медленный nat

[zerkms]

Здравствуйте, господа.
Ситуация:
Есть маленький домашний сервер (роутер) и виндовый десктоп.
На сервере поднят нат:

(это текущий и специально сильно упрощённый конфиг для отладки)

Код: Выделить всё

#!/bin/sh

# First we flush our current rules
for table in nat mangle filter; do
    iptables -t $table --flush
    iptables -t $table --delete-chain
done

iptables -P INPUT ACCEPT
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT

# Allow access to all from LAN
iptables -A INPUT -i eth1 -j ACCEPT
iptables -A INPUT -i lo -j ACCEPT

# Allow Related and Established from elsewhere

# The rules for NAT
iptables -A FORWARD -i eth1 -s 192.168.0/24 -j ACCEPT
iptables -t nat -A POSTROUTING -o ppp0 -j MASQUERADE

# Tell the kernel that ip forwarding is OK
echo 1 > /proc/sys/net/ipv4/ip_forward
for f in /proc/sys/net/ipv4/conf/*/rp_filter; do echo 1 > $f; done

через wget в консоли файло качается быстро (около 130кбайт/с, ограничение прова), если переткнуть dsl-модем в винду и дозвониться с неё - тоже будет примерно такая же скорость, а вот через нат винда работает крайне скверно - 20-40кб. в несколько потоков, тем не менее, весь канал можно вполне занять (8п * 15кбайт).

с сетевой вроде проблем нет, на десктопе и сервере стоят гигабитные, подключенные в гигабитный свитч. через самбу файлы передаются с нормальной скоростью.

мысли? :-(

[pelmen]

А я что-то слышал про тормоза при маскараде, нагрузку на проц и т.п. Больше мыслей пока нет.

[Olden Gremlin]

мысли? :-(

Через tc согласовать скорости с каналом аплинка.
Через tc разрулить по скоростям и приоритетам внутренний трафик.
Это просто мысли, ни более, ни менее

[vodnick]

А если поднять соединение непосредственно на модеме и заюзать SNAT вместо MASQUERADE ?

[zerkms]

vodnick
Думал об этом же. Понаблюдаю ближайшие дни, может мне это всё казалось или были жуткие совпадения - потому как сейчас вечер по-местному и скорость сама по себе сильно просела...

[SSDD]

замени на SNAT и DNAT, сам када-то на касяки с маскардом наткнулся, кака это %)

[zerkms]

SSDD
на какие именно?
я не верю, что текущая организация не способна обеспечить пропускную способность в жалкий мегабит.

[Frank]

Почему-то у меня замечательно работает
iptables -A FORWARD -i eth1 -o eth0 -s 192.168.0.0/24 -m state --state NEW -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A POSTROUTING -t nat -j MASQUERADE
интернет-канал в мегабит, сетка в десятку на eth1 (входящий аплинк провайдера), сотка на eth0 (на мой локальный комп).

[zerkms]

Почему-то у меня замечательно работает

сам же знаешь что такое линукс, да и ПО вообще. в зависимости от кучи других условий один и тот же конфиг может работать по-разному.

[mandreika]

Cам же знаешь что такое линукс, да и ПО вообще. в зависимости от кучи других условий один и тот же конфиг может работать по-разному.

Сам знаю что если все правильно пропишешь - у всех будет работать правильно. И с чего это конфиг у всех должен по разному работать.
Это не божественная венда - что бы самодеятельностью заниматься.

[zerkms]

mandreika
ты опустил один важный факт - причиной может быть не этот конфиг. логично?

[Frank]

Кстати, хотелось бы увидеть "ifconfig -a" с сервера. Возможно, дело в разных MTU на интерфейсах.

[zerkms]

MTU на eth0 (смотрит в сеть) 1500
MTU на ppp0 1492 (также пробовал по совету техподдержки прова ставить 476)

волшебное правило, которое признано исправлять ошибки связанные с MTU (я не гуру сетевых технологий, но добавить его советовали много где) прописывал тоже:
iptables -A FORWARD -o ppp0 -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu