Прошу помощи по Squid (проблема со скоростью)

Борис · Сообщение **Борис** » 19.10.2018,17:13

проблема со скоростью

Коллеги добрый день. Ситуация
имеем канал связи 100мегабит
Имеем первый прозрачный прокси сервер Squid который установлен на центосе 6.4 на машине которая смотрит в интернет сетевыми интерфейсами.
С ним все отлично работает и скорость хорошая, но нет авторизации для контроля трафика(Внезапно захотелось руководству)
Подняли второй прокси сервер на центосе7.4 Сквид с нтлм аутентификацией и ввели в домен, все отлично работает, пользователи авторизуются логи читаем SARGом. Каких то настроек по ограничению скорости не делали.
С самого второго прокси сервера скорость тестировал каким то скриптом который показывал то же около 100мегабит,
НО перед тем как ввести его в эксплуатацию начали тестировать скорость авторизованных пользователей, и оказалось что скорость не поднимается выше 16мегабит.(сразу на нескольких компах не успели проверить, но на одном если запустить несколько закачек то скорость делится на количество закачек.)
Конфиги скину если будут люди кто бы смог помочь.

strikulistov · Сообщение **strikulistov** » 19.10.2018,20:04

Добрый день.

Борис писал(а):сразу на нескольких компах не успели проверить

а надо бы проверить для чистоты эксперимента.

Борис писал(а):если запустить несколько закачек то скорость делится на количество закачек

Закачек чего? Откуда? и Чем?
Сам я не великий специалист, но попробую узнать у более компетентных коллег на работе узнать. Только протестируйте на нескольких машинах и сообщите чем и что качаете.

Alitius · Сообщение **Alitius** » 19.10.2018,21:08

Хм, а если потребуется просто ldap аутентификация вы третий экземпляр сквид развернете?
Чем больше будет промежуточных звеньев, тем сильнее будет просаживаться скорость.
Если вы не нарезали в сквиде ограничений по скорости, то она может падать из-за чего угодно, например от производительности серверов, или каналов связи, также учтите, что при каждом чихе из браузера идет обращение к AD.
По собственному опыту могу сказать, что 100 мб/с при работе через сквид вы не получите.

Фаерволом что стоит?

Борис · Сообщение **Борис** » 20.10.2018,06:19

Уточнил ситуацию
напомню что канал 100мегабит.
1)Если я со своего ПК со старой - первой прокси без авторизации качаю файл(платформу1с с офиц. сайта через браузер, установочник скайпа, ) везде показывает более 4мегабайт и скорость растет, то есть более 50мегабит и вероятно поднялось бы выше, быстро скачиваются файлы если запускаю тест яндекс интернетометр то показывает до 89-90мегабит.(пользователи не работают сейчас)
2)если я качаю со своей новой прокси эти же файлы то показывает не более 1.7-1.8мегабайт в секунду. если запускаю тест яндекс интернетометр то показывает от 14 до 16 мегабит. Если запустить несколько тестов одновременно, то скорость делится пропорционально количеству тестов. Если запустить скачку с нескольких ПК под разными учетками то скорость скачки вышеобозначенных файлов делится на количество учеток. Т.о. почему то вторая прокся с авторизацией ограничивает своих пользователей каналом в районе 16мегабит.
Если запустить проверку скорости на самой второй проксе
wget -O - https://raw.githubusercontent.com/sivel ... eedtest.py | python
то она показывает результаты около 85-90мегабит.
Т.о. сама прокся выходит в инет с нормальным каналом.

Фаервол на второй проксе на центосе 7.4 отключен. на первой проксе центосе 6.4 iptables

Уточню так же что вторая прокся находится на виртуалке, 4гига памяти 4 ядра файловая подсистема 6 сас дисков в 10 рейде. 50гб свободного пространства. соединяются через 1 свитч. Перенос ее на другой виртуальный сервер не изменил ситуацию.

Alitius · Сообщение **Alitius** » 20.10.2018,09:52

Я правильно понимаю, что вторая прокся также является шлюзом в и-нет? Или она ломиться в и-нет через первый шлюз с настроенным iptables?
Выделенных ресурсов вполне достаточно.
Покажите конфиг сквида.

Alvares · Сообщение **Alvares** » 20.10.2018,14:03

на гипервизоре виртуалкам ограничения на скорость сети не задано?

Борис · Сообщение **Борис** » 20.10.2018,14:46

вторая прокся ломится в инет через первую. По другому сделать невозможно по орг. причинам.
конфиги двух проксей.
айпи адрес второй прокси 54.241

Причем особенность еще такая что исходящий трафик при тестировании показывает результаты около 95 мегабит.
Т.о. проблема только с входящим трафиком.

Alitius · Сообщение **Alitius** » 20.10.2018,16:26

Iptables на первой проксе выпускает вторую проксю в и-нет без ограничений? Автоматического заворота всего трафика на проксю на первом серваке не стоит?

С телефона тяжело конфиги читать, но на первый взгляд ничего криминального не вижу. В пнд на работе сравню со своими, задно и скорость скачки померяю для интереса.

Борис · Сообщение **Борис** » 20.10.2018,17:53

В айпитейблс ограничений для скорости не знал что можно поставить. Его настраивали до меня.
У нас уже поздно завтра гляну конфиг айпитейблса на гейте там где основная прокся.

Про автоматический заворот не понял...

Alitius · Сообщение **Alitius** » 20.10.2018,18:09

Борис писал(а):В айпитейблс ограничений для скорости не знал что можно поставить. Его настраивали до меня.

Надо понять вообще какие правила iptables применяются по отношению ко второй проксе.

Борис писал(а):Про автоматический заворот не понял...

Каким образом клиенты получают настройки прокси? С прозрачным прокси возможен вариант с автоматическим пробросом некоторых портов на сквид с помощью фаервола. Это я про первую проксю говорю.

Борис · Сообщение **Борис** » 20.10.2018,18:50

Ограничений на гипервизоре нет. Обычные виртуалки на 2012r2 встроенный Hyper-V

Каким образом клиенты получают настройки прокси? С прозрачным прокси возможен вариант с автоматическим пробросом некоторых портов на сквид с помощью фаервола. Это я про первую проксю говорю.
Клиенты получают настройки первой прокси через Групповые политики прописываем им в свойства обозревателя.
Прозрачный в смысле не требует авторизации.

Надо понять вообще какие правила iptables применяются по отношению ко второй проксе.
Согласен.

Обе прокси идут через один iptables, но с одной все хорошо с входящим трафиком а с другой плохо, в айпитейблс айпи адреса второй прокси не нашел так же как и своего пк.