PFSense 2.1 - Lentidão Squid, até latência aumenta

JackL

Bem,

Eu já tenho vários pfSenses 2.1 com Squid 2.7 e Squid3-dev em produção. Por aqui, tudo absolutamente normal.

É estranho o serviço interferir no ping, já que pacotes ICMP não são processados pelo Squid. Este 143.106.2.5 é um DNS válido mesmo? qual a latência para atingi-lo a partir da sua rede?

Como ficam o consumo de memoria e CPU com o Squid ativado?

Abraços!
Jack

LFCavalcanti

@JackL:

Bem,

Eu já tenho vários pfSenses 2.1 com Squid 2.7 e Squid3-dev em produção. Por aqui, tudo absolutamente normal.

É estranho o serviço interferir no ping, já que pacotes ICMP não são processados pelo Squid. Este 143.106.2.5 é um DNS válido mesmo? qual a latência para atingi-lo a partir da sua rede?

Como ficam o consumo de memoria e CPU com o Squid ativado?

Abraços!
Jack

Boa tarde JackL!

Esse IP DNS é o da UNICAMP, geralmente a latência fica < 50ms.

O problema ocorre no mesmo servidor que menciono neste tópico: http://forum.pfsense.org/index.php/topic,68075.msg373978.html#msg373978

A VPN está funcionando, mas o Squid continua com problemas, não importa a versão que eu instale, o servidor começa a aumentar a latência da conexão até tornar a navegação impossivel, mesmo por fora do Squid.

Para ter uma idéia, hoje eu resolvi a questão da VPN e instalei o Squid3-DEV novamente para continuar testando uma solução, assim que eu instalei ele já deixou a navegação muito lenta… além de que há um aparente BUG na versão do pacote(falarei mais abaixo).

Isto tudo me parece estar sendo causado por problemas de roteamento, talvez o PFSense esteja procurando rotas IPv6 ou forçando o trafego através dessa versão do protocolo. Detalhe que eu já desativei o suporte a IPv6 no sistema.

Outra coisa estranha foram os erros do Squid3-DEV. Como estou testando, subo o Squid em modo não transparente e acesso por um computador para testar. Quando reinstalei o pacote e apliquei as configurações para ele operar "não transparente", apareceu o seguinte erro no LOG:


php: /pkg_edit.php: The command '/usr/pbi/squid-amd64/sbin/squid -k reconfigure -f /usr/pbi/squid-amd64/etc/squid/squid.conf' returned exit code '1', the output was '2013/10/22 15:50:13| Can't use proxy auth because no authentication schemes are fully configured. FATAL: ERROR: Invalid ACL: acl password proxy_auth REQUIRED Squid Cache (Version 3.3.8): Terminated abnormally. CPU Usage: 0.010 seconds = 0.010 user + 0.000 sys Maximum Resident Size: 31728 KB Page faults with physical i/o: 0'
squid: ERROR: Invalid ACL: acl password proxy_auth REQUIRED

Então eu fiquei intrigado, se na GUI a autenticação está desativada, porque o erro menciona que nenhum esquema de autenticação foi definido e gera erro?

Então eu tentei editar o arquivo do Squid(/usr/pbi/squid-amd64/etc/squid/squid.conf) manualmente para testar, eu comentei algumas linhas referentes a autenticação:


#auth_param basic children 5
#auth_param basic realm Please enter your credentials to access the proxy
#auth_param basic credentialsttl 5 minutes
#acl password proxy_auth REQUIRED
#http_access allow password localnet
# Default block all to be sure
http_access deny allsrc

Com isso o serviço passou a iniciar, mas ao tentar navegar na estação, apresenta mensagem de que o PRoxy recusou a conexão, algo semelhante ao que o colega Gilmarcabral relatou neste tópico: http://forum.pfsense.org/index.php/topic,67550.0.html

Sinceramente, é o primeiro servidor que implantei com a versão 2.1 e só tenho tido problemas, antes no mesmo Hardware tinha a versão 2.0.3. Pensando seriamente em fazer o Rollback.

Alguma sugestão?

marcelloc

Qual o método de autenticação que está marcado no squid?

Pode conferir e salvar mais uma vez para ver se algo muda?

A última alteração do pacote foi a inclusão do metodo de autenticação captive portal.

nofault

Ativa o squid e faça a analise com o tcpdump , faça um traceroute também , ou até mesmo um dig em uma consulta de dns pra ver o tempo de resposta.

LFCavalcanti

@marcelloc:

Qual o método de autenticação que está marcado no squid?

NONE

@marcelloc:

Pode conferir e salvar mais uma vez para ver se algo muda?

A última alteração do pacote foi a inclusão do metodo de autenticação captive portal.

Já conferi e salvei a perder a conta de vezes, sempre gera o mesmo erro, tentei até selecionar um método, como LDAP e salvar, depois colocar em NONE e salvar denovo, sempre o mesmo erro no LOG.

Com o Squid3 e com Squid 2.7 isso não ocorre, só que por exemplo, com o Squid3, no cliente dá conexão recusada agora, já com o Squid2.7 só ocorre o problema da latência.
Isso está cada vez mais me parecendo problema de roteamento…

marcelloc

vou revisar o código do squid3-dev nesta parte de autenticação.

LFCavalcanti

@nofault:

Ativa o squid e faça a analise com o tcpdump , faça um traceroute também , ou até mesmo um dig em uma consulta de dns pra ver o tempo de resposta.

Olá!

Requisições DNS estão OK, foi a primeira coisa que testei com todas as versões do Squid e com o pacote desinstalado também.

Rastreamento de rotas está OK também, o que ocorre é um aumento gradual e constante da latência até o ponto de ficar impraticável a navegação, mesmo para quem está navegando por fora do Squid.

O que ocorre com o Squid3 e Squid3-DEV é que o Proxy agora está recusando conexões, como aconteceu com o colega Gilmarcabral.

LFCavalcanti

@marcelloc:

vou revisar o código do squid3-dev nesta parte de autenticação.

Obrigado Marcelloc.

Sobre o meu "causo", você possui algum cenário de versão/pacotes parecido?

marcelloc

@LFCavalcanti:

Sobre o meu "causo", você possui algum cenário de versão/pacotes parecido?

Em produção ainda não. Só em testes.

nofault

ta usando ipv6 ou só ipv4?

JackL

LFCavalcanti,

Minhas sugestões:

Faça uma instalação limpa, com o Squid 2.7 e volte o backup (gere ele antes, claro);
Desligue o tráfego de pacotes IPv6.

Teste assim e valide. Depois, se for atualizar para o Squid 3 ou Squid3-Dev, esteja atento as dependências. Fique de olho e consulte os logs do Squid.

Créditos das dicas ao nosso consultor, aqui da ConexTI, Felipe Ortega. ;)

Abraços!
Jack

gilmarcabral

Irei participar deste problema.
Como o LFCavalcanti informou o problema dele e igual o meu.
Eu fiz a instalação do zero.
Em seguida desabilitei o trafego na GUI de ipv6.
ai configurei e instalei o squid e quando rodo o comando netstat -an vejo que a porta esta closed.
Ai removi o squid3-dev e instalei o squid e o problema permanece.
Teste todas versões do squid que o pfsense possui.

LFCavalcanti

@nofault:

ta usando ipv6 ou só ipv4?

Obrigado pela ajuda, mas preciso pedir que leia o tópico novamente, inclusive suas referencias para não termos que repassar a mesma informação várias vezes.

LFCavalcanti

@JackL:

LFCavalcanti,

Minhas sugestões:

Faça uma instalação limpa, com o Squid 2.7 e volte o backup (gere ele antes, claro);

Desligue o tráfego de pacotes IPv6.

Teste assim e valide. Depois, se for atualizar para o Squid 3 ou Squid3-Dev, esteja atento as dependências. Fique de olho e consulte os logs do Squid.

Créditos das dicas ao nosso consultor, aqui da ConexTI, Felipe Ortega. ;)

Abraços!
Jack

Olá JackL!

Este servidor estava rodando com o Squid 2.7 a principio. Mesmo assim, nosso colega Gilmar Cabral já fez isto, conforme comentário dele abaixo:

@gilmarcabral:

Irei participar deste problema.
Como o LFCavalcanti informou o problema dele e igual o meu.
Eu fiz a instalação do zero.
Em seguida desabilitei o trafego na GUI de ipv6.
ai configurei e instalei o squid e quando rodo o comando netstat -an vejo que a porta esta closed.
Ai removi o squid3-dev e instalei o squid e o problema permanece.
Teste todas versões do squid que o pfsense possui.

Vou tentar então gerar as regras de NAT Outbound manualmente, mas se a porta do Proxy é bloqueada… estranho "tchê". ;D

Algum local onde podemos editar as regras do Firewall manualmente? Seja em arquivo ou console?

gilmarcabral

boa noite.
Tenho novidade sobre o squid 2.7 com o suporte ao IPV6 desabilitado na GUI do pfsense 2.1
Agora esta funcionando.
Desabilitei o suporte a ipv6 na GUI do pfsense 2.1 com isso o squid2.7 inicializou e funcionoaru 100%.
Sem este suporte ao IPV6 ate a minha openvpn não cria mais a rota ipv6 automaticamente sendo que estou usando ipv4.
Agora irei fazer o teste atualizando para a versão squid3 ou squid3-dev para ver se funciona.
Pelo menos a versão do squid2.7 funciona sem dependência do ipv6.

gilmarcabral

Jackl uma duvida sobre sua sugestão.
Voce sugere que depois de tudo validado e testado no squid 2.7 atualiza-lo para o squid3 ou squid3-dev com suas dependencias de SSL resolvidadas assim devera funcionar?
Caso for isso uma duvida como seria esta atualização?
Remoçâo do squid 2.7 e intalando o squid3 ou squid3-dev?
Ou mantenho o squid 2.7 e instalo omsquid3 ou o squid3-dev?
Desde ja agradeço.

marcelloc

Sempre removendo….

nofault

@LFCavalcanti:

@nofault:

ta usando ipv6 ou só ipv4?

Obrigado pela ajuda, mas preciso pedir que leia o tópico novamente, inclusive suas referencias para não termos que repassar a mesma informação várias vezes.

Desculpe não vi nesse tópico seu relato sobre ipv6 ou ipv4 te falei isso pois foi o mesmo conselho que passei pro GilmarCabral quando conversamos sobre esse problema, fazer o teste somente com ipv4

gilmarcabral

Boa tarde.
Jack tentei atualizando o squid para a versão squid3-dev porem sem sucesso.
A única versão que funcionou sem o suporte ao ipv6 foi o squid 2.7

LFCavalcanti

@gilmarcabral:

Boa tarde.
Jack tentei atualizando o squid para a versão squid3-dev porem sem sucesso.
A única versão que funcionou sem o suporte ao ipv6 foi o squid 2.7

Olá!

Estava viajando então não tive tempo pra testar aquele servidor que mencionei.

Vou fazer os testes e logo mais posto o que verifiquei. Mas saliento que no meu caso mesmo com o 2.7 não funciona.