядро - стандартное (default)

Так вот - после 4 часов ковыряния было случайно выяснено, что при отключении PF проблема УХОДИТ (ничего не рвется, можно передавать 10-ками гигабайт).

Далее ковырял PF - виснет в любой комбинации (с одним правилом: pass all, в выключенным или включенным scrub-ом, с большим списком).
Если сделать pfctl -d - все сразу работает.

В итоге пришлось сделать set skip on em0 (это внутренний интерфейс, для него PF практически не нужен - он только для em1 используется реально (проброс портов в JAIL-ы) - и мне это помогло.

В общем такая вот петрушка - если кому поможет, буду рад.

Хостинговая компания Host-Food.ru
Хостинг HostFood.ru
 

Услуги хостинговой компании Host-Food.ru

Хостинг HostFood.ru

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

Аватара пользователя
Alex Keda
стреляли...
Сообщения: 35402
Зарегистрирован: 2004-10-18 14:25:19
Откуда: Made in USSR
Контактная информация:

Re: FreeBSD - обрыв TCP соединений из-за PF

Непрочитанное сообщение Alex Keda » 2010-03-06 22:33:40

выводы - юзайте ipfw
Убей их всех! Бог потом рассортирует...

Аватара пользователя
gloom
лейтенант
Сообщения: 738
Зарегистрирован: 2008-03-13 16:29:12
Откуда: UA

Re: FreeBSD - обрыв TCP соединений из-за PF

Непрочитанное сообщение gloom » 2010-03-06 22:51:02

а где веское слово парадокса?
он пф хвалил ;-)

Аватара пользователя
agat
мл. сержант
Сообщения: 138
Зарегистрирован: 2009-10-27 1:21:55
Откуда: Солнечная система, планета Земля, Россия
Контактная информация:

Re: FreeBSD - обрыв TCP соединений из-за PF

Непрочитанное сообщение agat » 2010-03-07 3:13:09

lissyara писал(а):выводы - юзайте ipfw
а натить тогда чем?

Sargas
проходил мимо
Сообщения: 1
Зарегистрирован: 2010-02-18 23:13:40

Re: FreeBSD - обрыв TCP соединений из-за PF

Непрочитанное сообщение Sargas » 2010-03-07 3:32:13

agat писал(а):
lissyara писал(а):выводы - юзайте ipfw
а натить тогда чем?
Шейпить Ipfw, а натить pf'om

Гость
проходил мимо

Re: FreeBSD - обрыв TCP соединений из-за PF

Непрочитанное сообщение Гость » 2010-03-07 18:59:03

gloom писал(а):а где веское слово парадокса?
он пф хвалил ;-)
давайте сравним когда последний раз апдейтился PF в FreeBSD, и как часто точиться ipfw
при таком отношении, лично я бы желал видеть PF обратно в портах
а уж кто его любит и использует сами смогут что надо и как надо прикрутить.

toxic
рядовой
Сообщения: 19
Зарегистрирован: 2008-03-03 23:25:22
Откуда: Ukraine, Sumy
Контактная информация:

Re: FreeBSD - обрыв TCP соединений из-за PF

Непрочитанное сообщение toxic » 2010-03-15 12:04:39

Кстати народ есть тут вопрос маленький. Говорят что PF не умет работать с много процессорными системами, а то есть говорят что все задачи выполняются в одном процессе и перегрузке может зависнуть. Скажем так миф или реальность, так как в инете нашол только косвенные подтверждение и то на одном источники (какой то форум). В общем чему верить. Знающие ответ на этот вопрос кинте официальную силку где это подтверждается или опровергается.

А вкраце: Как пф работает на много процессорных системах?

Аватара пользователя
agat
мл. сержант
Сообщения: 138
Зарегистрирован: 2009-10-27 1:21:55
Откуда: Солнечная система, планета Земля, Россия
Контактная информация:

Re: FreeBSD - обрыв TCP соединений из-за PF

Непрочитанное сообщение agat » 2010-03-15 13:58:22

Я чесно сказать такого первый раз слышу PF работает на 4х ядерном Xeon года полтора уж,
максимум какие косяки с ним были это марвеловские сетевки не пропускали толстые пакеты, поставил intel pci-x все серв в uptime 6 месяцев. 100 мбт/c gate все PFит и все натит.

Может быть это просто миф? или вы не умеете готовить PF

Аватара пользователя
Dorlas
сержант
Сообщения: 257
Зарегистрирован: 2008-07-18 22:17:49

Re: FreeBSD - обрыв TCP соединений из-за PF

Непрочитанное сообщение Dorlas » 2010-03-15 14:12:36

А если пруфлинк ??? http://www.openbsd.org/faq/pf/perf.html

Код: Выделить всё

Will multiple processors help?
PF will only use one processor, so multiple processors (or multiple cores) WILL NOT improve PF performance. HOWEVER, under some circumstances, running the SMP version of OpenBSD (bsd.mp) instead of bsd will give better performance due to differences in how interrupt handling is done. In many cases, bsd.mp will give less performance. IF you are seeing performance problems, experiment with this, most users will never hit any limits to worry about it.

toxic
рядовой
Сообщения: 19
Зарегистрирован: 2008-03-03 23:25:22
Откуда: Ukraine, Sumy
Контактная информация:

Re: FreeBSD - обрыв TCP соединений из-за PF

Непрочитанное сообщение toxic » 2010-03-15 16:09:00

Спасибо, можно спать спокойно.