Quando gli helper di autenticazione Squid diventano un collo di bottiglia

Una richiesta proxy può attendere la verifica delle credenziali prima di raggiungere la destinazione. Se connessioni senza autenticazione e verifiche già in cache si comportano diversamente dai nuovi accessi, esamina il percorso di autenticazione prima di cambiare i timeout di rete.

Squid 6.13 esegue helper di autenticazione esterni. Una directory lenta, un file di account illeggibile, ripetute terminazioni degli helper o pochi helper disponibili possono influire su questa fase in modi diversi.

Cerca il passaggio che limita davvero

Controlla il log cache per errori di avvio, terminazioni degli helper e messaggi di sovraccarico. Se sono disponibili statistiche locali di gestione protette, esamina lì l’attività degli helper. Non esporre pubblicamente un endpoint di gestione solo per ottenere contatori.

Prova il backend indipendentemente con un account di test. Un helper che non completa una sola verifica richiede una correzione funzionale; avviarne più copie non ripara un errore di percorso o permessi.

Il numero di processi non è la concorrenza del protocollo

Un esempio di pool di processi limitato è:

auth_param basic children 16 startup=2 idle=2

Qui il numero massimo di processi, quello iniziale e la disponibilità inattiva desiderata servono scopi diversi. I valori sono illustrativi. Adattali alla domanda misurata e ai limiti di connessioni e risorse del backend.

L’opzione concurrency separata cambia il protocollo con cui Squid comunica con l’helper. Non è un interruttore generale delle prestazioni. Abilitala solo se quell’helper supporta esplicitamente gli identificatori di canale richiesti e le richieste simultanee.

La cache delle credenziali influisce anche sulla frequenza di verifica necessaria. Accorciarne la durata senza cambiare il pool può aumentare il lavoro anche a traffico di navigazione costante.

Dopo una modifica, analizza la configurazione e confronta ritardi di autenticazione, errori e carico del backend con un carico autorizzato rappresentativo. Un parsing riuscito conferma la sintassi; non dimostra che il nuovo pool sia più veloce o abbastanza grande.