Proxy-forsinkelser over tid: kontrollér conntrack og ressourcegrænser

Proxyen svarer efter en genstart. Et par timer senere går nye forbindelser i stå. Endnu en genstart køber endnu et roligt interval. Mønstret tyder på ophobet tilstand, men det siger ikke, hvilken tilstand der er ansvarlig.

På en Linux-vej med forbindelsessporing er conntrack-tabellen en kandidat. Kontrollér disse eksisterende værdier på maskinen og i det netværksnavnerum, der håndterer trafikken:

/proc/sys/net/netfilter/nf_conntrack_count
/proc/sys/net/netfilter/nf_conntrack_max

Den første rapporterer tildelte flowposter; den anden begrænser dem. Det er ikke antal Squid-brugere eller HTTP-anmodninger. Kernens flowtilstand kan overleve applikationens aktive arbejde.

Led efter en sammenhæng, ikke bare et stort tal

Sammenlign belægningen over tid med begyndelsen af fejl på nye forbindelser og med relevante kernemeddelelser. Et højt tal uden tilsvarende fejlbevis er noget andet end en tabel, der gentagne gange rammer sin grænse, netop når anmodninger begynder at få timeout.

Tabellen kan betjene mere end proxyen. Andre lokale tjenester, videresendt trafik eller en anden travl netværksvej kan bidrage. At en genstart af proxyen ændrer symptomet beviser ikke, at Squids objektcache var årsagen.

Hold de konkurrerende forklaringer i syne: filedeskriptorer, køer hos godkendelseshjælpere, DNS-forsinkelser, hukommelsespres og et fuldt filsystem kan også blive værre over tid. Notér, hvilken ressource der vokser, og hvilke handlinger der først holder op med at virke. At langvarige forbindelser overlever, mens nye fejler, er nyttigt bevis, ikke en diagnose i sig selv.

At hæve en grænse har en hukommelsesomkostning. Fastlæg arbejdsbelastningen, navnerummet og den tilgængelige kapacitet, før du ændrer den. At forkorte timeouts vilkårligt kan ødelægge nyttige inaktive sessioner; at tømme hele forbindelsestilstanden kan forstyrre uvedkommende trafik.

Det nyttige resultat er en forklaring på ophobningen og en ændring af kapacitet eller livscyklus, der passer til den. Sikkert at hæve er ikke en egenskab, som enhver proxyserver deler.