FreeBSD 6.3

Собственно непереодически нагрузка на один из трех екземпляров natd с нормальных 6-10% вырастает до 90-110+% с сопутствующими тормозами.

Чувствую связано с тем что засыпаеться он просто по количеству сессий от одного или нескольких пользователей скажем с вирусней.

А найти как кто скушивает весь его ресурс?

• высокая нагрузка на natd ,Alex, 22:17 , 11-Май-09
  • высокая нагрузка на natd ,sabako, 22:57 , 11-Май-09
    • высокая нагрузка на natd ,Pahanivo, 07:51 , 12-Май-09
      • высокая нагрузка на natd ,sabako, 11:34 , 12-Май-09
        • высокая нагрузка на natd ,dot22, 11:47 , 12-Май-09
          • высокая нагрузка на natd ,Pahanivo, 12:09 , 12-Май-09
            • высокая нагрузка на natd ,sabako, 23:08 , 12-Май-09
• высокая нагрузка на natd ,аноним, 06:19 , 12-Май-09
  • высокая нагрузка на natd ,sabako, 11:31 , 12-Май-09

>FreeBSD 6.3
>
>Собственно непереодически нагрузка на один из трех екземпляров natd с нормальных 6-10%
>вырастает до 90-110+% с сопутствующими тормозами.
>
>Чувствую связано с тем что засыпаеться он просто по количеству сессий от
>одного или нескольких пользователей скажем с вирусней.
>
>А найти как кто скушивает весь его ресурс?

Я бы на вашем месте искать не стал а поставил
ipnat, pfnat. Настройки элементарные в стиле "кого и куда".
Значительно более производительнее natd.
(И это не просто сообщение в стиле "у кого лучше", я вам за факты говорю потому что был в такой же ситуации )

>Я бы на вашем месте искать не стал а поставил
>ipnat, pfnat. Настройки элементарные в стиле "кого и куда".
>Значительно более производительнее natd.
>(И это не просто сообщение в стиле "у кого лучше", я вам
>за факты говорю потому что был в такой же ситуации )
>

В любом случае переход если куда-то и планируеться только на нормальную автономку с прямыми айпишками для всех юзеров. Причины использования конкретно связки ipfw2+natd есть - как минимум они мотивируються привязкой к балансировке и двум биллингам. Именно по тойже причине и давно не ядерный нат из 7 фрей.

Вопрос был вполне конкретным - как определить кто скушал все ресурсы конкретного natd даже на затюненном до полусмерти sysctl на машине которая в нормальных условиях на 3 натд проначивает порядка 80 мбит без проблем?

>[оверквотинг удален]
>В любом случае переход если куда-то и планируеться только на нормальную автономку
>с прямыми айпишками для всех юзеров. Причины использования конкретно связки ipfw2+natd
>есть - как минимум они мотивируються привязкой к балансировке и двум
>биллингам. Именно по тойже причине и давно не ядерный нат из
>7 фрей.
>
>Вопрос был вполне конкретным - как определить кто скушал все ресурсы конкретного
>natd даже на затюненном до полусмерти sysctl на машине которая в
>нормальных условиях на 3 натд проначивает порядка 80 мбит без проблем?
>

man natd
-verbose

>
>man natd
>-verbose

понял, спасибо :)

А в чем еще можно в живую кроме tcpdump и trafshow траффик на интерфейсе с целью определить самых активных пользователей с вирусней?

>>
>>man natd
>>-verbose
>
>понял, спасибо :)
>
>А в чем еще можно в живую кроме tcpdump и trafshow траффик
>на интерфейсе с целью определить самых активных пользователей с вирусней?

iftop

>>>
>>>man natd
>>>-verbose
>>
>>понял, спасибо :)
>>
>>А в чем еще можно в живую кроме tcpdump и trafshow траффик
>>на интерфейсе с целью определить самых активных пользователей с вирусней?
>
>iftop

если под вирусней вы подразумеваете спам ботов - то все просто
ipfw add count log from my_customer's_nets to any dst-port setup
дале сидим и смотрим в логе от кого летит куча коннектов на 25

>если под вирусней вы подразумеваете спам ботов - то все просто
>ipfw add count log from my_customer's_nets to any dst-port setup
>дале сидим и смотрим в логе от кого летит куча коннектов на
>25

А если подразумеваем множественные коннекты по разным портам от сотни юзеров на интерфейсе? Отлавливать таких в принципе можно при помощи trafshow но неприятно :\

Было бы просто чудно видеть просто колличество устанавливаемых сессий от конкретных айпишек.

Для начала выкиньте natd и используйте нормальную трансляцию в ядре.

>Для начала выкиньте natd и используйте нормальную трансляцию в ядре.

для начала я уже упомянул причины по которым этого не будет. также как и перехода на pf, также как и ipnat, также как и ngnat