sysctl и ssh_config с границами безопасности и откат.
См. отдельно HE и QUIC; здесь только один поток TCP, PMTU, очередь и перегрузка. Контекст: GeoDNS, SCP и SFTP, JumpHost.
Три боли: скрытая фрагментация при низком PMTU; Cubic против BBR на разных концах; разрозненная приёмка по регионам без runbook.
| Приём | Эффект | Риск |
|---|---|---|
| MSS clamp | Стабильный размер сегмента на длинном RTT | Потеря throughput на коротких линках |
| BBR плюс fq | Ровнее inflight через океан | Политика провайдера и чужие буферы |
| OpenSSH мультиплекс | Меньше обрывов при всплесках ретрансляций | Жёсткие таймауты скрывают деградацию |
ss -ti |
Связь метрик с выкатом | Без базы до изменений шум |
Таблица — каркас для владельца в runbook, не чеклист «включить всё».
Архитектор мультирегиональных виртуальных машин и бастионов держит в голове одновременно имя из GeoDNS, фактический транзитный путь и настройки стека. Когда команда жалуется на долгую доставку бинарей, первый вопрос не про параллельные соединения, а про размер сегмента и алгоритм перегрузки на обоих концах. Второй вопрос — совпадает ли окно измерений между Токио Сеулом Гонконгом Сингапуром и западным побережьем Америки. Третий — есть ли замороженный эталонный артефакт для регрессии. Без этих трёх опор оптимизация превращается в шум и спор между сетевиками и разработчиками.
Портрет проблемы: где ломается p95 при глобальном входе Halo
SSH чувствителен к ранним потерям; артефакты — к сегменту и перегрузке. Без clamp при падении PMTU растут ретрансляции. BBR только на одном конце с Cubic на другом может улучшить медиану и ухудшить p95.
- Меряйте шелл до Mac и p95 вытяжки одним артефактом до и после каждого
sysctl. - Политику clamp и очереди держите на бастионе, чтобы откат был одной точкой.
- Сохраняйте недельный базовый срез RTT и ретрансляций до выката.
Параметры: sysctl и ssh_config как исполняемые шаблоны
Только ваш Linux-бастион. Подставьте YOUR_CLAMP_MSS из PMTU минус заголовки. На macOS эти sysctl не переносятся.
# одна строка на действие; не на shared без письма провайдера
sysctl -w net.ipv4.tcp_mtu_probing=1 && sysctl -w net.core.default_qdisc=fq
modprobe tcp_bbr && sysctl -w net.ipv4.tcp_congestion_control=bbr
iptables -t mangle -A POSTROUTING -o IFACE -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --set-mss YOUR_CLAMP_MSSiptables и bbr ломают SLA и соседей на чужих нодах; окно работ, консоль, откат заранее; проверьте интерфейс через маршрут к JP KR HK SG US West.Host halo-bastion
HostName FQDN
ControlMaster auto
ControlPath DIR/%r@%h:%p
ControlPersist 10m
ServerAliveInterval 30
ServerAliveCountMax 6IPQoS и Compression включайте только если политика и замеры это оправдывают.
Региональная приёмка: JP, KR, HK, SG и US West
Один артефакт фиксированного размера, одна схема SSH; сравнивайте p95 до и после. Для JP и KR отдельно прогоните транзит через HK и SG. US West — вечерний UTC к Азии.
| Регион | Фокус | Ориентир |
|---|---|---|
| JP | HK против SG, стабильный MSS | Ретрансляции не выше базы более чем на пятую часть |
| KR | PMTU утром и вечером | p95 не хуже медианы более чем на три секунды |
| HK | Хаб, не душим короткий путь в SG | Нет роста фрагментации по счётчикам ядра |
| SG | Длинный RTT к US West | Без пилы inflight на графике |
| US West | Пик к Азии, тест без мультиплекса | Время до шелла в пределах пятнадцати процентов к базе |
Цифры — внутренний шаблон, не публичный SLO. Аудит: tracepath, медиана RTT, доля повторных сегментов до и после.
Откат: пять шагов без паники
- Шаг 1. Снять
TCPMSSпо номеру из спискаmangle. - Шаг 2. Вернуть
tcp_congestion_controlк cubic. - Шаг 3. Вернуть
default_qdiscк дефолту дистрибутива. - Шаг 4. Убрать временный блок
Hostизssh_config. - Шаг 5. Постмортем: какие метрики вернулись к базе.
FAQ: MSS, BBR и отличие от QUIC
BBR не заменяет clamp: первый про полосу, второй про размер сегмента. Ретрансляции — через ss -ti и счётчики ядра до и после. QUIC и HE — другая плоскость; сначала стабилизируйте TCP, потом читайте гайд по HE.
На арендованном хосте без тикета провайдера ядро обычно не трогают: главный рычаг для команд без рута на площадке — клиентский OpenSSH и маршрут к своему бастиону. Если перед удалённым Mac стоит ваш Linux с полным контролем, тогда параметры ядра и правило mangle имеют смысл как единая политика входа в контур сборки.
- Зафиксируйте в приёмке версию ядра бастиона и дату замера рядом с цифрой p95.
- Храните хэш артефакта и его размер в таблице, чтобы сравнения между регионами были честными.
- Для каждого региона выпишите ожидаемый транзитный хаб и фактический после трассировки.
Итог. Halo на уровне TCP: MSS, BBR, метрики и откат — основа ровного p95 для SSH и артефактов через океан и суше.