Код:

Feb 27 20:10:17 jnet kernel:
Feb 27 20:10:17 jnet kernel:
Feb 27 20:10:17 jnet kernel: Fatal trap 12: page fault while in kernel mode
Feb 27 20:10:17 jnet kernel: cpuid = 0; apic id = 00
Feb 27 20:10:17 jnet kernel: fault virtual address      = 0xcd60f604
Feb 27 20:10:17 jnet kernel: fault code         = supervisor write, page not present
Feb 27 20:10:17 jnet kernel: instruction pointer        = 0x20:0xc07e9c1a
Feb 27 20:10:17 jnet kernel: stack pointer              = 0x28:0xe7b6cb34
Feb 27 20:10:17 jnet kernel: frame pointer              = 0x28:0xe7b6cb98
Feb 27 20:10:17 jnet kernel: code segment               = base 0x0, limit 0xfffff, type 0x1b
Feb 27 20:10:17 jnet kernel: = DPL 0, pres 1, def32 1, gran 1
Feb 27 20:10:17 jnet kernel: processor eflags   = interrupt enabled, resume, IOPL = 0
Feb 27 20:10:17 jnet kernel: current process            = 944 (ipcad)
Feb 27 20:10:17 jnet kernel: trap number                = 12
Feb 27 20:10:17 jnet kernel: panic: page fault
Feb 27 20:10:17 jnet kernel: cpuid = 1
Feb 27 20:10:17 jnet kernel: Uptime: 14h29m16s
Feb 27 20:10:17 jnet kernel: Physical memory: 2001 MB
Feb 27 20:10:17 jnet kernel: Dumping 182 MB:Copyright (c) 1992-2009 The FreeBSD Project.

на монике появляется вот это и все сервер зависает, но продолжает пинговатся
после ребута опять продолжает работать но не на долго, закономерностей не замечено.

или как хотябы зделать чтобы сервак сам ребутался после дампа?

На сервере mpd стоит? 

А вообще большие сложности прикрутить, динамическую выдачу ИП в текущую версию?  Я совсем уперся уже, райп отказал в выдаче еще одной сети,  а у меня даже половина ИП не используется в час пик.

Откатываться на нат нет никакого желания, конкуренты тоже давят. Практически у всех ип выдаются белые.

недавно настроил на фре 8.0 веб-сервер, но вылезла такая проблема: когда переносил сайт с не очень большим посещениям, то апач вилетает неизвесно от чего.
логи молчат. пробывал пересобирать сам апач и саму фрю несклько раз, ничего не помогает
даже с нуля фрю собырал, толку 0.

кто нибуть встречал подобную проблемму??

p.s. на старом веб-сервере апач работает отлично. хоть и там железо разов в 4 слабое.

у меня сейчас сервер с ядром нодени и вэб-сервером + на нем хостятся еще 8 сайтов, стоит на 8.0 проблем нет. Я бы все таки рыл в сторону железа.

Без проблем весь трафик через PPPoE гонять... Любой современный тазик переварит 250 клиентов.

А можешь подсказать какая у тебя нагрузка, трафик, и железо.
Тут просто выходит что центр будет самое нагруженное место.
И допустим торрент или DC++ не сможет работать на полную мощь. Т.к боюсь гига центре мало будет.  тем более это все будет висеть на одной Гиговой сетевой.

 skip

ng264: flags=88d1<UP,POINTOPOINT,RUNNING,NOARP,SIMPLEX,MULTICAST> metric 0 mtu 1480
        inet 172.17.50.1 --> 172.17.50.214 netmask 0xffffffff
gw# top -S
last pid: 36770;  load averages:  1.28,  0.81,  0.73    up 1+10:25:25  23:45:45
137 processes: 5 running, 112 sleeping, 20 waiting
CPU states:  3.9% user,  0.0% nice, 48.5% system, 14.5% interrupt, 33.1% idle
Mem: 305M Active, 449M Inact, 190M Wired, 33M Cache, 110M Buf, 7132K Free
Swap: 6849M Total, 6849M Free

  PID USERNAME    THR PRI NICE   SIZE    RES STATE  C   TIME   WCPU COMMAND
 2729 root          4   4  -15 13584K  7080K sbwait 0 288:54 59.03% ipcad
   11 root          1 171 ki31     0K     8K RUN    1  28.6H 36.23% idle: cpu1
   12 root          1 171 ki31     0K     8K RUN    0  24.8H 35.60% idle: cpu0
   23 root          1 -68    -     0K     8K -      0 359:09 32.67% em0 taskq
   15 root          1 -44    -     0K     8K CPU0   0  77:14 25.49% swi1: net
64836 root          1   8  -15 59600K 57200K nanslp 1   6:54  0.78% perl5.8.8
 2702 mysql        23   4    0   484M   162M sbwait 0  23:17  0.24% mysqld


Сейчас авторизовано около 270 клиентов по пппое.  Больше всех жрет ipcad и то только потому, что локальный трафик загнан на него, если пускать его мимо ipcad  то загрузка сервера около 15%
Сервер обычный Core Dou Канал в инет нагружен где то на 15 Мбит.

В-шестых, уже авторизация клиента не связана с ip - введено понятие "сессия" (см. Radius) - сколько сессий насоздавал клиент, столько и будет светиться. Т.е. возможен такой вариант - школе дается один логин и пароль клиента "школа", дальше все компы класса соединяются по pppoe (pptp) с сервером, им выдаются какие-то ипы, даже неважно какие, факт в том, что сколько бы не подключилось компов - все они будут принадлежать логину "школа" - иметь один id (никаких алиасов), но будут иметь разные идентификаторы сессий (динамические). У сессий будут параметры мак-адрес, ip и/или другие, какие есть.

Пока хватит)

Неплохо.  При таком подходе можно ставить дублирующие PPPoE сервера и назначать им в пулл реальные ИП сети. А не только динамические ИП делать. Ждем новую версию...

http://ip-as.ru/

покупай свою сеть внешних адресов и делаю bgp маршрутизацию.

У меня есть сеть внешних ИП и не одна. И маршрутизация БГП тоже сделана.

Проблема в том, что бы выдать их динамически.  Эти сети не резиновые. И проплата за следующую сеть ип не гарантия того что новую сеть выдадут. Потому что придется доказывать, что предыдущая сеть исчерпана. Не зря райп просит заводить эти сети на графики МРТЖ

> Также, для ускорения обработки последущих заявок рекомендуем
> предоставлять статистику использования адресного пространства
> в виде MRTG-графиков. Сбор статистики можно начать уже сейчас.
> Подробнее об этом можно прочитать на сайте RIPE:
> http://www.ripe.net/rs/ipv4/ipv4-verification.html
> http://www.ripe.net/rs/ipv4/verification-graphs.html

Поэтому динамическая выдача это уже необходимость....   Учет реальных ИП превращается уже в кошмар.

Решили в сети убрать NAT и выдавать клиентам реальные IP. В нодени не предусмотрена динамическая выдача ип, а диапазон реальных IP не резиновый.  Отслеживать в ручном режиме их довольно сложно. Поскольку минусовой баланс не является критерием. Сейчас у клиента минус через 5 мин плюс.  Вобщем, нужен совет, кто как выходит из положения?

Нашел на НАГе:

Активных качальщиков режем таким способом:
Завели для клиентов 4 класса - 0, 1, 2, 3.
Класс 3 - это самый приоритетный, который идет без ограничений.
Для класса 2 завели пайп на 5Мегабит
Для класса 1 завели пайп на 4Мегабита
Для класса 0 завели пайп на 2Мегабита

В билинге ведется учет объема МБ по каждому безлимитчику, как только этот объем превысит, например 40% от теоретического объема тарифного плана - к такому клиенту начинает применяться следующий алгоритм:
Проверяется объем выкачанной абонентом за последний час информации и если он превышает 80% от теоретического - клиенту понижается класс на еденицу, а если не превышает - то класс повышается на еденицу.
Таким образом все активные качальщики сидят в зависимости от наглости в классах 0, 1 и 2 и меньше грузят общий канал.

Вот так было-бы супер!
Не пинайте, предлагаю как идею по дальнейшему совершенствованию.

Очень здравый алгоритм.

я не совсем понял, что значит "внутренние адреса у нас не авторизованы"? Предположу: клиенты для обмена трафиком между собой используют адреса, прописанные на интерфейсе, а для выхода в инет pppoe?

да правильно. Иначе маршрутизировать на разных устройствах не получится, а кошка не может нарезать скорости на каждого клиента

[Маршрутизируем на сервере:]

а что ее описывать? при включении авторизатора в режим "сеть", скрипт управления фаерволом блочит инет, но разрешает трафик между зарегистрированными в биллинге ip. Если сервера с контентом находятся за сервером - этим мона регулировать к ним доступ (и считать трафик, походу). Тоже относится и к клиентам - если есть изолированные сегменты, то разрешится трафик только между сегментами

В связи с этим очень не хватает настройки в карточке пользователя. Авторизация , Всегда онлайн   Не хватает опции Только сеть.

рассматривайте "всегда онлайн" как тестовую вещь, только для проверки. Любой узел, должен быть авторизирован! Где у тебя не получается сделать авторизацию?

Поясню на простом примере:

Отказываемся впринципе от авторизатора (аксиома) Авторизуемся с помощью только PPPoE
Создадим три вилана,  в каждый вилан  поместим один дом ( не можем мы чисто финансово каждому пользователю дать вилан)
сведем три вилана на 3 порта cisco 3-го уровня
в четвертый порт воткнем сервер нодени (для упрощения примера он один)

Итак маршрутизировать виланы мы можем либо на киско либо на сервере с нодени.
Маршрутизируем на сервере:
В нодени каждому пользователю назначаем ип который он будет получать по пппое, каждый пользователь авторизуется все красиво работает, пока они (пользователи не начинают гонять трафик между собой), тут наш сервер и умирает. Трафик большой комп понятно не тянет.

Маршрутизируем на кошке, самой дешевой 450 баксов за 48 портов, cisco 3550 13,5 Гбит/сек по внутренней шине

Каждому вилану назначаем свою подсеть адресов, каждому пользователю выдаем адрес из этой подсети и заводим алиас для пппое. По пппое каждый пользователь будет ходить в инет через сервер нодени, по адресам внутренних подсетей между собой через кошку. По ДХЦП передаем не только ип, но и маршруты. На сервере запрещаем маршрутизацию выданных подсетей. Все красиво, все работает за исключением пользователи с отрицательными балансами без проблем маршрутизируются нашей кошкой, а нам очень этого не хочется....
 
Достаем из поставки нодени модуль для работы с киской, настраиваем акцесс листы, запускаем все и обламываемся.... поскольку внутренние адреса у нас не авторизованы..... ( а от авторизатора мы отказались) поставив все эти адреса всегда онлайн, мы рискуем выпустить толпу в инет... Вот тут бы нам ввести третью степень авторизации локальная сеть....


а сейчас вышли из положения следующим образом, пишем на баше скрипт и выгребаем в текстовый файл все ип имеющие положительные балансы и 1 раз в 5 мин по крону грузим этот лист в кошку. (не красиво, лист огромных размеров и еще много всяких бяк) Но все работает.

Сейчас все разъясню.

Последние несколько версий происходит в основном причесывание кода. Никаких принципиальный изменений не происходит. Еси вылазят косяки, то они быстро правятся, так как, повторюсь, код правится в основном косметически.  Например, в модуле микротика и cisco  поменялись названия подпрограммы получения времени, я изменил на заглавные буквы т.к. подпрограмма глобальная ( &time_now() на &TimeNow() ). Сделано это для того, чтобы легче было править код в дальнейшем. Раньше его правил только я, сейчас многие пытаются делать свои модули. Чтобы было все удобно, красиво и правильно, я постепенно подгоняю код под стандарты. Раньше меня интересовала в основном надежность кода, сейчас решил сделать его еще более понятным. Например, стараюсь использовать use strict, отдельное пространство имен для модулей - смотрите, к примеру, nosat.pm - это готовый автономный модуль для работы на удаленном сервере, берите и пишите свой модуль.

Насчет урезания функционала.Вопрос так не стоит. Есть цель получить новый функционал, который зажат в рамках старых анахронизмов, в частности все идет к тому, что алиасы должны быть уничтожены, а дополнительные ip адреса/логины/пароли - в дополнительных данных. Процесс нелегкий ибо надо прошустрить весь код.

Про какие линейки взвыл абон.отдел сразу я не понял? Почему бы не поставить на тестовой машине, да хотя бы на vmware и протестировать? Что не понравилось - отписался на форуме, я среагировал.

в 50.32й версии не за горами, я в ней внимательно тестирую фичу и уже отловил и исправил несколько мелких багов, сделаны оптимизации sql-запросов, так что ждите повышение производительности. Серьезных проблем уже давно не наблюдалось, так что осталось подрихтовать мелочи чтобы все всех устраивало и выпускаю стабильную версию.

Для нас всегда болезненно, когда меняется структура базы, поскольку отчеты, которые мы разрабатываем опираются в основном только на нее.  Нодени очень хорош в части управления пользователями, но отчетность в нем сильно хромает.
Вот одна из проблем :  эффект от ввода нового тарифа никак нельзя проследить в нем, поэтому приходится писать отчеты, которые анализируют, общую загруженность канала, загруженность канала по определенному тарифу, деньги за месяц которые тариф принес и оценивают приблизительно себестоимость канала на тариф. Поскольку изначально было решено, что мы будем обновляться на новые версии, соответственно, не вносить в код своих добавок и исправлений, взяли за основу базу данных.
  Это позволяет нам не писать свои модули в рамках общего функционала, а действительно делать новые и интересные программы для нодени.
  Допустим модуль для карточек написан на аксессе, отчетность на пхп, 1С выгребает данные тоже через базу через таблицу users (причем писал программист который обслуживает только 1С, я даже не знаю на каком языке) Договора, это отдельная программа на визуал бэйсике.  Внедрен обещанный платеж совместно с АТС на астериксе. А модуль ДХЦП у нас с версии 45q на башевском скрипте. ( и до сих пор стоит на версии 50 ) И во главе этого  база данных, которая если меняется, приносит головняки всем.
 Писать модули в рамках кода нодени, для меня это небольшой функционал.

 Если разработчик хорошо опишет БД, и не будет ее кардинально менять нодени будет обрастать хорошим функционалом сторонних производителей. Далее можно размещать заказы у сторонних программистов, которые не владеют перлом, но разбираются в задачах, которые мы им ставим.

А Управление пользователями и подсчет трафика в нодени лучшее. И мы пока не готовы остановиться на одной из версий и далее разрабатывать свой вспомогательный функционал.

Сейчас написанные модули, надо обязательно связывать с версией.  Допустим модуль смены пароля, надо при смене версии дорабатывать, пусть в этот раз только сменой версии внутри кода.  Модуль (отдельную программу) можно написать один раз и если все устраивает забыть про нее.

Поле contract в таблице users тоже используется где то в стороннем софте и когда его невозможно стало заносить в алиасе то перестали выходить чеки в 1 С  (слава богу пофиксили быстро, но пришлось лезть в код нодени)

По поводу чего взвыл абонотдел. Раньше слева выскакивал список улиц, щелкнув по улице выскакивала линейка с домами, и щелкнув на дом фильтровались пользователи этого конкретного дома. Сейчас этого нет. Я раскоментарил в listusers.pl строки, но улицы слева так и не появились.

Алиасы для нас только группировка в один счет, чего действительно в них не хватает, это собственного тарифного плана. Что бы в рамках одного счета, можно было допустим выбрать безлимитный и лимитный тариф.

Кстати главное неудобство новой версии на которое мне жалуются операторы - пропала линейка с выбором домов.
Ее както можно вернуть и показывать когда допустим сделана выборка по улице?

И еще. В Алиасе исчезло поле контракт. У нас вся работа абон. отдела была заточена, то, что  алиас имел это поле. Тоесть бумажные договора были  к ним привязаны. Хорошо что изменение в коде было незначительным. И программисты нашли где поправить в коде. Но так менять функционал в сторону урезания фич, это неправильно. Про линейки,  абон. отдел тоже взвыл сразу. В версии 50.31 перестал работать nofire.pl для cisco, ругается на time_now  это сразу выбило работу сети, пока на кошках всем доступ открыли, но это надо бы поправить. И очень жаль что нет стандартного отката на старую версию. Можно было бы откатиться на бэкап, но нодени вещь разветвленная, тоесть поставили новую версию пользователи начали активировать карточки, абонотдел работать с клиентами, а тут кошки с новой версией не работают...

а что ее описывать? при включении авторизатора в режим "сеть", скрипт управления фаерволом блочит инет, но разрешает трафик между зарегистрированными в биллинге ip. Если сервера с контентом находятся за сервером - этим мона регулировать к ним доступ (и считать трафик, походу). Тоже относится и к клиентам - если есть изолированные сегменты, то разрешится трафик только между сегментами

В связи с этим очень не хватает настройки в карточке пользователя. Авторизация , Всегда онлайн   Не хватает опции Только сеть.

если безопасность Ip у тебя настроена "руками", то в учетке для серых Ip  ставь признак "всегда онлайн".

Тем не менее, статическая привязка и подобные финты выходят за пределы концепции. Я склонен придерживаться  мнения, что любой адрес должен быть авторизованным.  Если у тебя везде управляемое оборудование, то стоит настроить авторизацию на порту по маку с помощью радиуса, тем самым у нас радиус по стандартному алгоритму укажет NoDeny, что такой-то узел авторизировался

Если серые ип ставить в онлайн их выпустит в инет. У меня сейчас крутится скрипт который выгребает 1 раз в 5 мин клиентские  ип, у которых положительный баланс, делает ACL и по snmp скармливает кошке. Но он на баше, т.к. в перле я не силен. А так в принципе работает. Но решение через сателит гораздо изящнее. Позволяет делать ACL небольших размеров.

Т.е. давать доступ в инет всем неавторизованным серым ипам? Хорошо, Вася дал свой серый ип Пете, себе вообще не назначил никаких ипов (или левый), подключился по пппое. Теперь Петя может сидеть в инете за счет Васи. Если я не правильно понял, то уточни детальнее всю схему. Давать доступ в инет можно только авторизованным айпи

Хорошие вопросы. Но мы говорим все таки о кошке. У которой даже самой дохлой есть порт секюрити. Это значит что введя ее в режим обучения я сопоставлю в автоматическом режиме все маки ип, если она не такая продвинутая, просто привяжу статически арп таблицу.  Следовательно злоумышленнику от Васи надо получить IP, поменять mac, физически находится в том же вилане (том же доме), что бы в это время Петя законнектился в пппое, и все это ради того, что бы получить доступ в локальную сеть. В инет его все равно не пустит, т.к  на сателите свой носервер рулит доступами по схеме которая отличается от схемы доступа в локальную сеть..  ААА понял nofire.pl под cisco создавался что бы пользователей прямо с кошки выпускать в инет?  Мне надо только управлять доступом пользователей в локальную сеть. Кроме того такого засранца я быстро вычислю, а ущерба он никак не принесет. Скачает может пару файлов в ДС.