🚀 go-pugleaf

Pawel Kowalski wrote on 2010-02-23 09:22:

> Zastanawiam się nad PF - znam go i używam z powodzeniem na innych
> maszynach - ale ...
> Miałem już kilkukrotnie przejścia na maszynach z PF, w sytuacjach gdy
> ruch na www przekraczał powiedzmy 30Mb - PF przy dużej ilości
> pakietów/odwołań potrafił skutecznie uwalić niemal całość ruchu na
> karcie sieciowej.

Duża ilość pakietów/odwołań to ile?

Ja mam FreeBSD-maszyny robiące za LB za pomocą np. HAProxy, 
przepuszczające w peakach do 200Mbps i 100kpps, stosuję na nich PF, i 
wszystko działa. Widziałem FreeBSD-router BGP z pełną tablicą, 
obsługujący dość wysycone łącza sumarycznie na 400Mbps, też z PF. A i 
tak to są orzeszki w stosunku do niektórych zastosowań FreeBSD+PF, o 
których słyszałem. Zatem jeżeli miałeś problemy z wydajnością z powodu 
PF przy 30Mbps, a stosowany sprzęt był dobry, to sądzę że to był jednak 
PEBKAC.

> Co w sytuacji gdy PF będzie musiał znatować ~900 jednoczesnych połączeń
> plus ew. blokady, binaty i forwardy przy ruchu ok ~30Mb ? 
> Jak z wydajnością takiego rozwiązania ? 

Sprawdź i daj tutaj znać. :-) Nie wierzę żeby ilość ruchu była 
jakimkolwiek problemem, prędzej ilość Twoich reguł. Ale bez dokładnych 
danych trudno jednoznacznie odpowiedzieć.

> Może coś innego jest szybsze ?

Ja nie wiem, bo szybkość PF zawsze mi wystarczała, ale może koledzy.
-- 
*   Maciej Wierzbicki * At paranoia's poison door  *
*   VOO1-RIPE   *

Dnia 02/23/10 | 12:12, Maciej Wierzbicki napisal(a):
> Zatem jeżeli miałeś problemy z wydajnością z powodu 
> PF przy 30Mbps, a stosowany sprzęt był dobry, to sądzę że to był jednak 
> PEBKAC.

Też tak podejrzewam :) Ale kto pyta, ten nie błądzi więc zanim zacznę na
poważnie użerać się z siecią userów wolę zapytać jak z wydajnością.

> 
> Sprawdź i daj tutaj znać. :-) Nie wierzę żeby ilość ruchu była 
> jakimkolwiek problemem, prędzej ilość Twoich reguł. Ale bez dokładnych 
> danych trudno jednoznacznie odpowiedzieć.

Ilość reguł ... Jakieś 700 per maszyna odnośnie nat, z 30 binatów
i powiedzmy kolejne 70 odnośnie blokad i tym podobnych
Bez altq i kształtowania ruchu - sam ruch na poziomie około ~25 max per
maszyna.



-- 
Kowalski Pawel
e-mail/jid argail(na)histeria.pl 
".. a oczy jego zrobiły sie duże i patrzyły z niedowierzaniem na innowierców ..."
".. 95% osób twierdzących że cierpią na dysortografię, to po prostu niedouczone pierwotniaki .. "

On 23.02.2010, Pawel Kowalski <argail@histeria.pl.spam.no> wrote:
> Dnia 02/23/10 | 12:12, Maciej Wierzbicki napisal(a):
>> Zatem jeżeli miałeś problemy z wydajnością z powodu 
>> PF przy 30Mbps, a stosowany sprzęt był dobry, to sądzę że to był jednak 
>> PEBKAC.
>
> Też tak podejrzewam :) Ale kto pyta, ten nie błądzi więc zanim zacznę na
> poważnie użerać się z siecią userów wolę zapytać jak z wydajnością.
>
>> 
>> Sprawdź i daj tutaj znać. :-) Nie wierzę żeby ilość ruchu była 
>> jakimkolwiek problemem, prędzej ilość Twoich reguł. Ale bez dokładnych 
>> danych trudno jednoznacznie odpowiedzieć.
>
> Ilość reguł ... Jakieś 700 per maszyna odnośnie nat, z 30 binatów
> i powiedzmy kolejne 70 odnośnie blokad i tym podobnych
> Bez altq i kształtowania ruchu - sam ruch na poziomie około ~25 max per
> maszyna.

Cześć,

PF spokojnie powinien sobie z tym dać radę. Zainteresuja się tylko
opcją `set limit states'.

-- 
Dominik Zyla

On Tue, 23 Feb 2010 15:35:07 +0100, Pawel Kowalski
<argail@histeria.pl.spam.no> wrote:

> Ilość reguł ... Jakieś 700 per maszyna odnośnie nat, z 30 binatów
> i powiedzmy kolejne 70 odnośnie blokad i tym podobnych

 Że tak się z głupia zapytam, żeby się upewnić. Stateful?

 r.
-- 
_________________________________________________________________
robert rędziak     e36/5 323ti     mailto:giekao-at-gmail-dot-com

   I hope they don't fart at Greenpeace. That's bad for Gaia.

Dnia 02/23/10 | 05:44, Robert Rędziak napisal(a):
> On Tue, 23 Feb 2010 15:35:07 +0100, Pawel Kowalski
> <argail@histeria.pl.spam.no> wrote:
> 
> > Ilość reguł ... Jakieś 700 per maszyna odnośnie nat, z 30 binatów
> > i powiedzmy kolejne 70 odnośnie blokad i tym podobnych
> 
>  Że tak się z głupia zapytam, żeby się upewnić. Stateful?
> 


Tak, zresztą z tego co widzę pf aktualnie automatycznie dodaje opcję
keep state (a właściwie śledzenie stanu) do regułki (zgodnie z manualem).
Ponadto, powtórne przeszukiwanie zestawu reguł dla każdego pakietu mogło
by być nie miłe ...


-- 
Kowalski Pawel
e-mail/jid argail(na)histeria.pl 
".. a oczy jego zrobiły sie duże i patrzyły z niedowierzaniem na innowierców ..."
".. 95% osób twierdzących że cierpią na dysortografię, to po prostu niedouczone pierwotniaki .. "