Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    PFSense 2.1 - Lentidão Squid, até latência aumenta

    Scheduled Pinned Locked Moved Portuguese
    33 Posts 6 Posters 8.2k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • L Offline
      LFCavalcanti
      last edited by

      @marcelloc:

      Qual o método de autenticação que está marcado no squid?

      NONE

      @marcelloc:

      Pode conferir e salvar mais uma vez para ver se algo muda?

      A última alteração do pacote foi a inclusão do metodo de autenticação captive portal.

      Já conferi e salvei a perder a conta de vezes, sempre gera o mesmo erro, tentei até selecionar um método, como LDAP e salvar, depois colocar em NONE e salvar denovo, sempre o mesmo erro no LOG.

      Com o Squid3 e com Squid 2.7 isso não ocorre, só que por exemplo, com o Squid3, no cliente dá conexão recusada agora, já com o Squid2.7 só ocorre o problema da latência.
      Isso está cada vez mais me parecendo problema de roteamento…

      –

      Luiz Fernando Cavalcanti
      IT Manager
      Arriviera Technology Group

      1 Reply Last reply Reply Quote 0
      • marcellocM Offline
        marcelloc
        last edited by

        vou revisar o código do squid3-dev nesta parte de autenticação.

        Treinamentos de Elite: http://sys-squad.com

        Help a community developer! ;D

        1 Reply Last reply Reply Quote 0
        • L Offline
          LFCavalcanti
          last edited by

          @nofault:

          Ativa o squid e faça a analise com o tcpdump , faça um traceroute também , ou até mesmo um dig em uma consulta de dns pra ver o tempo de resposta.

          Olá!

          Requisições DNS estão OK, foi a primeira coisa que testei com todas as versões do Squid e com o pacote desinstalado também.

          Rastreamento de rotas está OK também, o que ocorre é um aumento gradual e constante da latência até o ponto de ficar impraticável a navegação, mesmo para quem está navegando por fora do Squid.

          O que ocorre com o Squid3 e Squid3-DEV é que o Proxy agora está recusando conexões, como aconteceu com o colega Gilmarcabral.

          –

          Luiz Fernando Cavalcanti
          IT Manager
          Arriviera Technology Group

          1 Reply Last reply Reply Quote 0
          • L Offline
            LFCavalcanti
            last edited by

            @marcelloc:

            vou revisar o código do squid3-dev nesta parte de autenticação.

            Obrigado Marcelloc.

            Sobre o meu "causo", você possui algum cenário de versão/pacotes parecido?

            –

            Luiz Fernando Cavalcanti
            IT Manager
            Arriviera Technology Group

            1 Reply Last reply Reply Quote 0
            • marcellocM Offline
              marcelloc
              last edited by

              @LFCavalcanti:

              Sobre o meu "causo", você possui algum cenário de versão/pacotes parecido?

              Em produção ainda não. Só em testes.

              Treinamentos de Elite: http://sys-squad.com

              Help a community developer! ;D

              1 Reply Last reply Reply Quote 0
              • N Offline
                nofault
                last edited by

                ta usando ipv6 ou só ipv4?

                1 Reply Last reply Reply Quote 0
                • JackLJ Offline
                  JackL
                  last edited by

                  LFCavalcanti,

                  Minhas sugestões:

                  • Faça uma instalação limpa, com o Squid 2.7 e volte o backup (gere ele antes, claro);

                  • Desligue o tráfego de pacotes IPv6.

                  Teste assim e valide. Depois, se for atualizar para o Squid 3 ou Squid3-Dev, esteja atento as dependências. Fique de olho e consulte os logs do Squid.

                  Créditos das dicas ao nosso consultor, aqui da ConexTI, Felipe Ortega. ;)

                  Abraços!
                  Jack

                  Treinamentos de Elite: http://sys-squad.com
                  Soluções: https://conexti.com.br

                  1 Reply Last reply Reply Quote 0
                  • G Offline
                    gilmarcabral
                    last edited by

                    Irei participar deste problema.
                    Como o LFCavalcanti informou o problema dele e igual o meu.
                    Eu fiz a instalação do zero.
                    Em seguida desabilitei o trafego na GUI de ipv6.
                    ai configurei e instalei o squid e quando rodo o comando netstat -an vejo que a porta esta closed.
                    Ai removi o squid3-dev e instalei o squid e o problema permanece.
                    Teste todas versões do squid que o pfsense possui.

                    1 Reply Last reply Reply Quote 0
                    • L Offline
                      LFCavalcanti
                      last edited by

                      @nofault:

                      ta usando ipv6 ou só ipv4?

                      Obrigado pela ajuda, mas preciso pedir que leia o tópico novamente, inclusive suas referencias para não termos que repassar a mesma informação várias vezes.

                      –

                      Luiz Fernando Cavalcanti
                      IT Manager
                      Arriviera Technology Group

                      1 Reply Last reply Reply Quote 0
                      • L Offline
                        LFCavalcanti
                        last edited by

                        @JackL:

                        LFCavalcanti,

                        Minhas sugestões:

                        • Faça uma instalação limpa, com o Squid 2.7 e volte o backup (gere ele antes, claro);

                        • Desligue o tráfego de pacotes IPv6.

                        Teste assim e valide. Depois, se for atualizar para o Squid 3 ou Squid3-Dev, esteja atento as dependências. Fique de olho e consulte os logs do Squid.

                        Créditos das dicas ao nosso consultor, aqui da ConexTI, Felipe Ortega. ;)

                        Abraços!
                        Jack

                        Olá JackL!

                        Este servidor estava rodando com o Squid 2.7 a principio. Mesmo assim, nosso colega Gilmar Cabral já fez isto, conforme comentário dele abaixo:

                        @gilmarcabral:

                        Irei participar deste problema.
                        Como o LFCavalcanti informou o problema dele e igual o meu.
                        Eu fiz a instalação do zero.
                        Em seguida desabilitei o trafego na GUI de ipv6.
                        ai configurei e instalei o squid e quando rodo o comando netstat -an vejo que a porta esta closed.
                        Ai removi o squid3-dev e instalei o squid e o problema permanece.
                        Teste todas versões do squid que o pfsense possui.

                        Vou tentar então gerar as regras de NAT Outbound manualmente, mas se a porta do Proxy é bloqueada… estranho "tchê".  ;D

                        Algum local onde podemos editar as regras do Firewall manualmente? Seja em arquivo ou console?

                        –

                        Luiz Fernando Cavalcanti
                        IT Manager
                        Arriviera Technology Group

                        1 Reply Last reply Reply Quote 0
                        • G Offline
                          gilmarcabral
                          last edited by

                          boa noite.
                          Tenho novidade sobre o squid 2.7 com o suporte ao IPV6 desabilitado na GUI do pfsense 2.1
                          Agora esta funcionando.
                          Desabilitei o suporte a ipv6 na GUI do pfsense 2.1 com isso o squid2.7 inicializou e funcionoaru 100%.
                          Sem este suporte ao IPV6 ate a minha openvpn não cria mais a rota ipv6 automaticamente sendo que estou usando ipv4.
                          Agora irei fazer o teste atualizando para a versão squid3 ou squid3-dev para ver se funciona.
                          Pelo menos a versão do squid2.7 funciona sem dependência do ipv6.

                          1 Reply Last reply Reply Quote 0
                          • G Offline
                            gilmarcabral
                            last edited by

                            Jackl  uma duvida sobre sua sugestão.
                            Voce sugere que depois de tudo validado e testado  no squid 2.7 atualiza-lo para o squid3 ou squid3-dev com suas dependencias de SSL resolvidadas  assim devera funcionar?
                            Caso for isso uma duvida como seria esta atualização?
                            Remoçâo do squid 2.7 e intalando o squid3 ou squid3-dev?
                            Ou mantenho o squid 2.7 e instalo omsquid3 ou o squid3-dev?
                            Desde ja agradeço.

                            1 Reply Last reply Reply Quote 0
                            • marcellocM Offline
                              marcelloc
                              last edited by

                              Sempre removendo….

                              Treinamentos de Elite: http://sys-squad.com

                              Help a community developer! ;D

                              1 Reply Last reply Reply Quote 0
                              • N Offline
                                nofault
                                last edited by

                                @LFCavalcanti:

                                @nofault:

                                ta usando ipv6 ou só ipv4?

                                Obrigado pela ajuda, mas preciso pedir que leia o tópico novamente, inclusive suas referencias para não termos que repassar a mesma informação várias vezes.

                                Desculpe não vi nesse tópico seu relato sobre ipv6 ou ipv4  te falei isso pois foi o mesmo conselho que passei pro GilmarCabral quando conversamos sobre esse problema, fazer o teste somente com ipv4

                                1 Reply Last reply Reply Quote 0
                                • G Offline
                                  gilmarcabral
                                  last edited by

                                  Boa tarde.
                                  Jack tentei atualizando o squid para a versão squid3-dev porem sem sucesso.
                                  A única versão que funcionou sem o suporte ao ipv6 foi o squid 2.7

                                  1 Reply Last reply Reply Quote 0
                                  • L Offline
                                    LFCavalcanti
                                    last edited by

                                    @gilmarcabral:

                                    Boa tarde.
                                    Jack tentei atualizando o squid para a versão squid3-dev porem sem sucesso.
                                    A única versão que funcionou sem o suporte ao ipv6 foi o squid 2.7

                                    Olá!

                                    Estava viajando então não tive tempo pra testar aquele servidor que mencionei.

                                    Vou fazer os testes e logo mais posto o que verifiquei. Mas saliento que no meu caso mesmo com o 2.7 não funciona.

                                    –

                                    Luiz Fernando Cavalcanti
                                    IT Manager
                                    Arriviera Technology Group

                                    1 Reply Last reply Reply Quote 0
                                    • G Offline
                                      gilmarcabral
                                      last edited by

                                      LFCavalcanti estou utilizando o squid 2.7 com o squidguard integrado autenticando em basa openldap e esta funcionando normalmente.
                                      O squid autenticando no openldap e o squidguard esta utilizando um script de consulta de grupos no openldap agendado no cron pois o nativo do squidguard não funcionou de maneira alguma.
                                      Inclusive quando simuli o failover o squid cintinua funcionando normal.
                                      Obs,  utilizo outbound manual.
                                      Espero ter ajudado.

                                      1 Reply Last reply Reply Quote 0
                                      • G Offline
                                        gilmarcabral
                                        last edited by

                                        Encontrei um problema no Squid 2.7.
                                        Pois esta versão não possui na GUI o patch para ser aplicado pelo captive portal para o squid

                                        1 Reply Last reply Reply Quote 0
                                        • L Offline
                                          LFCavalcanti
                                          last edited by

                                          Olá!

                                          Fiz os testes, inclusive com uma instalação "zerada", tenho os mesmos problemas.

                                          Vamos ao cenário…

                                          Versão do PFSense:
                                          2.1-RELEASE (amd64)
                                          built on Wed Sep 11 18:17:48 EDT 2013
                                          FreeBSD 8.3-RELEASE-p11

                                          Não vou especificar Hardware pois executei os testes no servidor do cliente, mas também em VMs no VirtualBox e no VMWare.

                                          Verifiquei 2 problemas simples e objetivos:

                                          1 - O Squid 3-DEV atualmente disponível no repositório não funciona em modo "não transparente" a não ser que seja configurado um método de autenticação. Se não ele gera a mensagem que já postei anteriormente.

                                          2 - Se desmarcarmos a opção "Allow IPv6" em System > Advanced > Networking o Squid3 e Squid3-DEV param de receber e transmitir dados, como o colega Gilmar Cabral já havia relatado, a porta é bloqueada. O Squid 2.7 apesar de funcionar, está com desempenho bem abaixo do normal, mesmo com cache em disco desabilitado.

                                          –

                                          Luiz Fernando Cavalcanti
                                          IT Manager
                                          Arriviera Technology Group

                                          1 Reply Last reply Reply Quote 0
                                          • marcellocM Offline
                                            marcelloc
                                            last edited by

                                            @LFCavalcanti:

                                            1 - O Squid 3-DEV atualmente disponível no repositório não funciona em modo "não transparente" a não ser que seja configurado um método de autenticação. Se não ele gera a mensagem que já postei anteriormente.

                                            Não consegui simular isso aqui. O pacote sem autenticação definida e com ou sem modo transparente sobe tranquilamente…

                                            squid -k parse

                                            2013/10/30 19:07:43| Startup: Initializing Authentication Schemes ...
2013/10/30 19:07:43| Startup: Initialized Authentication Scheme 'basic'
2013/10/30 19:07:43| Startup: Initialized Authentication Scheme 'digest'
2013/10/30 19:07:43| Startup: Initialized Authentication Scheme 'negotiate'
2013/10/30 19:07:43| Startup: Initialized Authentication Scheme 'ntlm'
2013/10/30 19:07:43| Startup: Initialized Authentication.
2013/10/30 19:07:43| Processing Configuration File: /usr/pbi/squid-amd64/etc/squid/squid.conf (depth 0)
2013/10/30 19:07:43| Processing: http_port 172.16.xx.75:3128
2013/10/30 19:07:43| Processing: icp_port 7
2013/10/30 19:07:43| Processing: dns_v4_first on
2013/10/30 19:07:43| Processing: pid_filename /var/run/squid.pid
2013/10/30 19:07:43| Processing: cache_effective_user proxy
2013/10/30 19:07:43| Processing: cache_effective_group proxy
2013/10/30 19:07:43| Processing: error_default_language pt-br
2013/10/30 19:07:43| Processing: icon_directory /usr/pbi/squid-amd64/etc/squid/icons
2013/10/30 19:07:43| Processing: visible_hostname xxx.yyy.zz.br
2013/10/30 19:07:43| Processing: cache_mgr admin@localhost
2013/10/30 19:07:43| Processing: access_log /var/squid/logs/access.log
2013/10/30 19:07:43| Processing: cache_log /var/squid/logs/cache.log
2013/10/30 19:07:43| Processing: cache_store_log none
2013/10/30 19:07:43| Processing: logfile_rotate 30
2013/10/30 19:07:43| Processing: shutdown_lifetime 3 seconds
2013/10/30 19:07:43| Processing: acl localnet src  172.16.xx.0/24
2013/10/30 19:07:43| Processing: uri_whitespace strip
2013/10/30 19:07:43| Processing: acl dynamic urlpath_regex cgi-bin \?
2013/10/30 19:07:43| Processing: cache deny dynamic
2013/10/30 19:07:43| Processing: cache_mem 8 MB
2013/10/30 19:07:43| Processing: maximum_object_size_in_memory 32 KB
2013/10/30 19:07:43| Processing: memory_replacement_policy heap GDSF
2013/10/30 19:07:43| Processing: cache_replacement_policy heap LFUDA
2013/10/30 19:07:43| Processing: minimum_object_size 0 KB
2013/10/30 19:07:43| Processing: maximum_object_size 10 KB
2013/10/30 19:07:43| Processing: offline_mode off
2013/10/30 19:07:43| Processing: cache allow all
2013/10/30 19:07:43| Processing: acl allsrc src all
2013/10/30 19:07:43| Processing: acl safeports port 21 70 80 210 280 443 488 563 591 631 777 901 8443 3128 3127 1025-65535
2013/10/30 19:07:43| Processing: acl sslports port 443 563 8443
2013/10/30 19:07:43| Processing: acl purge method PURGE
2013/10/30 19:07:43| Processing: acl connect method CONNECT
2013/10/30 19:07:43| Processing: acl HTTP proto HTTP
2013/10/30 19:07:43| Processing: acl HTTPS proto HTTPS
2013/10/30 19:07:43| Processing: acl allowed_subnets src 172.16.0.0/12
2013/10/30 19:07:43| Processing: http_access allow manager localhost
2013/10/30 19:07:43| Processing: http_access deny manager
2013/10/30 19:07:43| Processing: http_access allow purge localhost
2013/10/30 19:07:43| Processing: http_access deny purge
2013/10/30 19:07:43| Processing: http_access deny !safeports
2013/10/30 19:07:43| Processing: http_access deny CONNECT !sslports
2013/10/30 19:07:43| Processing: request_body_max_size 0 KB
2013/10/30 19:07:43| Processing: delay_pools 1
2013/10/30 19:07:43| Processing: delay_class 1 2
2013/10/30 19:07:43| Processing: delay_parameters 1 -1/-1 -1/-1
2013/10/30 19:07:43| Processing: delay_initial_bucket_level 100
2013/10/30 19:07:43| Processing: delay_access 1 allow allsrc
2013/10/30 19:07:43| Processing: acl sglog url_regex -i sgr=ACCESSDENIED
2013/10/30 19:07:43| Processing: http_access deny sglog
2013/10/30 19:07:43| Processing: http_access allow allowed_subnets
2013/10/30 19:07:43| Processing: http_access allow localnet
2013/10/30 19:07:43| Processing: http_access deny allsrc
2013/10/30 19:07:43| Initializing https proxy context

                                            squid.conf

                                            # This file is automatically generated by pfSense
# Do not edit manually !

http_port 172.16.xx.75:3128
icp_port 7
dns_v4_first on
pid_filename /var/run/squid.pid
cache_effective_user proxy
cache_effective_group proxy
error_default_language pt-br
icon_directory /usr/pbi/squid-amd64/etc/squid/icons
visible_hostname xx.yy.zz.br
cache_mgr admin@localhost
access_log /var/squid/logs/access.log
cache_log /var/squid/logs/cache.log
cache_store_log none

logfile_rotate 30
shutdown_lifetime 3 seconds
# Allow local network(s) on interface(s)
acl localnet src  172.16.xx.0/24
uri_whitespace strip

acl dynamic urlpath_regex cgi-bin \?
cache deny dynamic

cache_mem 8 MB
maximum_object_size_in_memory 32 KB
memory_replacement_policy heap GDSF
cache_replacement_policy heap LFUDA

minimum_object_size 0 KB
maximum_object_size 10 KB
offline_mode off
cache allow all

# No redirector configured

#Remote proxies

# Setup some default acls
# From 3.2 further configuration cleanups have been done to make things easier and safer. The manager, localhost, and to_localhost ACL definitions are now built-in.
# acl localhost src 127.0.0.1/32
acl allsrc src all
acl safeports port 21 70 80 210 280 443 488 563 591 631 777 901 8443 3128 3127 1025-65535 
acl sslports port 443 563 8443 

# From 3.2 further configuration cleanups have been done to make things easier and safer. The manager, localhost, and to_localhost ACL definitions are now built-in.
#acl manager proto cache_object

acl purge method PURGE
acl connect method CONNECT

# Define protocols used for redirects
acl HTTP proto HTTP
acl HTTPS proto HTTPS
acl allowed_subnets src 172.16.0.0/12
http_access allow manager localhost

http_access deny manager
http_access allow purge localhost
http_access deny purge
http_access deny !safeports
http_access deny CONNECT !sslports

# Always allow localhost connections
# From 3.2 further configuration cleanups have been done to make things easier and safer. 
# The manager, localhost, and to_localhost ACL definitions are now built-in.
# http_access allow localhost

request_body_max_size 0 KB
delay_pools 1
delay_class 1 2
delay_parameters 1 -1/-1 -1/-1
delay_initial_bucket_level 100
delay_access 1 allow allsrc

# Reverse Proxy settings

# Custom options

acl sglog url_regex -i sgr=ACCESSDENIED
http_access deny sglog
# Setup allowed acls
# Allow local network(s) on interface(s)
http_access allow allowed_subnets
http_access allow localnet
# Default block all to be sure
http_access deny allsrc

                                            @LFCavalcanti:

                                            2 - Se desmarcarmos a opção "Allow IPv6" em System > Advanced > Networking o Squid3 e Squid3-DEV param de receber e transmitir dados,

                                            Desta forma o squid não consegue subir a porta.
                                            Só consegui diagnosticar que isso ocorre quando o squid é compilado com ipv6

                                            Treinamentos de Elite: http://sys-squad.com

                                            Help a community developer! ;D

                                            1 Reply Last reply Reply Quote 0
                                            • First post
                                              Last post
                                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.