|
ru.linux
- RU.LINUX ---------------------------------------------------------------------
From : Slava Astashonok 2:5020/400 21 Oct 2003 00:23:34
To : Vladimir Goncharov
Subject : Re: аналог ip accounting
--------------------------------------------------------------------------------
Vladimir Goncharov wrote:
> Slava Astashonok <sla@0n.ru> wrote:
>
> Hет. Hе устраивает потому, что когда я заинтересовался этим вопросом, разница
> между iptables и tcpdump составляла >10%. С тех пор загрузка выросла.
> Предыдущие системы учета трафика у меня были как раз построены на базе
> libpcap в разных ипостасях, переход на учет через iptables был вынужденым
Так вот я во второй раз повторю: такие программы требуют real-time
приоритет:
schedp.sched_priority = 1; sched_setscheduler(0, SCHED_FIFO, &schedp);
Иными словами, напильником эти 10% можно было сточить до 0.1%, а то и
еще меньше. К слову, ulog-based снифер мне тоже пришлось наделять
real-time приоритетом - он, бедолага, как и pcap-based просто-напросто
не успевал считывать пришедшие пакеты из буфера и тот переполнялся.
> SA> И что, в сердце этой статистики будет правило iptables -A FORWARD -j
> SA> ULOG? Иными словами, каждый пакет будет порождать еще один пакет? Что ж,
> SA> может, так оно и удобней, только роутер понадобиться вдвое мощнее, чем
> SA> для pcap-based системы.
> Hу, во-первых, мне попадаалось утверждение, что новые версии iptables умеют
> группировать пакеты. Hа ум приходит цифры 1..50, но я не уверен. Во-вторых,
> надо посмотреть, как будет влиять рассылка таких пакетов на загрузку.
> Будем посмотреть, в общем.
Hу, так вот, провел я небольшое исследование "pcap vs ulog" и выяснил,
что захват через ulog (с --ulog-qthreshold 50 и с соответсвующего
размера буфером чтения в снифере) потребляет на 20-25% меньше
процессорного времени, чем через pcap, что вместе с его информативностью
ставит этот метод вне конкуренции для netflow-like статистик на linux.
Если есть желающие узнать подробности - расскажу, сейчас недосуг.
--
Do you guys know what you're doing, or are you just hacking?
--- ifmail v.2.15dev5
* Origin: Demos online service (2:5020/400)
Вернуться к списку тем, сортированных по: возрастание даты уменьшение даты тема автор
|
