Dotaz: iptables a zatez cpu

[Marek Pasovsky]

Zdravim, mate nekdo nejake skusenosti/odkazy/tech doc ohledne zateze cpu pri pouziti hodne komplexnich iptables pravidel na zatizene lince? Situace:

trvaly datovy tok ~2Mbit/s (obema smery)
kernel 2.6.x
iptables 1.2.9
pravidel cca 500 (20ks mangle --set-mark znackuje cca 80% paketu)

netusim co to udela se stavajicim hw: Celeron 400MHz, 128MB RAM, 3x 3Com 905B

Dosud jsem na tomto hw zvladal bez problemu cca 1/3 datoveho toku (jenze <50 pravidel bez znackovani...)

Nechci aby si to kleklo, ale kupovat P4@3GHz mi fakt prijde jako "overkill" ...

Takze nejake zkusenosti, odhady, ...??

Diky, Marek.

Odpovědi

[oron]

skusenost .. celeron 700, 256 ram, tok dat asi podobny, pravidiel > 100 aj par markov kernel 2.4

zataz CPU minimalna ...

[rezavý]

v pohode, akorat si natahni prostor v pameti pro pripadne naty.

[Marek Pasovsky]

tim mylis /proc/sys/kernel/shmmax nebo neco v /proc/sys/net/ipv4/netfilter/*

M.

[Beda]

shm max to urcite nebude, ale taky jsem tomu nejak nerozumel ze by to melo byt net.ipv4.ip_conntrack_max ?

[Petr Klima]

Pokud v tech pravidlech nikde neni NAT, tak by to melo byt v pohode i na starem HW.

[Marek Pasovsky]

cca 50% provozu je NATovano

pocet soubeznych spojeni ocekavam <3000 (ted jsem na 1000-1500) takze mozna ani tohle nebudu muset menit:

kernel: ip_conntrack version 2.1 (3071 buckets, 24568 max) - 300 bytes per conntrack

toz jak s tou RAM?

M.