LimitNPROC in aghaidh TasksMax: cad a chomhaireann aonad OpenVPN

Is minic a thagann teip ar OpenVPN a thosú i bhfoirm gearáin faoi acmhainní móide moladh dea-rún chun teorainn éigin a ardú, agus ní oibríonn an moladh ach thart ar leath na n-uaireanta. Tá dhá chuntar neamhghaolmhara taobh thiar de na teipeanna sin. Ceann amháin is teorainn eithne ann ar líon na dtascanna atá ag aitheantóir úsáideora fíor, agus faightear le hoidhreacht í nuair a fhorghníomhaítear an próiseas. Is buiséad cgroup é an ceann eile a chuireann an bainisteoir seirbhíse i bhfeidhm ar aonad agus ar gach rud a fhorchrann sé. Cosnaíonn léamh luach éifeachtach gach ceann acu, don aonad a ritheann i ndáiríre, níos lú ná buille faoi thuairim.

Dhá chuntar, dhá cheist

LimitNPROC is ea RLIMIT_NPROC faoi ainm systemd, agus is é an t-aitheantóir úsáideora fíor a aonad cuntasaíochta. Comhairtear gach próiseas atá ag an úsáideoir sin i gcoinne an iomláin chéanna, lena n-áirítear obair a thosaigh aonaid eile, seisiún logála isteach nó tasc sceidealóra. Mar sin ní huasteorainn in aghaidh na seirbhíse í an teorainn fiú nuair a shocraítear í laistigh d'aonad seirbhíse, agus bíonn seirbhís a fhorchrann cúntóir do gach cliant in iomaíocht le gach rud eile a ritheann faoin gcuntas sin. Féadfaidh tasc cron gnóthach faoin úsáideoir céanna aonad VPN a bhrú thar líne nár thrasnaigh sé riamh as a stuaim féin.

Tá úinéir eile ag TasksMax: an rialtóir pids ar cgroup an aonaid, a chomhaireann tascanna seach próisis. Is tascanna iad snáitheanna, mar sin féadann deamhan a bhfuil cuma aonsnáithe air ach a bhfuil comhthiomsú oibrithe aige buiséad a chaitheamh a bhféachann sé, ar an gcéad amharc, i bhfad níos mó ná a líon próiseas. Tuairiscíonn EffectiveTasksMax cad a cheadaíonn an t-ordlathas cgroup i ndáiríre tar éis do na slisní tuismitheora a ndeireadh a rá.

Cén fáth a n-athraíonn eisceacht root an freagra

Ní chuireann an eithne RLIMIT_NPROC i bhfeidhm ar phróiseas a iompraíonn CAP_SYS_RESOURCE nó CAP_SYS_ADMIN, agus is ar an gcúis sin atá aonad a ritheann mar root gan pribhléidí a ligean uaidh gan teorainn go praiticiúil ag an socrú sin. Míníonn an eisceacht shingil seo an chomhairle chontrártha a mhalartaíonn daoine: deisíonn ardú LimitNPROC imscaradh a lig pribhléidí uaidh agus ní dhéanann sé faic ar bith do cheann a d'fhan pribhléideach. Seiceáil User= agus an n-athraíonn an deamhan féiniúlacht tar éis tosaithe sula dtugann tú creidiúint nó locht don socrú sin. Titeann aonad pribhléideach a aistríonn níos déanaí go cuntas neamhphribhléideach ar ais faoin teorainn tráth an aistrithe, rud a fhágann amlíne na teipe fiúntach le léamh freisin.

Cúngaíonn céim na teipe é sin tuilleadh. Tugann diúltú le linn ullmhúcháin forghníomhaithe, earráid fhorchranna a thuairiscíonn an deamhan féin agus cruthú tasc a diúltaíodh laistigh de cgroup línte journal éagsúla, agus ní fhreagraíonn ach ceann amháin acu do bhuiséad níos mó.

Léigh na luachanna éifeachtacha, ní leo siúd an bhlaoisc

Déanann ulimit -u blaosc idirghníomhach cur síos ar an mblaosc sin. Ní dhéanann sé cur síos ar an méid a thug an bainisteoir seirbhíse don deamhan, agus ní deir sé aon rud faoi chuntasaíocht cgroup. Fiafraigh den aonad ina ionad, ag baint úsáide as an ainm shamplach atá ar an óstach seachas sampla as treoir.

systemctl show [email protected] -p User -p LimitNPROC -p TasksCurrent -p TasksMax -p EffectiveTasksMax
cat /proc/$(systemctl show -p MainPID --value [email protected])/limits | grep -i processes

Laistigh de choimeádán teastaíonn dhá léamh eile ón bhfreagra, mar ní dhéanann luach inmheánach de infinity cur síos ach ar dhearcadh an aoi. Iarr ar úinéir an óstaigh uasteorainn pids an choimeádáin féin, agus deimhnigh an féidir leis an mbainisteoir seirbhíse inmheánach an rialtóir sin a tharmligean ar chor ar bith. Ní féidir le haonad neadaithe buiséad a choinneáil nár thug a chgroup tuismitheora riamh.

Tomhais scála an cheartaithe agus cruthaigh é faoi ualach

Roghnaigh uimhir ón ualach oibre seach ó théacs na hearráide. Comhair na próisis a thosaíonn an deamhan in aghaidh gach cliaint cheangailte nó in aghaidh gach glaoch cúntóra, méadaigh faoin gcomhthráthacht a bhfuiltear ag súil go n-iompróidh an t-imscaradh, cuir corrlach leis do sheisiúin riaracháin, agus ansin cuir an figiúr sin i gcomparáid leis an dá luach éifeachtacha. Coinníonn ionadaíocht áitiúil drop-in an t-athrú in-athbhreithnithe agus maireann sí trí uasghráduithe pacáiste, ach déanann eagarthóireacht ar chomhad aonaid sheachadta an t-athrú a cheilt go dtí go n-athsholáthróidh an chéad nuashonrú eile é. Scríobh an uimhríocht in aice na hionadaíochta, mar teastaíonn na boinn tuisceana ón gcéad duine eile a ardóidh nó a ísleoidh í, ní an uimhir dheiridh.

Cuirtear athruithe buiséid i bhfeidhm agus an próiseas á fhorghníomhú, mar sin ní athmhéadaíonn athlódáil amháin na próisis atá ag rith cheana féin. Atosaigh an t-aonad trína ghnáthshaolré, ag glacadh le bristeadh an tseisiúin, agus léigh na cuntair arís ar an sampla nua.

sudo systemctl daemon-reload
sudo systemctl restart [email protected]
systemctl show [email protected] -p TasksCurrent -p EffectiveTasksMax
sudo journalctl -u [email protected] -b --no-pager | tail -n 20

Is é a chruthaíonn an deisiú aonad atosaithe a bhfuil a líon tasc faoi bhun an dá uasteorainn agus an t-ualach beartaithe air, móide journal nach dtuairiscíonn a thuilleadh ídiú tasc ná forchranna ag an gcéim chéanna. Coinnigh na huimhreacha roimh agus i ndiaidh leis an athrú ionas go dtosóidh an chéad fhiosrúchán eile ó thomhas seach ón gcomhairle chéanna. Má shroicheann an líon an uasteorainn fós, bhí an uimhríocht mícheart seach gur ró-bheag an teorainn de thimpiste, agus is fiú an difríocht sin a bheith ar eolas roimh an gcéad atosú eile.