压测iptables规则条数的限制

最新推荐文章于 2024-08-09 10:36:48 发布
最新推荐文章于 2024-08-09 10:36:48 发布
阅读量4.5k 收藏 2
点赞数
分类专栏： linux 文章标签： iptables 压测
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/u010278923/article/details/80355909
版权

集群环境 机器配置：56 核 128G内存
主机数：497 台

测试程序：通过golang编写一个简单的限流应用，限制qps在2000，突发不超过3000的应用，程序返回512B的数据包

测试工具：ab

单个实例

部署以后先测试单个实例的场景。 通过ab测试

# ab -c 100 -n 10000 10.52.136.35:30088/say                                                                                

Requests per second:    2021.38 [#/sec] (mean)

测试结果表面单个实例下的并发大约在2000左右。

3个实例测试

# ab -c 100 -n 100000 10.52.136.35:30088/say                                                                               

Requests per second:    6094.68 [#/sec] (mean)

当三个实例时，qps达到6000左右，iptables转发正常

10个实例测试

# ab -c 100 -n 100000 10.52.136.35:30088/say                                                                                                                                                                                                                                                                                                                                                                                                     

Requests per second:    20969.03 [#/sec] (mean)

此时是2w的qps，iptables转发正常

50 个实例的测试

ab -c 100 -n 100000 10.52.136.35:30088/say                                                                               

Requests per second:    36969.03 [#/sec] (mean)

单机四万的qps的上限，测试多台机器都能保持这个数值，即便在同时执行的情况下

5000个实例测试

ab -c 300 -n 500000 10.52.136.36:30088/say                                                                               

Requests per second:    43663.46 [#/sec] (mean)

单机和多机同时执行效果相同，单机是4w的qps上线，iptables转发正常
测试的iptables中DNAT条数为

$ sudo iptables-save |grep DNAT|wc -l
10014

目前看规则条数一万条，性能并没有很大影响

增加iptables 规则

创建一个应用开通三个端口，增加副本数

$ sudo iptables-save |grep DNAT|wc -l

25014

规则扩容到2.5w条 测试

# ab -c 200 -n 500000 10.52.136.40:30088/say                                                                               

Requests per second:    39805.81 [#/sec] (mean)

性能稍有下降，多次测试变化不大

修改应用，将应用睡眠500毫秒，返回保持512字节

容器内直接访问，测试应用

# ab -c 1000 -n 50000  172.3.48.3:8080/say                                                                                 

Requests per second:    1916.45 [#/sec] (mean)

还是2000的qps限流

此时需要注意，由于服务需要500毫秒后返回，ab的并行度不能太低，否则会导致达不到压力测试的效果
例如下面：

# ab -c 200 -n 50000  172.3.48.3:8080/say                                                                                  

Requests per second:    396.19 [#/sec] (mean)    

# ab -c 2000 -n 500000 10.52.136.40:30089/say                                                                              

Requests per second:    3972.39 [#/sec] (mean)

客户端忙不过来，每个线程，每秒只能处理2个请求，所以是并行度的2倍。将副本数调至5000，
此时DNAT条数

sudo iptables-save |grep DNAT|wc -l
25014

测试结果

# ab -c 3000 -n 500000 10.52.136.40:30089/say                                                                              

Requests per second:    5929.59 [#/sec] (mean)                                                                                                 


# ab -c 5000 -n 500000 10.52.136.40:30089/say                                                                              

Requests per second:    9780.42 [#/sec] (mean)                                                                                                 

ab -c 10000 -n 500000 10.52.136.40:30089/say                                                                             

Requests per second:    18781.43 [#/sec] (mean)

基本达到了c(线程数)的两倍的（0.5s导致）的qps，瓶颈是客户端

# ab -c 20000 -n 500000 10.52.136.40:30089/say                                                                             

Requests per second:    28246.95 [#/sec] (mean)

此时单机的qps大约3w，iptables转发正常。

增加规则条数

$ sudo iptables-save |grep DNAT|wc -l
40011

测试

# ab -c 20000 -n 500000 10.52.136.36:30089/say                                                                             

Requests per second:    30260.00 [#/sec] (mean)

对性能没有特别的影响

此时再创建的多个svc。7w条规则

sudo iptables-save |grep DNAT|wc -l
70032

测试

# ab -c 20000 -n 500000 10.52.136.38:30089/say                                                                             

Requests per second:    26942.21 [#/sec] (mean)

继续增加到10w条

 sudo iptables-save |grep DNAT|wc -l
100035

测试

ab -c 20000 -n 500000 10.52.136.38:30089/say                                                                             

Requests per second:    26903.19 [#/sec] (mean)

性能只有很少的变化（3w –> 2.7w）。在我们当前的生产环境的场景中。
假设一个没有应用有2000个副本，运行50个应用是没有任何问题的。

增加的15w条。

# ab -c 20000 -n 500000 10.52.136.38:30089/say
Requests per second:    26708.98 [#/sec] (mean)

增加的18w条

# ab -c 20000 -n 500000 10.52.136.35:30089/say
Requests per second:    25686.32 [#/sec] (mean)

增加到20w条

# ab -c 20000 -n 500000 10.52.136.35:30089/say
Requests per second:    26654.24 [#/sec] (mean)

没有明显变化。所以当我们当前的生产环境中使用它是是足够的。

柳清风09
关注
专栏目录
iptables防止ddos
weixin_43820206的博客
05-11 913
参考https://blog.51cto.com/huangzp/1896586 使用ab工具模拟ddos攻击 说明：ab是做压力测试的工具 安装ab： yum install -y httpd-tools 格式：ab -n 连接总数 -c 并发客户端数 网站 ddos攻击检测方法： 方法一：用脚本检查是否有ddos攻击方法 netstat -ntu | awk ‘{print $5}’ | ...
【进大厂必学】3W字180张图学习Linux基础总结
L的存在的博客
05-26 4431
就不多说这段时间干啥去了吧，期间和很多的同学聊了天，有的童鞋已经开始工作，聊了聊工作上的事儿。有的是今年即将毕业的童鞋，有着自己的小目标，有的想尝试互联网，所以现在基本上都快进行二轮的复习了，有的同学备战公务员，凭着年轻这股劲儿向往自己理想的生活状态，无论怎么样，长路漫漫，走一步，算一步，每一步都算数。 今天分享的这篇文章是 Linux 相关的基础知识，深一点的内容基本上没有，不过对于刚需小伙伴来说，也就够了，有时间的话，最好按照这些命令去试一试，敲一敲，这样记忆更加深刻。 老规矩，先看目录，文章比较长，建
iptables里的三个表分别为_压测iptables规则条数的限制
weixin_39537298的博客
11-27 304
前言今天在使用k8s的时候，由于运用到了calico这个cni插件和k8s自带的NetworkPolicy的功能，就需要考虑到一个性能方面的问题，怎么解释了，由于calico底层使用了iptables来做网络规则的限制，所以每当我们向k8s增加了一个NetworkPolicy的对象的时候，我们就是通过PolicyController往calico的etcd存储里增加记录，然后每个node节点上的c...
iptables高性能前端优化-无压力配置1w+条规则
热门推荐
Netfilter
08-27 3万+
产生本文的故事这显然是个周末，这是一个下雨的周末，这是一个台风登陆的周末…  上周，有一个很猛的台风“天鸽”，当天红警晚发了两个小时，当发布红警时，几乎所有人都到了公司，当然，除了那些怕西装和皮鞋被雨淋湿的经理。我本来是想特别感谢一下这个台风的，然而它已经造成了重大的人员伤亡，无论如何，我都不能再对它多说一句褒义的话，我是一个喜欢风雨的人，仅诠释我个人。  在台风“天鸽”将至的那晚，我把一个在暴热和
iptables限制宿主机跟Docker IP和端口访问（安全整改）_docker容器访问主机端口 iptables
最新发布
heike_Ch的博客
08-09 1289
从时代发展的角度看，网络安全的知识是学不完的，而且以后要学的会更多，同学们要摆正心态，既然选择入门网络安全，就不能仅仅只是入门程度而已，能力越强机会才越多。因为入门学习阶段知识点比较杂，所以我讲得比较笼统，大家如果有不懂的地方可以找我咨询，我保证知无不言言无不尽，需要相关资料也可以找我要，我的网盘里一大堆资料都在吃灰呢。干货主要有：①1000+CTF历届题库（主流和经典的应该都有了）②CTF技术文档（最全中文版）③项目源码（四五十个有趣且经典的练手项目及源码）
iptables限制最大连接数_Linux系统支持的最大TCP连接是多少
weixin_39681171的博客
11-28 506
1.首先，客户端和服务器建立的每个TCP连接都会占用服务器内存，所以最大TCP连接数和内存成正比。简单估算为最大内存除以单TCP连接占用的最小内存2.Linux操作系统中，一切都是文件。所以每个TCP连接，都会打开一个文件。为此Linux操作系统限制了每个用户能打开的文件数量，通过ulimit -n 查看。修改方式：vi /etc/security/limits.conf文件，在文件中添加如下行（...
多租户环境中的 TCP 限速（基于 iptables）
云原生实验室
11-02 449
我们有个服务以类似 SideCar 的方式和应用一起运行，SideCar 和应用通过 Unix Domain Socket 进行通讯。为了方便用户，在开发的时候不必在自己的开发环境中跑一个...
iptables详解
m0_60433728的博客
08-20 562
iptables简介：、 iptables防火墙工作在网络层，针对TCP/IP数据包实施过滤和限制，iptables防火墙基于内核编码实现，具有非常稳定的性能和高效率，iptables属于“用户态”的防火墙管理体系。 ——iptables常用选项： -L查看规则 -F清除所有规则，留下默认规则 -t指定表 --line-numbers显示规则排列序号 -A添加规则到指定链的结尾 -I添加规则到指定链的开头 -D删除指定规则 -p添加协议：例如tcp udp --dport目的端口 -
测试面试重点题型
jntmlk的博客
07-15 6248
1.软件测试的目的与原则是什么？ 答 目的：通过测试工作可以发现并修复软件当中存在的缺陷， 2可以降低同产品开发遇到的风险， 3.记录软件运行过程中的一些数据，从而为决策者提供技术支持。 原则： 1.2/8定律，核心功能占20%，非核心占80%，我们会集中测试20%的核心功能，发现缺陷的几率会高于80%，因此，遇到的缺陷都会集中20%功能模块里。 2.不能进行穷尽测试，有些功能是无法将所有测试情况逻辑出来的，任何的测试都有结束的时间。 3.为了更好地发现和解决软件中的缺陷。 2，测试人员在测试中的任务是什
关于syslog的测试使用报告
zhaoguoxian12345的专栏
04-05 3356
#@time  2012_04_05 #@author guoxian1 #@usage 配置linux syslog日志服务器  以下是从 syslogd的manual 和网上的一些信息完成； 说明： 1 关于syslogd的一些配置以及使用方法 已经进行测试调研 2 有时间可能进行syslog-ng（syslog的增强版）的调研 一、配置文件 linux的默认的日志
linux测试带宽ipf3,Linux测试网速之iperf3实用案例
weixin_42356378的博客
05-17 1801
前言提示：iperf3适用于两台受控的Linux主机，分别对应服务端和客户端。iperf3适用于两台受控的Linux主机，分别对应服务端和客户端。该工具用于测试两台主机之间链路质量和网络设备性能。如果要测试Linux的上网速度，请使用本站介绍的speedtest工具。1. iperf3介绍iperf3是一个基于TCP/IP和UDP/IP的网络性能测试工具，用于检测网络带宽使用率和网络质量，能测试最...
F5数据中心防火墙在性能测试中获胜的测试报告
03-28
在接受专门 “Clear Choice” 测试时，F5 防火墙表现出完美的性能，能最大化网络容量、同时还能提供复杂的过滤和攻击保护功能。在有些情况下，有防火墙的流量速率甚至高于没有防火墙的流量速率，这也许是因为 F5 设备可以更高效地管理服务器负载。
iptables配置实例
lumia98的博客
02-14 766
查看当前所有规则 iptables -L -n 查看所有规则 iptables -nL --line-number 显示行 iptables -nvL --line-number 显示行 清空所有配置 iptables -F iptables -X iptables -Z 允许ssh端口及lookback规则 iptables -A INPUT -i lo -j ACCEPT iptables -A OUTPUT -o lo -j ACCEPT iptables -A INPUT -p tcp --dp
性能测试-1
tuzibuku的博客
11-10 198
性能1
网络工具之iptables
delphiwcdj的专栏
12-20 1344
2011-12-20 wcdj 在测试网络通信各种异常情况时，可以使用iptables进行模拟测试。在Linux下需要具有root权限才可以使用此工具。 netstat -unat | grep port 常用选项 -a -all 显示所有有效连接信息列表 -n -numeric 直接使用ip地址，而不通过域名服务器 -t -tcp 显示tcp传输协议的连线状况 -u -udp 显示
iptables详解及一些常用规则
tpriwwq的专栏
06-19 5429
iptables功能及配置
ab测试工具测试结果参数含义的解释
u012129031的专栏
11-02 3114
D:\wamp\bin\apache\Apache2.2.21\bin>ab -n 10 -c 10 http://www.jb51.net/ This is ApacheBench, Version 2.3 Copyright 1996 Adam Twiss, Zeus Technology Ltd, http://www.zeustech.net/ Licensed
linux怎么删除某条iptables规则
06-11
要删除 Linux 系统中的某条 iptables 规则，可以使用以下命令： 1. 查看当前所有的 iptables 规则 ``` iptables -L -n --line-numbers ``` 该命令可以列出当前所有的 iptables 规则，包括链名、规则编号、匹配条件和动作等信息。 2. 删除指定的 iptables 规则 假设要删除编号为 2 的规则，可以使用以下命令： ``` iptables -D INPUT 2 ``` 其中，-D 表示删除规则；INPUT 表示要删除的规则所在的链；2 表示要删除的规则编号。 3. 保存 iptables 规则 删除 iptables 规则后，需要将规则保存到配置文件中，以便系统重启时自动加载。可以使用以下命令来保存 iptables 规则： ``` service iptables save ``` 值得注意的是，iptables 规则是有顺序的，如果删除了某个规则，后面的规则会自动向前移动一个编号。如果要删除多条规则，需要依次删除，直到所有要删除的规则都被清除。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

柳清风09

你的鼓励将是我创作的最大动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值