Установка MITIGATOR

Mon, 01 Jan 0001 00:00:00 +0000

Предполагается размещать все файлы в рабочем каталоге /srv/mitigator: mkdir -p /srv/mitigator && \ cd /srv/mitigator 1. Docker Compose Поместить базовую конфигурацию Docker Compose в рабочий каталог: wget https://docs.mitigator.ru/v26.08/dist/docker-compose.yml Скачать базовый файл переменных и сохранить его под именем .env: wget https://docs.mitigator.ru/v26.08/dist/env -O /srv/mitigator/.env В файле .env задать: Версию системы (VERSION, обязательно). Микроархитектуру процессора из списка указанных в файле-примере (ARCH). Максимальное количество политик защиты IPv4 (DATA_PLANE_NR_POLICIES). Максимальное количество политик защиты IPv6 (DATA_PLANE_NR_POLICIES_IPV6). Имя экземпляра в кластере (MITIGATOR_OWN_NAME, обязательно). IP-адрес для доступа контейнеров к хосту (MITIGATOR_HOST_ADDRESS, обязательно). IP-адрес или доменное имя для клиентов API и UI (MITIGATOR_PUBLIC_ADDRESS, обязательно). Мастер-пароль для шифрования чувствительных настроек (MITIGATOR_MASTER_SECRET, обязательно). При работе в кластере на всех экземплярах MITIGATOR мастер-секрет должен быть одинаковым. Прокси для сервера лицензий (ls.mitigator.ru), почтовых уведомлений и службы «Весточка». Часовой пояс (TZ). Токен взаимодействия Backend и Watchhog (TOKEN, обязательно поменять). При работе в кластере на всех экземплярах MITIGATOR TOKEN должен быть одинаковым. Подробно эти настройки описаны внутри файла-примера.

Troubleshooting

Mon, 01 Jan 0001 00:00:00 +0000

Не загружаются драйверы (modprobe) Симптомы: При загрузке модуля: modprobe: FATAL: Module igb_uio not found in directory /lib/modules/4.9.0-6-amd64 При установке пакета: Module build for kernel 4.9.0-6-amd64 was skipped since the kernel headers for this kernel does not seem to be installed. Необходимо установить пакет linux-headers-amd64 (Debian) и убедиться, что загружена версия ядра, соответствующая версии этого пакета, после чего выполнить:

Изоляция ядер для оптимизации производительности

Mon, 01 Jan 0001 00:00:00 +0000

По умолчанию ядра CPU, работающие с сетевыми портами, используются и другими подсистемами. Это может снижать производительность и вызывать всплески Input Errors pps/bps на графиках Port extX/intX. Можно снять часть нагрузки с этих ядер, запретив некритичным подсистемам выполняться на них. Для этого: В опциях ядра пропишите изоляцию ядер обработчика пакетов через параметры isolcpus=... и rcu_nocbs=.... Также рекомендуется добавить mitigations=off для отключения патчей безопасности ядра. В .env добавьте параметры: DATA_PLANE_CPUS — список ядер, выделенных под обработчик пакетов (dataplane); CONTROL_PLANE_CPUS — список ядер, выделенных под остальные подсистемы (все остальные ядра). Скачайте docker-compose.cpuisol.yml, применяющий параметр cpuset для всех подсистем:

Настройки обработчика пакетов

Mon, 01 Jan 0001 00:00:00 +0000

Обработчик пакетов настраивается через файл dataplane.conf. Файл необходимо поместить в рабочий каталог MITIGATOR и добавить в него настройки, которые требуется изменить. Для незаданных настроек используются значения по умолчанию. Комментарии задаются через #, // или /* */. Доступные параметры (указаны значения по умолчанию): # IP-адрес сокета управления приложением. control_address: 0.0.0.0 # TCP-порт сокета управления приложением. # [1, 65535] control_port: 8888 # TCP-порт отладочного сокета управления приложением. # [1, 65535] debug_port: 8889 # TCP-порт gRPC-сокета управления приложением. # [1, 65535] grpc_port: 8890 # UDP-порт сокета управления sync/web-challenger. # [1, 65535] sync_udp_port: 8891 # Количество потоков обработки запросов к порту управления. # [1, 1000] control_threads: 20 # Таймаут обработки запросов к порту управления (секунды). # [1, 10000] control_request_timeout: 15 # Таймаут обработки содержимого запросов/ответов порта управления (секунды). # [1, 10000] control_content_timeout: 300 # Включение логирования событий порта управления. control_log: false # Ограничение на максимальную длину сообщения логирования событий порта управления. # [0, 100000] control_log_limit: 100 # Количество потоков обработки синхронизации данных. # [1, 1000] sync_threads: 10 # Включение логирования событий синхронизации данных. sync_log: false # Включение дополнительных ядер для сокета управления sync/web-challenger. use_extra_service_cores: false # MAC-адрес отправляемых challenge-пакетов. challenge_mac: <не задано> # VLAN ID отправляемых challenge-пакетов. # [1, 4095] challenge_vlan_id: <не задано> # LACP system ID. # По умолчанию используется локальный MAC-адрес. lacp_system_id: <автоопределение> # Операционный ключ порта LACP. # [0, 65535] lacp_oper_key: 1000 # Период повторной отправки запросов резолвера MAC-адресов (секунды). # [1, 10000] mac_retransmit_time: 5 # Время жизни валидных записей резолвера MAC-адресов (секунды). # [1, 10000] mac_reachable_time: 30 # Время жизни протухших записей резолвера MAC-адресов (секунды). # [1, 10000] mac_stale_time: 60 # Максимально допустимое количество политик IPv4. # [1, 60000] max_policies: 100 # Максимально допустимое количество политик IPv6. # [1, 60000] max_policies6: 100 # Максимально допустимая разрядность используемых SIMD-инструкций. # [0, 512] max_simd_bitwidth: <автоопределение> # Размер пула памяти сетевых пакетов (на NUMA-ноду). # [0, 2^31] packet_mempool_size: <автоопределение> # Включение отложенного старта обработки пакетов. # Сетевые порты поднимаются только после полной инициализации приложения. # Предотвращает появление петель на сети. deferred_start: false # Включение особого режима работы с сетевыми картами с двумя портами # (для `port_direct_mode: true`). # Каждый порт карты обрабатывается на отдельном наборе ядер. # Улучшает производительность на скоростях 100G и выше, # когда используются оба порта одновременно. dual_port_nic: false # Политика разгрузки контрольной суммы для RX-пакетов: # `false` - не запрашивать разгрузку, проверять программно; # `true` - включить разгрузку для всех портов, если поддерживается. # Включает разгрузку контрольной суммы только для физических портов, если не указано. port_checksum_offload: <автоопределение> # Режим обработки I/O-очередей сетевых портов: # `false` - обрабатывать I/O-очереди портов на выделенных ядрах, # рекомендуется для небольших скоростей; # `true` - обрабатывать I/O-очереди портов на ядрах обработки пакетов, # рекомендуется для скоростей 100G и выше. port_direct_mode: <автоопределение> # Скорость сетевых портов (Мбит/с). # Отключает автосогласование скорости, если задано. # [100|1000|10000|...] или [100M|1G|10G|...] port_link_speed: <автосогласование> # Включение синхронизации состояния линка пар сетевых портов. port_lsp: false # MTU сетевых портов. # [0, 65535] port_mtu: 1500 # Размер кольцевых буферов обмена пакетами между ядрами обработки I/O-очередей сетевых # портов и ядрами обработки пакетов (для `port_direct_mode: false`). # [0, 2^20] port_ring_size: 8192 # Количество RX-дескрипторов сетевых портов. # [0, 65535] port_rx_desc: <автоопределение> # Количество TX-дескрипторов сетевых портов. # [0, 65535] port_tx_desc: <автоопределение> # Максимальное количество попыток повторной отправки сетевых пакетов в порт. # [0, 2^31] port_tx_retries: 128 # Ядра обработки I/O-очередей сетевых портов (для `port_direct_mode: false`). # Список диапазонов [0, 255] port_cores: <автоопределение> # Количество ядер обработки I/O-очередей сетевых портов (на NUMA-ноду). # [0, 256] port_cores_nr: <автоопределение> # NUMA-ноды ядер обработки I/O-очередей сетевых портов. # Список диапазонов [0, 7] или `all`: # `all` - использовать все ноды. port_nodes: <автоопределение> # Ядра обработки пакетов. # Список диапазонов [0, 255] worker_cores: <автоопределение> # Количество ядер обработки пакетов (на NUMA-ноду). # [0, 256] worker_cores_nr: <автоопределение> # NUMA-ноды ядер обработки пакетов. # Список диапазонов [0, 7] или `all`: # `all` - использовать все ноды. worker_nodes: <автоопределение> # Список сетевых портов. # Определяет сетевые порты, используемые обработчиком пакетов. # Настраивает пары портов, зоны портов и их порядок. # Формируется автоматически для всех обнаруженных портов, если не задан. # Если задан, должны быть перечислены все используемые порты. # # Формат: # <зона_порта> [ext|int] <индекс_пары> [0, 255] : # id_порта: # или <номер_порта> [0, 255] или <имя_порта> (строка). # # Пример: ext0: 01:00.0 int0: 01:00.1 ext1: 04:00.0 int1: 04:00.1 Похожие статьи Изоляция ядер для оптимизации производительности Graphite на отдельном сервере Troubleshooting Документация pgfailover Доступ к интерфейсу Grafana Изменение конфигурационных параметров ClickHouse Использование единого Graphite для нескольких кластеров MITIGATOR Настройка времени хранения метрик в Graphite Настройка системы для карт Mellanox (NVIDIA) Настройка эшелонированной защиты на базе MITIGATOR

dataplane :: Tag :: BIFIT Mitigator

Установка MITIGATOR

Troubleshooting

Изоляция ядер для оптимизации производительности

Настройки обработчика пакетов