Ralentizaciones del proxy con el tiempo: revisa conntrack y los límites de recursos

El proxy responde tras un reinicio. Unas horas después, las conexiones nuevas se atascan. Reiniciarlo compra otro intervalo tranquilo. Ese patrón sugiere un estado que se acumula, pero no identifica qué estado es el responsable.

En una ruta Linux que usa seguimiento de conexiones, un candidato es la tabla conntrack. Comprueba estos valores existentes en la máquina y en el espacio de nombres de red que gestiona el tráfico:

/proc/sys/net/netfilter/nf_conntrack_count
/proc/sys/net/netfilter/nf_conntrack_max

El primero informa de las entradas de flujo asignadas; el segundo las limita. No son recuentos de usuarios de Squid ni de peticiones HTTP. El estado de flujo del núcleo puede sobrevivir al trabajo activo de la aplicación.

Busca una relación, no solo un número grande

Compara la ocupación a lo largo del tiempo con la aparición de fallos en conexiones nuevas y con los mensajes relevantes del núcleo. Un recuento alto sin pruebas de fallo correspondientes es distinto de una tabla que alcanza su límite repetidamente justo cuando las peticiones empiezan a agotar el tiempo de espera.

La tabla puede servir a más que al proxy. Otros servicios locales, el tráfico reenviado o otra ruta de red ocupada pueden contribuir. Que reiniciar el proxy cambie el síntoma no demuestra que la caché de objetos de Squid lo causara.

Mantén a la vista las explicaciones competidoras: descriptores de archivo, colas de los ayudantes de autenticación, retrasos de DNS, presión de memoria y un sistema de archivos lleno también pueden empeorar con el tiempo. Anota qué recurso crece y qué operaciones dejan de funcionar primero. Que las conexiones de larga vida sobrevivan mientras las nuevas fallan es una prueba útil, no un diagnóstico por sí solo.

Subir un límite tiene un coste de memoria. Antes de cambiarlo, establece la carga de trabajo, el espacio de nombres y la capacidad disponible. Acortar los tiempos de espera sin criterio puede romper sesiones inactivas útiles; vaciar todo el estado de conexiones puede interrumpir tráfico no relacionado.

El resultado útil es una explicación de la acumulación y un cambio de capacidad o de ciclo de vida que encaje con ella. Seguro de subir no es una propiedad que comparta todo servidor proxy.