IPC и использование ресурсов on Alertix NTA

Каналы и буферы

Mon, 01 Jan 0001 00:00:00 +0000

IPC связывает компоненты через разделяемую память. Файл /opt/alertixnta/config/ipc.json содержит объект channels: каждый канал имеет буферы и именованные подканалы. Увеличение буфера позволяет дольше пережить кратковременное отставание потребителя, но постоянно медленный потребитель всё равно заполнит доступный объём.

Таблица. Поля канала IPC

Параметр	Значения	Назначение и особенности
buffer.size	Килобайты; целое > 0	Размер одного буфера. Округляется вверх до страницы памяти; на x86-64 удобно задавать кратно 4 КБ.
buffer.count	Целое > 0	Число буферов канала.
subchannels	Объект имя: количество	Количество экземпляров подканала от 1 до 64. 0 приводится к 1, значение выше 64 — к 64; нецелое не принимается.

Параметр

Значения

Назначение и особенности

buffer.size

Килобайты; целое > 0

Размер одного буфера. Округляется вверх до страницы памяти; на x86-64 удобно задавать кратно 4 КБ.

buffer.count

Целое > 0

Число буферов канала.

subchannels

Объект имя: количество

Количество экземпляров подканала от 1 до 64. 0 приводится к 1, значение выше 64 — к 64; нецелое не принимается.

Таблица. Базовые объёмы IPC

Проверка обмена в консоли

Mon, 01 Jan 0001 00:00:00 +0000

sudo /opt/alertixnta/ipc_flows --stat --mask 'analyser*'
sudo /opt/alertixnta/ipc_flows --stat --mask 'threat*'
sudo /opt/alertixnta/ipc_counters --mask '*'

Команды запускаются по одной и открывают обновляемый экран терминала. Выход — Ctrl+X. Для ipc_counters доступны фильтры типов: Ctrl+S — скорость, Ctrl+B — байты, Ctrl+T — время, Ctrl+P — проценты, Ctrl+D — все типы. Работа утилит требует запущенного sensor-ipc и загруженного ipc_engine.

Таблица. Показатели ipc_flows

Показатель	Смысл	Как интерпретировать
T-count и T-size	Переданные буферы и байты	Рост подтверждает публикацию данных в канал.
R-count и R-size	Прочитанные буферы и байты	Сумма по читателям; при нескольких читателях не обязана равняться передаче.
Readers	Число читателей	Ноль при растущей передаче означает отсутствие потребителя.
Free	Свободные буферы	Падение до нуля указывает на отставание потребителя.
Reset	Обрывы потока данных	Рост требует сопоставления с перезапусками и аварийными завершениями.
Users, Size, Count	Пользователи и параметры буфера	Помогают сопоставить текущий канал с конфигурацией.

Показатель

Смысл

Как интерпретировать

T-count и T-size

Переданные буферы и байты

Рост подтверждает публикацию данных в канал.

R-count и R-size

Прочитанные буферы и байты

Сумма по читателям; при нескольких читателях не обязана равняться передаче.

Readers

Число читателей

Ноль при растущей передаче означает отсутствие потребителя.

Free

Свободные буферы

Падение до нуля указывает на отставание потребителя.

Reset

Обрывы потока данных

Рост требует сопоставления с перезапусками и аварийными завершениями.

Users, Size, Count

Пользователи и параметры буфера

Помогают сопоставить текущий канал с конфигурацией.

При заполнении канала сначала найдите потребителя и проверьте его состояние, нагрузку и журнал. Сброс IPC-ресурсов не является штатной очисткой очереди: не используйте reset как первый шаг диагностики. Если изменяется ipc.json, сохраните копию, проверьте JSON и перезапустите sensor.target. Reload отдельных служб этот файл не применяет.

Практический порядок настройки производительности

Mon, 01 Jan 0001 00:00:00 +0000

Зафиксируйте входную скорость, число сессий, потери, resource_exceeding, нагрузку CPU и скорость диска на характерном интервале.
Найдите первый участок отставания: адаптер, захват, канал анализатора, стадия правил или доставка.
Меняйте один класс параметров за раз. Сначала устраняйте недоступность получателя, ошибки диска и лишнее дублирование трафика.
При необходимости измените число потоков, привязку ядер или состав анализа. Учитывайте NUMA и конкуренцию компонентов за CPU.
Повторите измерение на сопоставимой нагрузке и сохраните результаты вместе с конфигурацией.