+7 495 320-55-52
- Назад
- Телефоны
- +7 495 320-55-52
- Заказать звонок
info@mikrotik.moscow
г. Москва, ул. Бакунинская, 84
Пн-Пт: 09-00 до 18-00
Сб-Вс: выходной

Реализация Port-Mirror на RB3011 (замедление до 150 Мбит/с)

Реализация Port-Mirror на RB3011 (замедление до 150 Мбит/с), RouterOS

bekax5

Guest

07.11.2017 00:02:00

Всем привет. У меня RB3011 с гигабитным FTTH. Эта гигабитная линия у меня недавно, и я всё ещё оптимизирую роутер под такую настройку. В любом случае, я заметил, что без настройки зеркалирования стабильно получаю свыше 920 Мбит/с. Но если настроить зеркалирование с eth1 на eth2, скорость не поднимается выше 750 Мбит/с! Загрузка процессора не превышает 40–50%. Как узнать, плохая ли это реализация или что вообще происходит? Разве этот зеркальный порт отправляет на eth2 и входящий, и исходящий трафик? Что происходит, если я посылаю 1 Гбит/с в полном дуплексе? Он что, теряет половину пакетов?

sindy

Guest

08.05.2018 23:04:00

Как можно увидеть на блок-схеме в одном из предыдущих постов, порты CPU в коммутаторе тоже имеют скорость всего 1 Гбит/с на каждое ядро процессора, так что у вас снова будет та же проблема, да ещё и с производительностью процессора.

bekax5

Guest

30.04.2018 08:12:00

Недавно я снова вернулся к реализации зеркала. Эта проблема всё ещё возникает с роутером. Она происходит с обеими группами коммутаторов. Потери пакетов не наблюдается, равно как и полного использования CPU или ядра. К сожалению, это ограничивает реальный «живой» интернет-трафик, поэтому использовать это решение пока нельзя, пока проблема не будет решена. Что может быть причиной? Кто-то может воспроизвести такое поведение?

bekax5 Guest	#4 0 08.05.2018 09:52:00 Все ещё ищу помощь с этим. Кто-нибудь?

sindy

Guest

08.05.2018 11:13:00

Ну вот, ты сам заметил, что есть физическое ограничение. У порта для зеркалирования пропускная способность всего 1 Гбит/с, а функция зеркалирования в самом чипе коммутатора (то есть без участия процессора и без нагрузки на CPU) может отражать трафик только в обеих направлениях с одного зеркалируемого порта (источника зеркалирования). Так что, если суммарный трафик в обе стороны на этом источнике превышает пропускную способность порта назначения зеркалирования, “что-то” должно произойти. Возможные варианты:

- отбросить только зеркалируемый кадр, тогда исходный кадр пройдет до назначения, но копию увидеть на устройстве, подключенном к зеркалируемому порту, не удастся;
- отбросить исходный кадр (но это сильно повлияет на трафик, и на самом деле ни один коммутатор так не делает);
- задержать отправку исходного кадра, пока его копия не отправится через порт назначения зеркалирования.

Поскольку очередь для задержки не может быть бесконечной, вы можете отсрочить только ограниченное количество кадров. Если кадры продолжают поступать, их всё равно придется начинать отбрасывать. Но “счастливые” кадры не отбрасываются, и если большая часть трафика — это TCP, который автоматически подстраивается под задержки, такая стратегия может привести к замедлению без потерь. Задержка одного кадра в потоке вызывает задержку соответствующего подтверждения (ACK), и источник перестает отправлять данные, пока не получит этот ACK. На самом деле всё сложнее, так как не каждый пакет требует подтверждения, но суть именно в этом.

Что именно делает конкретно модель 8337 — сказать сложно, но по твоему наблюдению кажется, что она использует стратегию “задержи и надейся”. Более продвинутые (читай: более дорогие) коммутаторы могут зеркалировать каждое направление отдельно, полностью избегая этой проблемы.

bekax5

Guest

08.05.2018 14:59:00

Спасибо за ответ. Да, похоже, именно так и происходит. Я просто думал, что кто-то может столкнуться с такими же ограничениями, как и я, и было странно, что не хватает примерно 150 Мбит/с до реальных скоростей гигабитной линии, что, как вы объяснили, и вызывает это замедление. Так что, видимо, это не то решение, которое я хочу использовать, ведь полный гигабит — всегда приятно иметь. К сожалению, придется менять конфигурацию на некоторых машинах, которые работали только как снифферы без IP.

Кстати, вы не в курсе, вызывает ли опция Mangle «sniff-tzsp» такое же поведение, как Packet Sniffer с sniffer-server, который отключает «Fasttrack» и «Fastpath» при работе? В вики я ничего об этом не нашёл, но...

sindy

Guest

08.05.2018 15:45:00

Плохие новости, конечно. Fasttrack — это fastpath вместе с отслеживанием соединений, и его суть в минимизации нагрузки процессора при обработке пакетов. Сниффинг находится выше по стеку, чем fastpath, и неважно, сохраняются ли прослушанные пакеты локально или к ним добавляется заголовок TZSP и они отправляются дальше (ну, с той лишь разницей, что локально сохранённые пакеты не занимают пропускную способность CPU-порта коммутатора дважды). Даже если бы это и не ломало fast-что-то, прослушивание на CPU всё равно ограничивало бы пропускную способность сильнее, чем зеркалирование порта, потому что кадры с коммутатора должны были бы идти в процессор (а при tzsp-сниффинге ещё и обратно), вместо того чтобы просто дублироваться локально на чипе коммутатора.

bekax5

Guest

08.05.2018 22:20:00

Ох, печально. Я действительно ожидал, что этого не случится, ведь в Вики об этом не было ни слова =( Ну да, это бы тоже ограничило, но, думаю, это связано с производительностью процессора, который, кажется, может справляться примерно на 60% лучше того, что я ему сейчас задаю (с гигабитом). Но раз это ломает быстрые технологии, значит, у этого тоже есть свои проблемы. В итоге я оказался в довольно сложной ситуации.

chechito Guest	#9 0 08.05.2018 22:27:00 Как ты делаешь зеркалирование? Может, лучше использовать чип коммутатора для аппаратного зеркалирования.

bekax5 Guest	#10 0 09.05.2018 00:16:00 О, ты прав! Понял. Думаю, оставить всё как есть всё же будет лучшим решением в целом. В моём втором посте есть изображение, на котором показано, что я делаю зеркалирование через свитч-чип. Хотя, как сказала Синди, кажется, что исходящий трафик задерживается, из-за чего возникает замедление, чтобы его зеркальная копия могла быть отправлена.

Читают тему

Главная Каталог 0 Корзина 0 Избранные Кабинет 0 Сравнение Акции Контакты Услуги Бренды Отзывы Компания Лицензии Документы Реквизиты Поиск Блог Обзоры