Proxy-vertragingen in de loop van de tijd: controleer conntrack en resourcelimieten

De proxy reageert na een herstart. Een paar uur later blijven nieuwe verbindingen hangen. Nog een herstart koopt nog een rustig interval. Dat patroon wijst op een aangroeiende toestand, maar zegt niet welke toestand verantwoordelijk is.

Op een Linux-pad met verbindingstracking is de conntrack-tabel een kandidaat. Controleer deze bestaande waarden op de machine en in de netwerknaamruimte die het verkeer afhandelt:

/proc/sys/net/netfilter/nf_conntrack_count
/proc/sys/net/netfilter/nf_conntrack_max

De eerste meldt toegewezen flow-items; de tweede begrenst ze. Het zijn geen aantallen Squid-gebruikers of HTTP-verzoeken. De flowstatus van de kernel kan het actieve werk van de toepassing overleven.

Zoek een verband, niet alleen een groot getal

Vergelijk de bezetting in de tijd met het begin van fouten bij nieuwe verbindingen en met relevante kernelmeldingen. Een hoog aantal zonder passend foutbewijs is iets anders dan een tabel die herhaaldelijk zijn limiet bereikt precies wanneer verzoeken time-outs beginnen te krijgen.

De tabel kan meer bedienen dan de proxy. Andere lokale diensten, doorgestuurd verkeer of een ander druk netwerkpad kunnen bijdragen. Dat een herstart van de proxy het symptoom verandert, bewijst niet dat de objectcache van Squid de oorzaak was.

Houd de concurrerende verklaringen in het oog: bestandsdescriptors, wachtrijen van authenticatiehulpen, DNS-vertragingen, geheugendruk en een vol bestandssysteem kunnen ook in de loop van de tijd verslechteren. Noteer welke resource groeit en welke bewerkingen het eerst ophouden te werken. Dat langdurige verbindingen overleven terwijl nieuwe falen, is nuttig bewijs, geen diagnose op zichzelf.

Een limiet verhogen kost geheugen. Bepaal vóór de wijziging de werkbelasting, de naamruimte en de beschikbare capaciteit. Time-outs willekeurig verkorten kan nuttige inactieve sessies breken; alle verbindingstoestand wissen kan ongerelateerd verkeer verstoren.

Het nuttige resultaat is een verklaring voor de opbouw en een wijziging in capaciteit of levenscyclus die daarbij past. Veilig om te verhogen is geen eigenschap die elke proxyserver deelt.