» »

Cisco 2621 router

Cisco 2621 router

Djuro ::

Zdravo!

A imamo na tabli kakšnega Cisco strokovnjaka. Imam namreč en problem, ki ga nikakor ne znam rešit.

Imamo Cisco 2621XM (IOS 12.2) in je do pred parih mesecev, ko smo imeli 10 mbit optično linijo in FTP server deloval BP (uporabniki so s FTPja pobirali 1 - 10 MB fajle).
Sedaj po optiki dobimo 100mbit, zadaj FTP server iz katerega uporabniki (cca 15) vlečejo fajle 80 - 150 MB velike. Takih fajlov je cca 30 - 40 na dan za vsakega uporabnika.
Kaj se dogaja. Praviloma se uporabniki priklopijo naenkrat (skupno pobirajo z cca 7 MB/s). Procesor na Ciscotu je za cca 30 sekund na 98% - 100% (proces IP Input), kar pomeni, da je Cisco zelo slabo odziven (z notranje strani tudi do 2 sekundi zakasnitve) obcasno pa sploh ne.
Po pretecenih 30 sekundah (uporabniki se vendno vlecejo s FTPja) se odzivnost zmanjsa na normalnih 1 -2 ms. Cpu routerja pa je na cca 10%.

Kar sem dosedaj naredil: na vseh fastethernetih sem forsiral 100FD, prav tako na switchu (3Com 3300), kamor je cisco priklopljen. Zablokiral sem ves netbios promet. Izklopil ves logging. Omejil timeout na udp in tcp paketkih na 60 sekund.

Kaj mi je še storiti?

LP, Djuro

aleksander10 ::

Glede na to kar si napisal bi bilo dobro dobiti izpis konfiguracije:
- sh run (pobriši zunanje IP naslove in passworde)

Jaz bi se malo poslužil QoS in določil koliko 100 Mbit lineje lahko FTP promet zasede, ker sedaj ti zaseda toliko kot mu daš, kar je pa veliko za 2621 router. Odvisno je tudi, kaj še med drugim poganjaš na tem routerju (NAT, Firewall, itd)
Aleksander

"A friend is someone who gives you total freedom to be yourself. (J.M.)"

Djuro ::

Se opravicujem za malo daljsi post. Upam, da sem zbrisal kar je bilo potrebno.
V glavnem, za Ciscotom sta (poleg postnega streznika, dnsja, ...) 2 FTP strežnika, 192.168.1.120 (na kateremu se pobira 'velike' 80-150 MB datoteke) in 192.168.1.39 za manjše (nekaj mb) velike datoteke.
Težavo dela prvi, ko se nanj nabutajo naenkrat vsi uporabniki.
Bom poskusil še s QoS, vendar ko gledam količinsko poberejo max 7MB pasovne širine (toliko imam tudi omejeno na samem FTP serverju), kar je cca 2 MB pod polno zasedenostjo voda in bi zadeva morala funkcionirat tako kot treba. Razen, če je to za 2621 enostavno preveč prometa?

LP, Djuro

-----------------------------


version 12.2
service timestamps debug datetime localtime
service timestamps log datetime localtime
service password-encryption
!
hostname xxxxxxxxxxx
!
no logging buffered
no logging console
no logging monitor
aaa new-model
!
!
aaa authentication login default local group radius
aaa authentication ppp default group radius
aaa authorization network default group radius
aaa accounting network default start-stop group radius
aaa session-id common
enable secret 5 xxxxxxxxxxxx
!
username xxxxxx password 7 xxxxxxx
clock timezone CET 1
clock summer-time CEST recurring last Sun Mar 1:00 last Sun Oct 1:00
ip subnet-zero
ip cef
!
!
no ip domain-lookup
ip name-server 193.189.160.11
ip name-server 193.189.160.12
!
ip audit notify log
ip audit po max-events 100
vpdn enable
vpdn aaa attribute nas-port vpdn-nas
!
vpdn-group vpdn-quadrum
! Default L2TP VPDN group
accept-dialin
protocol l2tp
virtual-template 1
lcp renegotiation on-mismatch
l2tp tunnel password 7 xxxxxxxxxxx
!
!
!
!
!
!
!
!
!
fax interface-type fax-mail
mta receive maximum-recipients 0
!
!
!
!
interface Loopback0
ip address 193.x.x.x 255.255.255.255
ip nat inside
!
interface FastEthernet0/0
ip address 193.x.x.x 255.255.255.252
ip nat outside
speed 100
full-duplex
fair-queue
!
interface FastEthernet0/1
ip address 192.168.2.1 255.255.255.0 secondary
ip address 192.168.3.1 255.255.255.0 secondary
ip address 192.168.1.112 255.255.255.0
ip access-group 111 in
ip nat inside
speed 100
full-duplex
fair-queue
!
interface Ethernet1/0
no ip address
ip nat inside
shutdown
full-duplex
!
interface Virtual-Template1
ip unnumbered Loopback0
ip mtu 1450
ip nat inside
ip tcp adjust-mss 1450
ppp lcp predictive
ppp authentication chap
ppp multilink
!
ip nat translation tcp-timeout 60
ip nat translation udp-timeout 60
ip nat inside source list 1 interface FastEthernet0/0 overload
ip nat inside source static tcp 192.168.1.39 20 193.x.x.x 20 extendable
ip nat inside source static tcp 192.168.1.39 21 193.x.x.x 21 extendable
ip nat inside source static tcp 192.168.1.120 20 193.x.x.x 20 extendable
ip nat inside source static tcp 192.168.1.120 21 193.x.x.x 21 extendable
ip nat inside source static tcp 192.168.2.10 6243 193.x.x.x 6243 extendable
ip nat inside source static udp 192.168.2.10 6244 193.x.x.x 6244 extendable
ip nat inside source static tcp 192.168.2.10 11670 193.x.x.x 11670 extendab
le
ip nat inside source static tcp 192.168.2.10 11671 193.x.x.x 11671 extendab
le
ip nat inside source static tcp 192.168.2.10 11672 193.x.x.x 11672 extendab
le
ip nat inside source static tcp 192.168.2.10 11673 193.x.x.x 11673 extendab
le
ip nat inside source static tcp 192.168.2.10 11674 193.x.x.x 11674 extendab
le
ip nat inside source static tcp 192.168.2.10 11675 193.x.x.x 11675 extendab
le
ip nat inside source static tcp 192.168.2.10 11676 193.x.x.x 11676 extendab
le
ip nat inside source static tcp 192.168.2.10 11677 193.x.x.x 11677 extendab
le
ip nat inside source static tcp 192.168.2.10 11678 193.x.x.x 11678 extendab
le
ip nat inside source static tcp 192.168.2.10 11679 193.x.x.x 11679 extendab
le
ip nat inside source static tcp 192.168.2.10 11680 193.x.x.x 11680 extendab
le
ip nat inside source static tcp 192.168.1.39 11600 193.x.x.x 11600 extendab
le
ip nat inside source static tcp 192.168.1.120 11600 193.x.x.x 11600 extenda
ble
ip nat inside source static udp 192.168.1.1 53 193.x.x.x 53 extendable
ip nat inside source static tcp 192.168.1.118 80 193.x.x.x 80 extendable
ip nat inside source static udp 192.168.1.111 11675 193.x.x.x 11675 extenda
ble
ip nat inside source static tcp 192.168.1.114 443 193.x.x.x 443 extendable
ip nat inside source static tcp 192.168.1.1 25 193.x.x.x 25 extendable
ip nat inside source static tcp 192.168.1.1 110 193.x.x.x 110 extendable
ip nat inside source static tcp 192.168.1.1 443 193.x.x.x 443 extendable
ip nat inside source static tcp 192.168.1.1 4899 193.x.x.x 4899 extendable
ip nat inside source static udp 192.168.1.1 53 193.x.x.x 53 extendable
ip nat inside source static tcp 192.168.1.1 993 193.x.x.x 993 extendable
ip nat inside source static tcp 192.168.1.1 44337 193.x.x.x 44337 extendabl
e
ip nat inside source static tcp 192.168.2.6 22 193.x.x.x 22 extendable
ip nat outside source static tcp 192.168.1.1 25 193.x.x.x 25 extendable
ip classless
no ip forward-protocol udp netbios-ns
no ip forward-protocol udp netbios-dgm
ip route 0.0.0.0 0.0.0.0 xxx.xxx.xxx.xxx
no ip http server
ip pim bidir-enable
!
!
access-list 1 permit 192.168.1.1
access-list 1 permit 192.168.2.0 0.0.0.255
access-list 1 permit 192.168.10.0 0.0.0.255
access-list 1 permit 192.168.101.0 0.0.0.255
access-list 111 deny udp any any eq netbios-ns
access-list 111 deny udp any any eq netbios-dgm
access-list 111 deny udp any any eq netbios-ss
access-list 111 permit ip any any
!
radius-server host 192.168.1.113 auth-port 1812 acct-port 1813
radius-server retransmit 3
radius-server attribute nas-port format d
radius-server key 7 xxxxxxxxxxxx
call rsvp-sync
!
!
mgcp profile default
!
dial-peer cor custom
!
!
!
!
!
line con 0
line aux 0
line vty 0 4
password 7 xxxxxxxxxxxx
!
ntp clock-period 17179316
ntp server 193.189.160.3
!
end

b ::

Nisem sicer bral konfiguracije, ampak kot jaz razumem tebi ta cisco dela NAT... to pa je no good.

2621 ze sam po sebi tezko zlifra 100mbit, mislim da ma 27kpps prepustnost ali nekaj podobno bogega (mogoce nekaj cez 30, res ne vem vec iz glave). NAT procesor se bolj obremeni, tako da je pomojem na zacetku, ko se vzpostavljajo povezave pac cisto prevec bogi, da bi uspel delat dovolj hitro.

Ce pingas ciscota in linija do njega ni zasedena, pa imas vseeno velik delay, je to ociten znak, da je procesor preobremenjen. In tu se verjetno ne bo dalo kaj veliko naredit, razen drugega routerja.

Ampak jaz osebno bi ti priporocal PC-a z Linuxom ali kaksnim BSD-jem, ki bo bistveno cenejsi kot primeren Cisco, pa se zmogel bi ta promet brez tezav, 100%.

Verjetno najenostavnejsa resitev je, da cliente prepricas, da se povezujejo zaporedno, recimo vsako minuto en nov client... ce je to enostavno izvedljivo, potem je to cisto dobra resitev za prvo silo... ampak slejkoprej bos spet zadel v Ciscotov plafon.

Zgodovina sprememb…

  • spremenilo: b ()

Djuro ::

Se opravičujem moji nevednosti. Kaj pomeni enota kpps?
Hm, če prav razumem naj za besedo router pomenilo da zadeva dela tudi NAT.
Da ga 'zj**e' nekaj NATov, pa od Ciscota tudi ne bi pricakoval.

Ko ni pretoka prometa cez FTP (je pa pretok na mailserver, dns) nima cisco prav nobenega delaya. Tudi CPU je na 0 - 10%. Samo kadar onih 15 klientov zacne z enega FTPja pobirat prej omenjene velike fajle.

hruske ::

a je kpps morda 1000 paketov na sekundo?
Rad imam tole državico. <3

aleksander10 ::

Cisco 2621 lahko sprocesira največ 25kpps. To kar pa počnejo tvoji FTP userji, pa dejansko zahtevajo več od tega reveža. Poleg tega da delaš nat delaš tudi accounting do Radius strežnika. Tudi to ti pobira procesorko moč in seveda hkrati bantwith.

Bo potrebno kakšen QoS , proritiziranje prometa in rate limiting narediti za vsakega uporabnika posebej.

Drugače pa ni pomoči. Preveč prometa za tega reveža.

Obrni se na vašega administratorja, če pa si to ti potem se obrni na podjteje, ki se ukvarja s Cisco-ti in naj ti pomagajo.
Aleksander

"A friend is someone who gives you total freedom to be yourself. (J.M.)"

Djuro ::

No administrator sem sam. To nam je Siol postavil in konfiguriral pred 3 leti, ko smo zadevo potrebnovali predvsem za adsl vpn, realtime audiostreaming po teh vpn-jih, pa oni mali ftp. Firma se je razširila in sedaj je največji porabnik pasovne širine veliki ftp.
Do pred drugega ftpja je zadeva delovala BP.
IOS sem se navadil zgolj toliko, da znam malo pregledovat promete, pa delat nat in take osnovne stvari. Pač, toliko kot sem potreboval in seveda kar mi je znal povedat stric Gugl. Žal pa osebno ne poznam nikogar, ki bi kaj več vedel od mene. No, sej zato so pa forumi.

Bom malo preštudiral QoS, pa omejil FTP in bom videl kaj se bo dogajalo.
Vseeno pa hvala za pomoč in upam, da mi boste lahko pomagali še vnaprej!

LP, Djuro

Djuro ::

Ampak jaz osebno bi ti priporocal PC-a z Linuxom ali kaksnim BSD-jem, ki bo bistveno cenejsi kot primeren Cisco, pa se zmogel bi ta promet brez tezav, 100%.


Hmm, ta rešitev me še najbolj mika, ker denarja za kakega novega Cisco-ta enostavno ni.
OK, vem da se da na Linuxu delat nat in podobne reči, zanima me kako je z ADSL VPN. Sedaj je narejeno tako, da se na oddaljeni lokaciji v sam ADSL (oz. pppoe) prijavljajo z uporabnik@firma in geslom, to preveri naš radius in jih potem spusti v naše omrežje. Je kaj takega izvedljivo tudi z Linux kišto (in obstoječim radiusom), ali bi nam moral to zopet narediti Siol?

LP, Djuro


Vredno ogleda ...

TemaSporočilaOglediZadnje sporočilo
TemaSporočilaOglediZadnje sporočilo
»

VPN povezava dveh PIX 501

Oddelek: Omrežja in internet
141269 (1090) jl
»

Router ali klicna povezava

Oddelek: Pomoč in nasveti
161171 (1001) KoMar-
»

Cisco Soho 851 router in msn messenger ne dela

Oddelek: Omrežja in internet
111948 (1786) bacho
»

router noče routati

Oddelek: Operacijski sistemi
81397 (1269) marshaltito

Več podobnih tem