Quand les auxiliaires d’authentification de Squid deviennent un goulot d’étranglement

Une requête proxy peut attendre la vérification des identifiants avant d’atteindre sa destination. Si les connexions sans authentification et les validations déjà en cache diffèrent des nouvelles connexions authentifiées, examinez le chemin d’authentification avant de changer les délais réseau.

Squid 6.13 exécute des auxiliaires d’authentification externes. Un annuaire lent, un fichier de comptes illisible, des arrêts répétés d’auxiliaires ou trop peu d’auxiliaires disponibles peuvent affecter cette étape de façons différentes.

Trouver l’étape réellement limitante

Consultez le journal cache pour les échecs de démarrage, arrêts d’auxiliaires et messages de surcharge. Si des statistiques locales d’administration protégées sont disponibles, examinez-y l’activité des auxiliaires. N’exposez pas publiquement un point d’administration uniquement pour obtenir des compteurs.

Testez le backend indépendamment avec un compte de test. Un auxiliaire incapable de terminer une seule validation a besoin d’une correction fonctionnelle ; lancer plus de copies ne répare pas une erreur de chemin ou de droits.

Le nombre de processus n’est pas la concurrence du protocole

Voici un exemple de pool de processus borné :

auth_param basic children 16 startup=2 idle=2

Ici, le nombre maximal de processus, le nombre initial et la disponibilité inactive souhaitée ont des rôles différents. Les valeurs sont illustratives. Adaptez-les à la demande mesurée et aux limites de connexions et de ressources du backend.

L’option concurrency distincte modifie le protocole utilisé par Squid pour dialoguer avec l’auxiliaire. Ce n’est pas un bouton général de performance. Activez-la seulement si cet auxiliaire prend explicitement en charge les identifiants de canal requis et les requêtes simultanées.

La mise en cache des identifiants influe aussi sur la fréquence nécessaire des validations. Réduire leur durée de vie sans changer le pool peut augmenter le travail même si le trafic de navigation reste constant.

Après un changement, analysez la configuration et comparez délai d’authentification, erreurs et charge du backend avec une charge autorisée représentative. Une analyse réussie confirme la syntaxe ; elle ne montre pas que le nouveau pool est plus rapide ou assez grand.