Настройка сервера под высокую нагрузку

P
На сайте с 08.03.2007
Offline
250
#111
homer18:
Другого - это какого? Я ещё в первом посте очень просил подсказать в каком направлении можно пофантазировать :)

Фантазировать уже можно заканчивать. Постарайтесь воспроизвести проблему. Мне кажется, что SYN_cookies не объясняет задержку с первым заходом пользователя и отсутствием задержек с последующими заходами. DNS объясняет, обработка сессий объясняет, но SYN_cookies и фильтры DDOS давали бы задержку при каждом заходе. Может действительно Вы банально на nginx логируете заходы с поиском имён в DNS? Конечно, если Ваш трафик принят каким-то оборудованием за DDOS и как-то хитро фильтровали, то мало что можно сейчас сделать, но трафик то в пике даже далеко не фантастический.

[Удален]
#112
homer18:
StartServers 5
MinSpareServers 5
MaxSpareServers 10
MaxClients 150
MaxRequestsPerChild 0

очень мало для вас, если судить по графику метрики

P
На сайте с 08.03.2007
Offline
250
#113
Sandalia:
очень мало для вас, если судить по графику метрики

Куда уж больше.

M
На сайте с 16.09.2009
Offline
278
#114
iopiop:
спрашивайте!

Ну, для начала опишите проблемы - прямо по вики. Всего делов - нормально перевести. Осилите?

iopiop:
слышал я о кузнецове.

Ну и что именно вы "слышали", кроме обиженных воплей тов. Бернштейна?

iopiop:
товарищь D. J. Bernstein тоже слышал, кстати. вот буквально, как раз о син-куках ... никого не напоминает :)

Напоминает. Самого D. J. Bernstein, тот еще тролль.

Сидит, понимаешь лыцарь - и на бой вызывает всяких "засранцев". Нет написать в рассылку ядра, потом предъявить: "я написал а мне не ответили".

zexis:
Мой вопрос в том чем опасно включение сикуков

Вы прочитали текст из вики, вернее процитировали. Правильно я понимаю, что проблема в отсутствии перевода?

Andreyka:
А он уже смирился с тем, что в дебьяне на выбор только два варианта. Или допотопная версия или сырая.

1) Чем конкретно 0.7.x допотопны? Кроме цифирки.

2) Ну, я использую 1.0.11. А у вас с этим проблемы? Если актуально и есть денюшка, могу собрать персонально тебе пакет.

homer18:
Сервер подключен к 100мбитному каналу (не гарантированному), но обычно все 100мбит доступны

Вот я почему-то так и думал. На НГ с этим вполне могли быть проблемы, верно?

45-50мбит/с (хотелось бы на картинку загрузки канала посмотреть, нешто нету?) - это фактически уже вся труба.

Хотя, согласен с Pilat - больше похоже все-таки на проблему уровня приложений, как я и писал раньше.

Абонементное сопровождение серверов (Debian) Отправить личное сообщение (), написать письмо ().
M
На сайте с 01.12.2009
Offline
235
#115
zexis:
В основе механизма синкуков лежит, то что когда очередь полуоткрытых соединений заполнена, новые соединения не ставятся в очередь, а сервер в своем ответе SYN+ACK в 32-битном поле TCP заголовка Sequence number указывает число вычисленное по определенному алгоритму и только клиент с настоящим IP получает пакет SYN+ACK и отвечает правильным пакетом ACK.

На википедии довольно ясно описан алгоритм работы синкуков
http://en.wikipedia.org/wiki/SYN_cookies

там пишется о трех возможных проблемах, которые он вызывает.
1. First, the server is limited to only 8 unique MSS values, as that's all that can be encoded in 3 bits.
2. Second, the server must reject all TCP options (such as large windows), because the server discards the SYN queue entry where that information would otherwise be stored.
3. Third, a connection may freeze when the final ACK of the three-way handshake is lost and the client first awaits data from the server

Также там пишется, что эти ограничения возникают лишь во время атаки, а пока атаки нет (Очередь соединений не заполнена) механизм синкуки не используется.

Furthermore, these restrictions need only apply when the server is under attack, and the connection would have otherwise been denied. In such a situation, the loss of a few of the more esoteric options in order to save the connection is usually a reasonable compromise.

Я не вижу аргументов, почему синкуки нужно выключать, когда нет атаки.
Кто то может такие аргументы привести?

А глаза ниже в вики не опустились ? дотянул до середины только, чё за люди :)

Использование Cookies SYN не нарушает любого протокола, спецификации, и поэтому должны быть совместимы со всеми реализациями TCP. Есть, однако, три предостережения, которые вступают в силу, когда SYN-Cookies используются. Во-первых, сервер ограничивается только 8 уникальные значения MSS, а это все, что может быть закодирована в 3 бита. Во-вторых, сервер должен отклонять все TCP варианты (например, большие окна), так как сервер отбрасывает вступление SYN очередь, где эту информацию в противном случае будут сохранены. В-третьих, соединение может замерзнуть при окончательном ACK из трех путей теряется, и клиент сначала ждет данные с сервера (то есть клиент завершил трехэтапного, сервер не может получить клиента ACK и, следовательно, на самом деле не открыли соединение). [1]

Хотя эти ограничения обязательно приводит к неоптимальной опыт, их влияние редко замечены клиентами. Кроме того, эти ограничения нужно применить, когда сервер находится под атакой, и связь противном случае были бы отклонены. В такой ситуации, потеря нескольких из более эзотерические варианты для того, чтобы сохранить подключение, как правило, разумный компромисс.

Включать надо тогда когда он потребный, я на практике встречал, потерю трафика, лиш потому, что система видела syn flood, влияние задержек от дц,или что то на транзитах делалось,или просто запрос у клиента кривой, а если 300 клиентов в сикунду то таких запросов может быть много, для сервера может было бы и не заметно все эти проблемы, если не атака, а вот механизм включился, и на время яндекс метрика начала показывать провалы, с хера ли ?, клиент мне пишит, я смотрю атаки нету, а глюки в трафике есть.

А для доров это проблема 100% там сервер сходит сума , атаки...атаки... :)

p.s Ситуации разные и всякое бывает.

Администратор Linux,Freebsd. построения крупных проектов.
Andreyka
На сайте с 19.02.2005
Offline
822
#116
myhand:


1) Чем конкретно 0.7.x допотопны? Кроме цифирки.

2) Ну, я использую 1.0.11. А у вас с этим проблемы? Если актуально и есть денюшка, могу собрать персонально тебе пакет.

Вот я почему-то так и думал. На НГ с этим вполне могли быть проблемы, верно?

45-50мбит/с (хотелось бы на картинку загрузки канала посмотреть, нешто нету?) - это фактически уже вся труба.

Хотя, согласен с Pilat - больше похоже все-таки на проблему уровня приложений, как я и писал раньше.

1 не поддерживается разработчиком

2 я тоже могу собрать пакет, непонятно онд - зачем держать в дистре старье?

Не стоит плодить сущности без необходимости
[Удален]
#117
Pilat:
Куда уж больше.

на порядок все увеличьте

какой конфиг сервера?

M
На сайте с 16.09.2009
Offline
278
#118
Andreyka:
1 не поддерживается разработчиком

Кто тебе такое написал?

Andreyka:
2 я тоже могу собрать пакет, непонятно онд - зачем держать в дистре старье?

Старый релиз "держат" потому, что в stable нельзя ломать функционал ПО. Если вам нужна почему-то новая версия - возьмите новую версию. Многих устраивает и старый функционал + исправление критических ошибок и безопасности.

Вот только болтовня это. Ты ведь даже не привел список функционала, который тебе требуется и которого нет в 0.7. Как просили. Получается, 1.0 нужен тебе ради цифирки?

Andreyka
На сайте с 19.02.2005
Offline
822
#119
myhand:
Кто тебе такое написал?
Старый релиз "держат" потому, что в stable нельзя ломать функционал ПО. Если вам нужна почему-то новая версия - возьмите новую версию. Многих устраивает и старый функционал + исправление критических ошибок и безопасности.

Вот только болтовня это. Ты ведь даже не привел список функционала, который тебе требуется и которого нет в 0.7. Как просили. Получается, 1.0 нужен тебе ради цифирки?

Интересно, что сломается от замены 0.7 на 1.0? Ничего. Просто тормозной механизм дает два варианта - устаревший и нестабильный.

1. На сайте разработчика указаны поддерживающиеся релизы. URL сам нагуглишь?

2. Например для robo.

M
На сайте с 01.12.2009
Offline
235
#120
Andreyka:
Интересно, что сломается от замены 0.7 на 1.0? Ничего. Просто тормозной механизм дает два варианта - устаревший и нестабильный.


1. На сайте разработчика указаны поддерживающиеся релизы. URL сам нагуглишь?

2. Например для robo.

Каждому по возможности, и каждому по потребности, 0-7 является стабильной версией, но без поддержки, 1.0.5 является стабильной на данный момент c поддержкой, у меня стоит 1.1.8 я пока не вижу проблем, хотя пишут есть они, но видь они не критичные ? и меня пока это не затронуло, а значит всё работает как положено если тебе надо какае-то хрень типа robo скомпилируй nginx да пользуйся. показать мануал как это делать ? или сам найдёшь.

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий