≪ 前記事: WordPress テーマとプラグインの空白行で RSS フィードの内容が壊れる
ウィルスチェックのための Squid 用リダイレクタ “SquidClamAV” を導入した状態で、パフォーマンスを上げるために trust_cache というオプションがあります。このオプションの使用は諸刃の剣ですよ、というお話。(追記) trust_cache モードでのパフォーマンスについても測定してみました。
trust_cache 設定はウィルスチェックを一部省略して proxy としての動作を高速化するもので、 /etc/squidclamav.conf の中にあります。
trust_cache 0 になっていると、Web クライアントからの GET リクエストがくるたびに、そのオブジェクトがキャッシュされている、されていないに関わらず、ウィルスチェックします。trust_cache 1 にすると、キャッシュに残っているオブジェクトを信用して、ウィルスチェックしません。ここで、あるキャッシュオブジェクトがウィルスチェック済かどうかではなく、キャッシュにある = ウィルスチェック済と見なしてしまうのが、trust_cache の危ういところです。
trust_cache 1 のとき、
http_access allow localhost を書き忘れる
↓
squidclamav の動作が失敗
↓
1人目が GET したオブジェクトがウィルスだった
↓
ウィルスがキャッシュされる
ここで Squid か SquidClamAV の設定ミスに気がつき修正し、新規オブジェクトについては正しくウィルスチェックできていたとしても、
次回、2人目が同じ URL を踏む
↓
squidclamav はキャッシュ済オブジェクトをチェックせず通過
こうして、キャッシュに残っている限り、ウィルスが配布され続けてしまいます。
以下は、実際に trust_cache モードで、トラブル復旧後もテストウィルスを通過させてしまっている状態。
# /usr/local/bin/squidclamav SquidClamav running as UID 0: writing logs to stderr Sun Apr 5 23:38:51 2009 LOG Reading configuration from /etc/squidclamav.conf Sun Apr 5 23:38:51 2009 LOG Anonymizing User-Agent: Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1) Sun Apr 5 23:38:51 2009 LOG SquidClamav (PID 6327) started http://www.eicar.org/download/eicar_com.zip 192.168.0.1 myurl GET Sun Apr 5 23:39:04 2009 DEBUG Request:http://www.eicar.org/download/eicar_com.zip 192.168.0.1 myurl GET Sun Apr 5 23:39:04 2009 DEBUG regex matched: http://www.eicar.org/download/eicar_com.zip Sun Apr 5 23:39:04 2009 DEBUG Curl will use proxy: http://127.0.0.1:3128 Sun Apr 5 23:39:04 2009 DEBUG HIT Cache found, trusted cached = already scanned, skipping...
踏んだウィルスコンテンツの URL が分かっていれば、前述のように squidclient -m PURGE で明示的に PURGE することができますが、分からない場合は、キャッシュ丸ごと削除する必要があります。
この取扱注意品な trust_cache モード、ON にすることでどれくらいの速度向上が認められるのか、手っ取り早くブロードバンドスピードテストで調べてみました。
VMware 上での仮想マシンで CentOS 5.3 + Squid 2.6 を動かす。cache_dir 用に ext3 + ufs を使用しています。比較しているのは 3種類で、まったく SquidClamAV をインストールしていない Squid 単体と、SquidClamAV かつ trust_cache 0 or 1 の状態です。
trust_cache 1 では、あらかじめブロードバンドスピードテストのページは一度読ませて、キャッシュしてあります。
| --- | 下り速度 | 上り速度 |
| Squid 単体 | 58.5Mbps | 41Mbps |
| Squid + SquidClamAV (trust_cache 0) |
15.6Mbps | 21.0Mbps |
| Squid + SquidClamAV (trust_cache 1) |
16.4Mbps | 22.5Mbps |
まず愕然とするのが、SquidClamAV を導入した瞬間にスピードが下り速度 3分の1強、上り半分程度にまで落ちてしまうことです。trust_cache によるスピード向上もそれほど認められませんでした。
クライアント数が多い環境ではテストしていないので分かりませんが、クライアント数が限られていて、単に自宅サーバ用のウィルスチェックゲートウェイとして軽く使う程度に、リスクを冒してわざわざ trust_cache 1 にする意味はないようです。
続き: WordCamp Tokyo 2009 セッション内容まとめ (Matt / WordBench / Multibyte) ≫