Juniper MX SNMP DDoS protection configuration
В Junos OS Release 22.3R1 уменьшили значение дефолтного полисера для SNMP в 200 раз: Enhanced bandwidth and burst policer value (MX Series and EX9200 Series)—We’ve updated the default bandwidth value from 20000 to 100 pps and burst policer value from 20000 to 100 packets for SNMP traffic.
Намерения вроде были благие: This enhancement avoids the CPU usage of eventd and snmpd reaching more than 100%. Earlier to this release, when the system receives a violated traffic for SNMP along with other protocols traffic, the CPU usage of eventd and snmpd was reaching more than 100% with an error.
Мы такого поведения не замечали, видимо нам везло 🤷
После обновления закономерно можно начать ловить различные ошибки, связанные с SNMP - провалы на графиках по некоторым item и таймауты в логах системы мониторинга.
Проверяем счетчики: > show ddos-protection protocols snmp
Protocol Group: SNMP
Aggregate policer configuration: Bandwidth: 100 pps Burst: 100 packets
System-wide information: Received: 5964285 Arrival rate: 0 pps Dropped: 723 Max arrival rate: 100 pps
Видно, что упираемся в полисер 100 pps и есть Dropped: 723. Max arrival rate, кстати, не будет показывать значение выше установленного полисера, т.е. 100 в нашем случае.
Вернуть все взад можно командами: set system ddos-protection protocols snmp aggregate bandwidth 2000
set system ddos-protection protocols snmp aggregate burst 2000
Проверка > show ddos-protection protocols snmp
* = User configured value
Protocol Group: SNMP
Aggregate policer configuration: Bandwidth: 2000 pps Burst: 2000 packets**
Максимальный pps, который видел у нас - Max arrival rate: 1022 pps, поэтому 20K, которые раньше были по дефолту возможно и многовато.
Да и 1022 pss так-то много для одной системы мониторинга, но в нашем случае по факту их было три - Zabbix, Observium (побаловаться) и доп внутренняя система.
P.S. Если Juniper надоел, вы скажите - напишу про … Eltex? 🙂
Больше историй в Telegram-канале: https://t.me/life_of_network_engineer
________________ В этом посте были ссылки, но мы их удалили по правилам Сетки
