Author Topic: Zentyal правила фильтрации (медленный интернет)  (Read 2335 times)

rem-077

  • Zen Apprentice
  • *
  • Posts: 4
  • Karma: +0/-0
    • View Profile
Всем добрый день, имеется 2 сервера. на 1 установлен Hyper-v и развернута Zentyal 3.2 (intel xeon e5-2650, 256 Гб ОЗУ, 2 сетевые карты 1Гб, диск С raid1 - 270 Гб, диск D raid10 - 900 Гб, на диске D собственно развернута виртуальная машина zentyal ей выделено диск -90 ГБ,  ОЗУ 32 Гб и две виртуальные сетевые карты) виртуальную машину планировалось использовать в качестве прокси (примерно 80 пользователей), установлены следующие модули (Сеть, Файрвол, Антивирус,DNS, Бэкап, События, Журналы, Мониторинг, NTP, VPN, Управление трафиком, Users and Computers, Веб сервер, Монитор полосы пропускания, HTTP прокси)

Настроены 3 объекта сети all_acces (добавлены около 5 IP - пользователей), all_block (примерно 15 IP - пользователей), mail (добавлены 5 IP пользователей) и Users (здесь добавлена подсеть 192.168.0.1/24).

В прокси настроены 2 профиля фильтра
mail которому разрешены несколько доменов и установлена галка блокировать не перечисленные
users в котором просто заблокированы сети и анонимайзеры (около 50 сайтов).

Далее в правилах доступа прокси, созданы правила в такой последовательности all_acces, mail, users, all_block

Скорость wan интерфейса установлена 50 Мбит. (провайдер предоставляет 50 Мбит)
DNS 8.8.8.8
Размер Кэша 10Гб

Суть проблемы при добавлении вышеуказанных правил периодически  начинает долго думать интернет.
Была проверена служба Hyper-v, нагрузка на сам сервер - все в норме, пробовали изменять кэш интернета без результата.

На второй сервер (E5-2637 v2, 32 ГБ ОЗУ диск raid10 - 300 Гб, 2 сетевые карты по 1 Гб) была установлена такая же конфигурация (модули настройки и тд.) теже проблемы.
« Last Edit: February 07, 2017, 07:16:57 am by rem-077 »

tunsa

  • Zen Samurai
  • ****
  • Posts: 350
  • Karma: +15/-1
    • View Profile
Версия squid какая?

rem-077

  • Zen Apprentice
  • *
  • Posts: 4
  • Karma: +0/-0
    • View Profile
Версия squid какая?

Squid Cache: Version 3.1.19

luha

  • Zen Samurai
  • ****
  • Posts: 479
  • Karma: +36/-1
    • View Profile
Известная проблема, на форуме неоднократно обсуждалась. К сожалению прокси под зенчалом страдает производительностью и с того что знаю на зенчале никто беду не победил. Самый простой вариант это не тратить время и искать дальше (где-то даже советовали какие-то там спец.дистрибутивы с проксями). Причём для более нагруженных сетей лучше сразу смотреть на готовые проверенные аппаратные решения втыкаемые между вами и провайдером - там вам заодно и трафик профильтрует (нам часто звонят предлагают, но раз прокси не используем то пока отказываюсь).

Думаю корень кроется в чрезмерно большом массиве перемалываемых данных и сервер банально ими захлёбывается. Идея всем хороша но реализовано слабо. Из собственного небольшого опыта использования кроме снижения скорости доступа наткнулся и на другие подводные камни - не все сервисы могут работать через прокси и никакими настройками это не решается, затруднена идентификация некоторых видов атак... в итоге админу придётся конкретно почесать репу.

rem-077

  • Zen Apprentice
  • *
  • Posts: 4
  • Karma: +0/-0
    • View Profile
Известная проблема, на форуме неоднократно обсуждалась. К сожалению прокси под зенчалом страдает производительностью и с того что знаю на зенчале никто беду не победил. Самый простой вариант это не тратить время и искать дальше (где-то даже советовали какие-то там спец.дистрибутивы с проксями). Причём для более нагруженных сетей лучше сразу смотреть на готовые проверенные аппаратные решения втыкаемые между вами и провайдером - там вам заодно и трафик профильтрует (нам часто звонят предлагают, но раз прокси не используем то пока отказываюсь).

Думаю корень кроется в чрезмерно большом массиве перемалываемых данных и сервер банально ими захлёбывается. Идея всем хороша но реализовано слабо. Из собственного небольшого опыта использования кроме снижения скорости доступа наткнулся и на другие подводные камни - не все сервисы могут работать через прокси и никакими настройками это не решается, затруднена идентификация некоторых видов атак... в итоге админу придётся конкретно почесать репу.

Да уж, печаль печальная, у нас в одном из офисов стоит прокси на зентуал конфига даже будет потяжелее и работает, странно все это  :(  теперь понятно почему из версии 4.1 убрали прокси! Спасибо

luha

  • Zen Samurai
  • ****
  • Posts: 479
  • Karma: +36/-1
    • View Profile
Я вот подумал а может на freebsd squid будет более адекватен. И так на виртуалке сидите, можно и попробовать.

https://serveradmin.ru/ustanovka-i-nastroyka-proksi-servera-na-freebsd-10-squid-sams2/
« Last Edit: February 08, 2017, 01:37:44 pm by luha »

logdog

  • Zen Hero
  • *****
  • Posts: 623
  • Karma: +29/-2
    • View Profile
Я вот подумал а может на freebsd squid будет более адекватен. И так на виртуалке сидите, можно и попробовать.
pfsense ставьте

rem-077

  • Zen Apprentice
  • *
  • Posts: 4
  • Karma: +0/-0
    • View Profile
Я вот подумал а может на freebsd squid будет более адекватен. И так на виртуалке сидите, можно и попробовать.

https://serveradmin.ru/ustanovka-i-nastroyka-proksi-servera-na-freebsd-10-squid-sams2/
спасибо за совет, за ссылку, буду пробовать два варианта какой себя лучше зарекомендует, ваш или pfsense.
Я вот подумал а может на freebsd squid будет более адекватен. И так на виртуалке сидите, можно и попробовать.
pfsense ставьте
благодарю за совет буду пробовать, читал про него на других форумах, вы его используете? сложно настроить? и возможно блокировать mime и файловые расширения?

tunsa

  • Zen Samurai
  • ****
  • Posts: 350
  • Karma: +15/-1
    • View Profile
Я вот подумал а может на freebsd squid будет более адекватен. И так на виртуалке сидите, можно и попробовать.
pfsense ставьте

А у Вас прокся на pfsense стоит? Вы полностью перешли на него или частично используете его модули?