Как измерить процессорное время, потраченное ядром на ipsec и NAT?

Question

[Максим Гришин]

Есть сервер с файрволлом и NAT на нем, ещё поднят libreswan и один VPN. Хочу посмотреть загрузку процессора при передаче файла по VPN. top показал пустоту - sy 0.2% id 99.8% - не верю (с). Есть ли вариант получить информацию от ядра, сколько оно времени тратит на преобразование пакетов? Можно в реальном времени.

Answer 1

[Андрей]

top показал пустоту - sy 0.2% id 99.8% - не верю

Значит так и есть.
Открой 3 окна в одном top в другом htop в третьем ps aux щёлкай.

Comments

[Максим Гришин]

Странно все-таки, неужели преобразование пакетов в/из VPN (а это все-таки AES-шифрование в обе стороны, проверка SHA-подписей) на довольно большой (для нашей сети) скорости никак не грузит довольно старый процессор. В этот же период второй endpoint VPN'a (там аса) показывала вполне приличную нагрузку на процессор.
Посмотрю, может что и покажет.
Да, ps aux не показывает нагрузки ни на чем - как я понимаю, что iptables, что ipsec.d это модули ядра по факту (centos 6), т.е. ps'ом смотреть нечего.

[Андрей]

Максим Гришин, htop и top не может врать

[Максим Гришин]

Действительно, не врет, похоже.

Answer 2

[Михаил Григорьев]

Утилиты для диагностики проблем с производительнос...

А вобще, чтобы понимать что или кто грузит систему во времени нужно собирать данные, аккумулировать их, потом строить графики, то есть по сути Вам нужна простенькая система мониторинга, к примеру тот же munin он прост в установке и настройке и по нему очень много мануалов.

Comments

[Максим Гришин]

Ну, у меня конкретная задача - проверить, на сколько грузит сервер передача трафика через VPN и NAT. На нем просто больше нет ничего. И что интересно, из утилит может подойти только tiptop, о котором я ещё ничего не знаю - ну посмотрю.

Answer 3

[Алексей Черемисин]

1) Удостоверьтесь, что у вас данные идут действительно через ipsec + vpn
2) Нагрузите роутер утилитами iperf
3) Используйте top/htop для просмотре статистики в реальном времени. Если чото-то и считается, то это обязательно должно быть показано в процессах и загрузке ядра

Comments

[Максим Гришин]

1) Идут, естественно, смотрел в iptables -nvL и в статусе ipsec и на второй стороне тоже.
2) Подумаю, как - нагрузку генерировала ВМ с одной стороны VPN-канала копированием большого файла с ВМ на второй стороне.
3) htop, значит? Посмотрим.

[Алексей Черемисин]

Максим Гришин, по пункту 2
так и пустите
iperf -s на одной ВМ и iperf -c xxx.xxx.xx.x на другой