Lenteur Serveur IPCOP aléatoire ?

[admin_ipcop]

bonjour, sur un ipcop fraichement installé, avec ou sans l'ad on SquidGuard-addon 1.4.2 développé par Franck Bourdonnec (module disponible sur http://franck78.ath.cx) je rencontre plusieurs lenteur de réaction du serveur.
Le serveur : PIII Xeon 1Go ram 80Go de disque en RAID 5 15000 tr/min ...
cartes réseaux , rouge et vert. proxy transparent.
installation impec sans écorchure niveau matériel.
le problème : sur les 50 machines qui passent par ce serveur pour sortir, on rencontre parfois une lenteur de réaction qui se solde souvent par un message du genre " le site truc point com à mis trop de temps à répondre ...." . si on ré-essai une ou deux minute plus tard cela fonctionne.
même problème avec la messagerie outlook installé sur les postes clients, on rencontre parfois : "délai de connexion dépassée"
Dernier phénomène : pour accéder à l'interface web d'administration via ports 81 ou 445 , les navigateur affichent le message " mis trop de temps répondre" par contre si je ping le serveur ipcop au moins 4 ou 5 fois avant, j'accède à l'interface web aussitôt.

une idée?

[jdh]

dns ?
qualité du réseau interne ?
vlan ?



NB : c'est quoi "80 G de disque en Raid 5 15000 tours" ? Ce serait pas plutôt "80 G de disque en SCSI 15000t" ?
NB : le disque joue peu dans la performance réseau
NB : Dans l'addon de Franck78, il y a paramétrage de SquidGuard complément naturel de Squid. Il y a l'utilisation des blacklists de Toulouse. mais il faut qu'elles soient compilées (squidGuard -C all) : cela demande 15' sur un PIII (ou peut-être plus). Ensuite, à l'utilisation, avec ou sans, le temps est quasi le même : c'est imperceptible ou presque !

NB : Si proxy transparent, cela veut dire que Squid sur l'Ipcop joue, donc le dns d'Ipcop doit être "nickel" !

[admin_ipcop]

NB : c'est quoi "80 G de disque en Raid 5 15000 tours" ? Ce serait pas plutôt "80 G de disque en SCSI 15000t" ?

oui 5 disque scsi en raid 5

NB : Dans l'addon de Franck78, il y a paramétrage de SquidGuard complément naturel de Squid. Il y a l'utilisation des blacklists de Toulouse. mais il faut qu'elles soient compilées (squidGuard -C all)

: ça c'est fait... plusieurs fois meme, j'ai attendu un peu oui.

NB : Si proxy transparent, cela veut dire que Squid sur l'Ipcop joue, donc le dns d'Ipcop doit être "nickel" !

he bien le dns je viens de voir le fichier resolv.conf dans /etc : il est resté sur : nameserver: 127.0.0.1
il me semble avoir mis celui de notre FAI ( oleanne entre autre...)
je vais donc remettre nameserver à 194.2.0.20 et 50 pour voir.
affaire a suivre.

[Franck78]

Hello,

C'est un IPCop 1.4 j'imagine. Sur un serveur de récup ayant fait ses preuves. Ajoutons qu'il y a assez d'IPCop en action pour éliminer les bugs intempestifs'.

Il ne reste donc plutôt vraiment que l'intégration avec l'environement....
-adressages IP?
-bouclage ethernet?
....

[admin_ipcop]

rebonjour

bon, j'ai chercher plus loin pour comprendre pourquoi les dns mis au départ avaient disparus. en fait il n'ont pas disparus , ils se trouvent dans /var/ipcop/red.resolv.conf et il y a bien les deux nameserver 194.2.0.20 et 194.2.0.50.
alors dois je remettre 127.0.0.1 dans /etc/resolv.conf ?

PS: il y a un serveur DNS et un serveur DHCP sur le domaine où se trouvent les 50 pc qui passent par ipcop pour consulter le web.(se sont deux serveurs winows 2003 ) les nslookup fonctionnent parfaitement sur les poste clients et sur les serveurs en interrogeant l'interne et l'externe.



pourtant avant ipcop , c'etait instantané , nous sommes en Xdsl 2M dans les deux sens. j'ai meme fait un test ipcop installé sur un pc plus recent quadcore 12Go ram, mais toujours le meme prob , des fois cela ne repond plus. meme le ssh vers ipcop, pour y acceder je dois pinger ipcop 4 ou 5 fois avant et tout refonctionne. j'ai forcement sauté un truc !!

[admin_ipcop]

Ha Bonjour amiral Franck78 !!
et bravo pour cet Add On efficace !
Alors oui pour le test avant production j'utilise un vieux serveur de reccup , formaté et tout et tout avec deux carte reseaux.
Par contre heu comme je suis pas expert : que veux dire bouclage ethernet par rapport à ipcop ?
pour l'adressage ip haaaa ben oui c'est pas parfait pour l'instant car je ne peux pas faire autrement :
adresse static des poste clients et des serveur windows 192.168.0.1 à 192.168.0.70 mask 255.255.255.0 passerelle : 192.168.1.250
ipcop :
vert :192.168.1.250 255.255.255.0
rouge: 192.168.1.249 255.255.255.0
pointe sur le routeur 192.168.1.254


routeur (box oleane xdls) 192.168.1.254

voila j'ai du fil a retordre ?

[Franck78]

vert :192.168.1.250 255.255.255.0
rouge: 192.168.1.249 255.255.255.0

Tout est dit. Adressage foireux. Voir cours Christian Caleca

[jdh]

cf le Newbie kit !
+1 dans le compteur de répétition cette semaine "Green et Red DOIVENT être différents".
(J'ai vraiment du mal à comprendre pourquoi cela me/nous parait si évident et que cela n'inquiète jamais les débutants !)

Christian CALECA peut surtout aider à comprendre le problème "192.168.0.1 à 192.168.0.70 mask 255.255.255.0 passerelle : 192.168.1.250" !



NB : dans /etc/resolv.conf on peut avoir 127.0.0.1 si localement on offre un service dns. Or, justement Ipcop, le fourni avec dnsmasq. Donc les dns saisis doivent se retrouver dans la conf de dnsmasq ...

[admin_ipcop]

vert :192.168.1.250 255.255.255.0
rouge: 192.168.1.249 255.255.255.0



Tout est dit. Adressage foireux. Voir cours Christian Caleca

Ha ben je m'en doutais ...
Mais le probleme c'est que je ne peux pas faire :
vert : 192.168.1.X
rouge 192.168.2.X car je n'ai pas encore la main sur notre routeur dsl. on à pas encore l'acces admin de ce routeur donc on ne peux pas le mettre en 192.168.2.X

A moins qu'il y ai une autre solution ?

Donc je pense que tout est dit oui, on va pourvoir fermer ..
Merci beaucoup pour la réactivité. et encore bravo pour vos efforts.

[Franck78]

Code: Tout sélectionner

A moins qu'il y ai une autre solution ?

faire plier les RFC existantes depuis quarante ans? non!

par contre pour tester IPCop, rien n'empèche , avec un adressage correct, de basculer quelques postes de travail sur l'adressage GREEN.
Préférablement sur un segment réseau isolé;
à défaut tout sur le même segment mais dhcp d'ipcop désactivé; les réseaux IP ne vont pas se mélanger même si c'est déconseillé.

[jdh]

Allo Mr Orange, vous pouvez changer l'ip interne de votre routeur installé chez nous.

Ensuite, l'ip Green d'Ipcop est configurée à l'ancienne du routeur,
Red est configuré (en static) avec une ip qui va bien avec celle du routeur (avec un câble croisé direct entre le routeur et Red).
Durée : 10' maxi (15' avec des moufles vu le temps)

[admin_ipcop]

Bonsoir,
Bon demain si je tente de changer ce plan d'adressage foireux et je vous donne des nouvelles des tests.
a plus.

[admin_ipcop]

Bonjour,

Donc voila ce que j'ai modifié pour le moment :

green : 192.168.1.250 255.255.255.0 Les postes clients ont comme passerelle : 192.168.1.250
serveur DNS des clients : 192.168.1.1 et 192.168.1.2 , serveur DHCP : 192.168.1.1 , NTP : 192.168.1.1

red : 192.168.2.249 255.255.255.0 pointe sur le routeur qui est en : 192.168.1.253 (ben non je suis pas borné je comprend tres bien )
dns sur red : 194.2.0.20 et 194.2.0.50

Pour le moment cela semble ne plus perturber le reseau ( je sais ce n'est pas propre mais en attendant de mettre le routeur en 192.168.2.253)
les postes clients n'ont plus de problemes pour envoyer et recevoir avec outlook ( 110 et 587 )

voila , qu'en pensez vous messieurs les amirals ?
Merci encore de votre patience envers moi .
à bientot

[Franck78]

voila , qu'en pensez vous messieurs les amirals ?

Que RED pourrait tout aussi bien être débranchée. Bref, ca ne rime à rien sauf si le but est d'utiliser le GUI de IPCop.

[jdh]

Cela n'est pas très clair :

comment Red (192.168.2.249/24) pourrait communiquer avec le routeur (192.168.1.253) ? (ces 2 adresses ne sont pas dans le même réseau !)

Avec la remarque de Franck, cela donne en effet l'impression que Red n'est pas branché ... ce qui n'est pas le mode normal de fonctionnement d'Ipcop.
Dans un tel schéma, Ipcop n'est qu'un proxy et n'a aucun rôle de firewall : n'importe qui passe en adresse statique avec le routeur comme passerelle et fait ce qu'il veut !

Pourtant j'ai décris une méthode qui fonctionne en 10-15' (avec, au bout du fil, un tech Orange qui comprend bien les choses).