prod/AWG2_harness
0
0
Fork 0
Code Issues Pull Requests Actions Packages Projects Releases 2 Wiki Activity

perf(traffic): optimize production reconciliation

Browse Source
This commit is contained in:
Crimson
2026-08-28 02:43:26 +05:00
parent 185991504a
commit 9787cb2d23
20 changed files with 1265 additions and 433 deletions
Download Patch File Download Diff File Expand all files Collapse all files
docs/ANTI_TORRENT.md
+2 -1
View File
@@ -97,7 +97,7 @@ sysctl net.netfilter.nf_conntrack_max
nft list table inet awg2_harness
```
Если `nf_conntrack_count` приближается к `nf_conntrack_max`, проблема уже системная: надо разбираться с timeout, abuse или capacity. Не надо автоматически увеличивать `nf_conntrack_max` из orchestrator без отдельного решения.
Если `nf_conntrack_count` приближается к `nf_conntrack_max`, проблема уже системная: надо разбираться с timeout, abuse или capacity. `awg2-harness status` показывает оба значения и вычисленный `nf_conntrack_utilization`, чтобы давление было видно без ручного деления. Не надо автоматически увеличивать `nf_conntrack_max` из orchestrator без отдельного решения.
## 7. Критерии приёмки
@@ -106,6 +106,7 @@ nft list table inet awg2_harness
- Правило ограничивает `ip saddr <peer_ipv4_cidr>`.
- Лимит применяется per source VPN IP, а не глобально на всю подсеть.
- Drop counter растёт при превышении threshold.
- `status` показывает count/max/utilization conntrack, если эти sysctl доступны.
- Нормальные сценарии с числом flows ниже threshold не затрагиваются.
- При restart контейнера правило пересоздаётся в новом netns.
- При `anti_torrent.enabled = false` удаляется или отключается только AWG2-owned nftables state.