NAT+QOS na Xeon X3470 (2.93GHz), něco přes 2600 uživatelů, špičky někde u 700Mbit. Vytížení relativně nevýznamné, do 30%. Do gigabitu strach nijak zvlášť nemám, co potom, to je otázka. Dost by měl pomoci přechod na novou sandybridge platformu, tedy např. Xeony E3. Akorát všechny testy se týkaly routingu, nikoliv NATky či QOSu, ale rozhodně není problém se přiblížit 10Gbitům.
Mám takový pocit, že tam ale hraje roli jiná věc: není to mikrotik. NAT je vlastně moje řešení (strom pravidel v netfilteru), QOS je založeno na upraveném generátoru Prometheus. Což jsou zase optimalizovaná pravidla pro mangle a TC filtery. Upravenost spočívá především v tom, že část internetu (NIX, cca 40 tisíc sítí) obchází uživatelské třídy a je jakoby neomezovaná (je tam jen jedna SFQ třída).
Ono pro tohle je už prostě potřeba optimalizovat. Např. QOS pomocí markovacích pravidel v mangle (jakkoliv optimalizovaných) je zabiják. Z přetíženého serveru lze udělat flákající se jenom tím, že se ty pravidla přepíšou na CLASSIFY targety. Druhý krok by byl opustit netfilter v tomto případě úplně a používat hashovací tabulky přímo v TC filterech.
Pokud je nutné na takové mašině i filtrovat, je nutné využívat IPSET, nikoliv jednotlivá pravidla v netfilteru. Nárůst výkonu je opět významný.
Pokud není potřeba conntrack, tak vypnout (nepoužívat a nejlépe smazat i pro jistotu modul). Ale pokud se NATkuje, tak to samozřejmě nejde.
A když je opravdu problém, tak rozdělit NAT a QOS. Ale to už tolik nepřinese. Byť je to jenom můj (bohužel subjektivní) názor. Největší žrout bude totiž ta NATka, která je skoro neoptimalizovatelná.
A pokud všechno selže, musí se přesunout NAT blíž k uživatelům. Jenže to jde jak u koho. Pokud je dostatek IP adres, lze to udělat. Bohužel ať počítám jak počítám, tak v naší struktuře nedokážu ty 4 tisíce adres optimálně rozdělit na ty bližší routery. Jiné topologie ale můžou mít tento problém menší.
A všechno to dohromady spíš než na trafficu záleží na paketech :-) Takže může dost pomoci to na bližších routerech trochu filtrovat.
Otazka: No nasadit jako gateway pro konetk do 1G. /idealne nejake cisco?/
