1 Тема от DECAL (26.09.2012 12:02:49 отредактировано DECAL)

  • DECAL
  • Новичок
  • Неактивен
  • Зарегистрирован: 21.05.2010
  • Сообщений: 66
  • Репутация : [ 2 | 0 ]

Здравствуйте, очень нужна ваша помощь, не давно переместил с трёх обычных машин 8 сегментов на серверную машину, и стал Интернет работать рывками... Помогите пожалуйста посоветуйте как протестировать или что настроить, три дня уже мучаюсь...
И так конфигурация:
два интерфейса
в интернет eth0 (затем bgp роутер и Интернет)
и клиентская сторона eth1 с 8 вланами,
которая идёт в управляемый коммутатор dlink dgs-3120-24sc на котором задействовано 7 портов, один порт (на котором все vlan`ы метяться) идёт в eth1 все остальные порты на дом клиентов на которых стоят dlink des-3028 дальше стоят только тупые свичи
на каждом доме в свиче 3028 задействовано три порта, два на немеченный влан (vlan8, vlan16) и один меченный (где проходят и 8 и 16) затем с дома идёт в 3120 там метится это всё на двух портах и идёт уже в сервак и так с каждым сегментом (а их 8вланов)

2 Ответ от XliN

  • XliN
  • XliN
  • С нами Бог
  • Неактивен
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

Как понять рывками? DNS справляется с нагрузкой, он тоже на том же сервере?
Мне когда то вот это помогло.

iptables -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu
MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

3 Ответ от DECAL

  • DECAL
  • Новичок
  • Неактивен
  • Зарегистрирован: 21.05.2010
  • Сообщений: 66
  • Репутация : [ 2 | 0 ]
XliN пишет:

ptables -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

А что это за правило? Объясни пожалуйста...

4 Ответ от DECAL

  • DECAL
  • Новичок
  • Неактивен
  • Зарегистрирован: 21.05.2010
  • Сообщений: 66
  • Репутация : [ 2 | 0 ]
XliN пишет:

DNS справляется с нагрузкой

Как я выявил, днс ответ (Query time) иногда 1мс иногда 1400 и больше, видимо причина в ДНС, как это выяснить точнее? Подскажите пожалуйста?

5 Ответ от kisil

  • kisil
  • Пользователь
  • Неактивен
  • Зарегистрирован: 22.02.2010
  • Сообщений: 1,996
  • Репутация : [ 59 | 0 ]
DECAL пишет:
XliN пишет:

ptables -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

А что это за правило? Объясни пожалуйста...

Вот

Trouble  in WINDOWS reboot, trouble in UNIX be root.

6 Ответ от kisil

  • kisil
  • Пользователь
  • Неактивен
  • Зарегистрирован: 22.02.2010
  • Сообщений: 1,996
  • Репутация : [ 59 | 0 ]
DECAL пишет:
XliN пишет:

DNS справляется с нагрузкой

Как я выявил, днс ответ (Query time) иногда 1мс иногда 1400 и больше, видимо причина в ДНС, как это выяснить точнее? Подскажите пожалуйста?

А у вас ДНС сервер провайдера или вы свой держыте.

Trouble  in WINDOWS reboot, trouble in UNIX be root.

7 Ответ от DECAL

  • DECAL
  • Новичок
  • Неактивен
  • Зарегистрирован: 21.05.2010
  • Сообщений: 66
  • Репутация : [ 2 | 0 ]
XliN пишет:

DNS справляется с нагрузкой, он тоже на том же сервере?

Нет мастер ДНС стоит на BGP роутере и слэйв на другой машине

8 Ответ от DECAL

  • DECAL
  • Новичок
  • Неактивен
  • Зарегистрирован: 21.05.2010
  • Сообщений: 66
  • Репутация : [ 2 | 0 ]
kisil пишет:
DECAL пишет:
XliN пишет:

DNS справляется с нагрузкой

Как я выявил, днс ответ (Query time) иногда 1мс иногда 1400 и больше, видимо причина в ДНС, как это выяснить точнее? Подскажите пожалуйста?

А у вас ДНС сервер провайдера или вы свой держыте.

Свой на реальных ip

9 Ответ от DECAL

  • DECAL
  • Новичок
  • Неактивен
  • Зарегистрирован: 21.05.2010
  • Сообщений: 66
  • Репутация : [ 2 | 0 ]
kisil пишет:
DECAL пишет:
XliN пишет:

ptables -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

А что это за правило? Объясни пожалуйста...

Вот

Тут дело в фрагментации, а уменя везде 1500, тем более я не использую pppoe...

10 Ответ от XliN

  • XliN
  • XliN
  • С нами Бог
  • Неактивен
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

Попробуйте по умолчанию раздавать slave dns для юзверей и потестить скорость открытия сайта.

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

11 Ответ от kisil

  • kisil
  • Пользователь
  • Неактивен
  • Зарегистрирован: 22.02.2010
  • Сообщений: 1,996
  • Репутация : [ 59 | 0 ]
DECAL пишет:
kisil пишет:
DECAL пишет:

А что это за правило? Объясни пожалуйста...

Вот

Тут дело в фрагментации, а уменя везде 1500, тем более я не использую pppoe...

Я понял, просто вы спросили я дал ссылку на обяснение.

Trouble  in WINDOWS reboot, trouble in UNIX be root.

12 Ответ от DECAL

  • DECAL
  • Новичок
  • Неактивен
  • Зарегистрирован: 21.05.2010
  • Сообщений: 66
  • Репутация : [ 2 | 0 ]
kisil пишет:
DECAL пишет:
kisil пишет:

Вот

Тут дело в фрагментации, а уменя везде 1500, тем более я не использую pppoe...

Я понял, просто вы спросили я дал ссылку на обяснение.

Спасибо

13 Ответ от DECAL (27.09.2012 10:28:35 отредактировано DECAL)

  • DECAL
  • Новичок
  • Неактивен
  • Зарегистрирован: 21.05.2010
  • Сообщений: 66
  • Репутация : [ 2 | 0 ]

Вот ещё, что мне named log засыпает вот такими сообщениями:

Sep 27 09:24:37 bgprouter named[9406]: client 173.255.135.166#25345 (isc.org): query (cache) 'isc.org/ANY/IN' denied
Sep 27 09:24:37 bgprouter named[9406]: client 173.255.135.166#25345 (isc.org): query (cache) 'isc.org/ANY/IN' denied

14 Ответ от XliN (27.09.2012 10:50:55 отредактировано XliN)

  • XliN
  • XliN
  • С нами Бог
  • Неактивен
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

Это DDos вроде как идет. Если верить гуглу. Ищите прогу сидещая на порту 25345
Или есть мнение что кеш надо сбросить
# rndc flush
Так же советуют в параметре allow-query поставить только свои сети

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

15 Ответ от DECAL (27.09.2012 10:57:06 отредактировано DECAL)

  • DECAL
  • Новичок
  • Неактивен
  • Зарегистрирован: 21.05.2010
  • Сообщений: 66
  • Репутация : [ 2 | 0 ]
XliN пишет:

Ищите прогу сидещая на порту 25345

Такой порт ни кем не используеться

16 Ответ от DECAL

  • DECAL
  • Новичок
  • Неактивен
  • Зарегистрирован: 21.05.2010
  • Сообщений: 66
  • Репутация : [ 2 | 0 ]
XliN пишет:

Так же советуют в параметре allow-query поставить только свои сети

А я читал, что советуют на мастер серверах any ставить,а вот на слэйв свои сети...

17 Ответ от XliN

  • XliN
  • XliN
  • С нами Бог
  • Неактивен
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

Ну я не знаю. У меня на мастере

allow-query     {trusted-networks; };
allow-recursion {trusted-networks; };
forwarders {94.232.8.200; 94.232.8.201; 208.67.222.222; 208.67.220.220; };
acl "trusted-networks" { 192.168.1.0/24; 192.168.3.0/24; 192.168.2.0/24; };
MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

18 Ответ от DECAL (27.09.2012 11:04:29 отредактировано DECAL)

  • DECAL
  • Новичок
  • Неактивен
  • Зарегистрирован: 21.05.2010
  • Сообщений: 66
  • Репутация : [ 2 | 0 ]
XliN пишет:

Ну я не знаю. У меня на мастере

allow-query     {trusted-networks; };
allow-recursion {trusted-networks; };
forwarders {94.232.8.200; 94.232.8.201; 208.67.222.222; 208.67.220.220; };
acl "trusted-networks" { 192.168.1.0/24; 192.168.3.0/24; 192.168.2.0/24; };

У меня тоже так было... Пока я не прочитал... Вернука назад...

19 Ответ от DECAL

  • DECAL
  • Новичок
  • Неактивен
  • Зарегистрирован: 21.05.2010
  • Сообщений: 66
  • Репутация : [ 2 | 0 ]

Я выявил, что когда на сайт заходишь в первый раз он долго отвечает на запрос 2400msec второй раз 2msec... Это нормально? В чем может быть причина? У меня стоит bind-chroot ...Вот мой конфиг:

options {
        query-source address x port 53; //Через какой ip и порт опрашивать другие DNS сервера
        listen-on port 53 { 127.0.0.1; x; x; }; //Через какие ip и порт отвечать на DNS запросы
        directory       "/var/named/"; //Стандартная директория DNS сервера
        recursion yes; //Разрешить рекурсивные запросы
        allow-recursion { 127.0.0.1; x; x; x; }; //Рекурсия с этих ip
        allow-transfer  { 127.0.0.1; x; };
        also-notify     { x; };
        allow-query     { 127.0.0.1; x; x; x; };
        forwarders      { 8.8.8.8; 8.8.4.4; };
};
include "named.rfc1912.zones"; //Подключить файл rfc1912
include "named.local.zones"; //Подключить файл с локальными DNS именами
include "named.rfc1918.zones"; //Подключить файл rfc1918
include "/etc/rndc.key"; //Подключить файл с ключом

20 Ответ от XliN

  • XliN
  • XliN
  • С нами Бог
  • Неактивен
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

А зачем везде указал 127.0.0.1 ?
И вместо гугловских лучше использовать от opendns 208.67.222.222; 208.67.220.220

listen-on port 53 { 192.168.1.77; 192.168.3.77; 192.168.2.77; };
        directory       "/var/named";
        dump-file       "data/cache_dump.db";
        memstatistics-file "data/named_mem_stats.txt";
        statistics-file "data/named.stats";
        version "DNS Server for MGKB1";
        allow-query     {trusted-networks; };
        allow-recursion {trusted-networks; };
        forwarders {94.232.8.200; 94.232.8.201; 208.67.222.222; 208.67.220.220;
MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"