https://opennet.me/openforum/vsluhforumID6/21574.html Проблема с большими задержками трафика при прохождении через Cisco. При &#1108;том мы используем меньше половины пропускной способности канала (слежу по snmp) а загрузка процессора Cisco целых 12%! памяти из 256Мб она сьела целых 50Мб.<br><br>Подробно:<br>Есть Cisco 1811, настроен мониторинг задержки пингов к определннмым хостам (шлюз провайдера, шлюз провайдера второго офиса, циско на втором офисе). Собственно для выявления узкого места.<br>Cisco стоит 3й день, до &#1108;того был роутер ASUS WL500gp с установленной OpenWRT.<br>Так вот пока был &#1108;тот асус мы горя не знали, но высокое начальство требует циску. На асусе были настроены очереди с приоритетами, все чудесно работало и не тормозило.<br>Поставили циску. Картинка на мониторинге сразу попестрела. Задержка до нашего шлюза стала прыгать выше 200мс!!! Что за фигня не ясно никак. Думал может flow-export грузит, убрал его. Настроил классы и policy-map на локальный интерфейс и добавил icmp в класс с найвысшим приоритетом. Не помогло. На внешнем интерфейсе стоит fai https://opennet.me/openforum/vsluhforumID6/21574.html#16 Fri, 17 Sep 2010 07:40:13 GMT Вопрос, а после настройки и применения service-policy надо прегружать Cisco?<br>Вчера игрались с CPP и настойкой фаерфола, что бы забить всякие ресурсы вроде онлайн видео, но остановильсь пока только на автоматической настройке, блокировок никаких не включали. И после &#1108;того резко стало хорошо. Всего пару задержек трафика когда действительно кто-то лез смотреть онлайн видео. Сегодня утром решил продолжить настройку фаервола и выясняю что оказывается циско пока я был на обеде перегрузилась и никакого там фаервола давно нету. Выходит ей помог ребут. Но я то до &#1108;того ее перегружал пару раз, и ничего не помогало. У меня вариант только с применением правильной service-policy и перегрузкой.<br><br><br> https://opennet.me/openforum/vsluhforumID6/21574.html#15 Tue, 14 Sep 2010 10:19:47 GMT fa0 - внешний интерфейс<br>vl1 - локальный<br>fa2 - физический локальный<br><br>Снято через минуту после очередной задержки<br><br>#sh int fa0<br>FastEthernet0 is up, line protocol is up <br> Hardware is PQ3_TSEC, address is xxxx.xxxx.xxxx (bia xxxx.xxxx.xxxx)<br> Description: $ETH-LAN$$FW_OUTSIDE$<br> Internet address is A.A.A.A/26<br> MTU 1500 bytes, BW 5120 Kbit/sec, DLY 100 usec, <br> reliability 255/255, txload 13/255, rxload 122/255<br> Encapsulation ARPA, loopback not set<br> Keepalive set (10 sec)<br> Full-duplex, 100Mb/s, 100BaseTX/FX<br> ARP type: ARPA, ARP Timeout 04:00:00<br> Last input 00:00:00, output 00:00:00, output hang never<br> Last clearing of "show interface" counters never<br> Input queue: 0/75/9/0 (size/max/drops/flushes); Total output drops: 2352<br> Queueing strategy: Class-based queueing<br> Output queue: 0/1000/0 (size/max total/drops)<br> 5 minute input rate 2464000 bits/sec, 340 packets/sec<br> 5 minute output rate 273000 bits/sec, 263 packets/sec<br> 52977017 packets input, 1250973053 bytes<br> Receive https://opennet.me/openforum/vsluhforumID6/21574.html#14 Mon, 13 Sep 2010 17:32:39 GMT &gt;Все ошибки в логах &#1108;то: <br>&gt;<br>&gt;%CRYPTO-4-IKMP_NO_SA: IKE message from x.x.x.x has no SA and is not an <br>&gt;initialization offer <br>&gt;и <br>&gt;CRYPTO_PKI: Can not select private key (TP-self-signed) <br>&gt;<br>&gt;Последнюю я исправил перегенерированием сертефиката. Вторая осталась, но исходя из частоты ее <br>&gt;появления (несколько раз в день а то и вообще ни одной), <br>&gt;я не связываю проблемы сними. <br><br>Не то.<br><br>sh int fa0 <br> https://opennet.me/openforum/vsluhforumID6/21574.html#13 Mon, 13 Sep 2010 14:19:12 GMT Все ошибки в логах &#1108;то:<br><br>%CRYPTO-4-IKMP_NO_SA: IKE message from x.x.x.x has no SA and is not an initialization offer<br>и<br>CRYPTO_PKI: Can not select private key (TP-self-signed)<br><br>Последнюю я исправил перегенерированием сертефиката. Вторая осталась, но исходя из частоты ее появления (несколько раз в день а то и вообще ни одной), я не связываю проблемы сними.<br> https://opennet.me/openforum/vsluhforumID6/21574.html#12 Mon, 13 Sep 2010 13:49:20 GMT &gt;Может есть у кого еще какие идеи? Проблема осталась. <br>&gt;Обновил IOS до Cisco IOS Software, C181X Software (C181X-ADVENTERPRISEK9-M), Version 12.4(24)T2, <br>&gt;RELEASE SOFTWARE (fc2). Посокращал все acl и class по максимому, что <br>&gt;б трафик быстрее анализировался. <br>&gt;Результата пока нет. Хорошо хоть голос теперь закачками не забивается. <br><br>Посмотрите ошибки на интерфейсах.<br><br> https://opennet.me/openforum/vsluhforumID6/21574.html#11 Mon, 13 Sep 2010 12:42:17 GMT Может есть у кого еще какие идеи? Проблема осталась.<br>Обновил IOS до Cisco IOS Software, C181X Software (C181X-ADVENTERPRISEK9-M), Version 12.4(24)T2, RELEASE SOFTWARE (fc2). Посокращал все acl и class по максимому, что б трафик быстрее анализировался.<br>Результата пока нет. Хорошо хоть голос теперь закачками не забивается.<br><br> https://opennet.me/openforum/vsluhforumID6/21574.html#10 Fri, 10 Sep 2010 15:25:35 GMT Вопрос с приоретизацией похоже решило, огромное спасибо!!!<br><br>Но вот задержки трафика все равно остались. Хочу сократить конфиг циско, поубирать максимум из него. Читал на сайте cisco.com что длину acl лучше не делать более 10 пунктов. Хотя проц как я говорил все равно не грузится.<br> https://opennet.me/openforum/vsluhforumID6/21574.html#9 Fri, 10 Sep 2010 14:59:37 GMT &gt;<br>&gt;Вот только вопрос есть, есть ли еще какая-то разница в использовании в <br>&gt;данном примере service-policy output для внешнего интерфейса, или input для внутреннего? <br>&gt;Кроме того что на внешнем уже отброшены все локальные и левые <br>&gt;пакеты из локальной сети, и соответствено я так понимаю роутер меньше <br>&gt;грузится. <br><br>На входном интерфейсе приретизацию не делают - пакет уже пришел, приоретизировать нечего.<br> https://opennet.me/openforum/vsluhforumID6/21574.html#8 Fri, 10 Sep 2010 13:45:43 GMT &gt;[оверквотинг удален]<br>&gt;<br>&gt;policy-map InetOut <br>&gt; class Voice <br>&gt; priority percent 30 <br>&gt; class Controls <br>&gt; priority percent 20 <br>&gt;..... <br>&gt; class class-default <br>&gt; fair-queue <br>&gt; random-detect <br><br>Сделал вот так<br><br>policy-map InetOut<br> class Voice<br> priority percent 40<br> class Controls<br> priority percent 10<br> class Tunnels<br> priority percent 25<br> class class-default<br> fair-queue<br> random-detect<br>policy-map ShapeOut<br> class class-default<br> shape average 5100000<br> service-policy InetOut<br><br><br>interface FastEthernet0<br>...<br> service-policy output ShapeOut<br><br><br>Вот только вопрос есть, есть ли еще какая-то разница в использовании в данном примере service-policy output для внешнего интерфейса, или input для внутреннего? Кроме того что на внешнем уже отброшены все локальные и левые пакеты из локальной сети, и соответствено я так понимаю роутер меньше грузится.<br><br>