Comment mettre en place un proxy pour les fermes minières ? (Optimisation du réseau)

Configuration proxy pour l'infrastructure de ferme minière

1. Identifiez le logiciel d'exploration de données utilisé dans la ferme : les outils courants incluent cpuminer , xmrig et ccminer . Chacun prend en charge une syntaxe de proxy et une gestion de protocole distinctes.

2. Déployez un serveur proxy centralisé à l'aide de xmrig-proxy lors de la gestion de plates-formes CPU/GPU à grande échelle. Cet outil accepte les connexions en amont des mineurs individuels et transmet le travail authentifié au pool cible.

3. Configurez le fichier config.json dans xmrig-proxy pour définir les conventions d'adresse du pool en amont, de port et de dénomination des travailleurs. Le paramètre « niveau de don » doit être défini sur zéro si l'extraction de dons est interdite par la politique locale.

4. Attribuez des adresses IP internes statiques à tous les nœuds proxy pour éviter les incohérences de routage induites par DHCP lors de sessions de longue durée.

5. Appliquez le cryptage TLS 1.2+ entre les mineurs et le proxy en activant la terminaison SSL au niveau de la couche proxy. Cela nécessite des certificats valides émis par des autorités de certification de confiance ou des certificats auto-signés importés dans le magasin de confiance de chaque mineur.

Sélection du proxy SOCKS5 vs HTTP

1. Utilisez SOCKS5 lors du routage du trafic via une infrastructure basée sur Tor ou des chaînes de relais anonymisées où la résolution DNS doit avoir lieu du côté distant.

2. Préférez les proxys HTTP lors de la connexion à des pools qui appliquent des en-têtes d'origine stricts ou nécessitent une persistance de session basée sur les cookies.

3. Évitez les proxys HTTP transparents à moins qu'ils ne soient explicitement ajoutés à la liste blanche par le pool de minage : de nombreux pools rejettent les demandes dépourvues de champs User-Agent ou Host appropriés.

4. Confirmez la compatibilité du proxy avec les protocoles Stratum v1/v2 en vérifiant si le proxy préserve les limites des trames binaires et ne modifie pas le codage de la charge utile JSON-RPC.

5. Testez les différentiels de latence à l'aide de curl -w « @speed.txt » -o /dev/null -s http://pool.example.com avant le déploiement complet pour isoler les goulots d'étranglement introduits par les couches intermédiaires.

TCP Keepalive et réglage de la stabilité de la connexion

1. Définissez SO_KEEPALIVE sur toutes les sockets sortantes utilisées par les démons miniers pour détecter les pairs morts sans vous fier uniquement aux délais d'attente de ping côté pool.

2. Ajustez les paramètres keepalive au niveau du noyau : net.ipv4.tcp_keepalive_time=600 , net.ipv4.tcp_keepalive_intvl=60 , net.ipv4.tcp_keepalive_probes=3 pour maintenir les canaux de strate persistants dans des conditions de réseau fluctuantes.

3. Désactivez l'algorithme de Nagle via TCP_NODELAY sur les sockets clients miniers pour éliminer les retards artificiels causés par la fusion de petits paquets.

4. Surveillez la distribution de l'état des sockets à l'aide de ss -s et filtrez l'accumulation de TIME-WAIT : un nombre excessif indique une réutilisation insuffisante des ports éphémères ou une fermeture prématurée de la connexion.

5. Appliquez la limitation de débit iptables uniquement sur les points de terminaison de contrôle de santé entrants, jamais sur les ports de données Stratum, pour éviter de perturber les cycles de distribution des tâches.

Validation des certificats et authentification du pool

1. Chargez des ensembles de certificats CA personnalisés dans cpuminer via l'indicateur --cert pointant vers les magasins de confiance au format PEM contenant les certificats racine et intermédiaires requis par la chaîne TLS du pool.

2. Vérifiez la conformité de l'épinglage des certificats en comparant les empreintes digitales SHA-256 des certificats de serveur de pool avec les valeurs pré-approuvées stockées dans des coffres-forts de configuration sécurisés.

3. Rejetez les connexions lorsque curl_easy_setopt(curl, CURLOPT_SSL_VERIFYPEER, 1L) renvoie un échec : ne remplacez pas cette vérification même pendant les phases de débogage.

4. Faites pivoter les certificats chaque année et synchronisez les délais de renouvellement sur toutes les passerelles proxy et instances de mineur pour éviter les échecs d'authentification en cascade.

5. Enregistrez toutes les erreurs de négociation SSL avec les codes d'erreur OpenSSL complets pour permettre une analyse précise des causes profondes sans décrypter le trafic en direct.

Allocation de bande passante et application de la QoS

1. Classez le trafic Stratum comme hautement prioritaire à l'aide de tc qdisc add dev eth0 root handle 1 : htb default 30 et attribuez une bande passante minimale garantie pour éviter la famine pendant une activité SSH ou de surveillance simultanée.

2. Limitez la bande passante de téléchargement par plate-forme pour répondre aux exigences du pool en amont : la plupart des pools s'attendent à un téléchargement soutenu inférieur à 10 Ko/s ; une utilisation excessive déclenche une limitation de débit ou une liste noire.

3. Bloquez le trafic UDP non minier au-dessus du port 3333 à l'aide de iptables -A OUTPUT -p udp --dport :65535 -j DROP pour réduire le bruit dans les journaux d'inspection des paquets.

4. Étiquetez les paquets avec la valeur DSCP EF (46) pour un transfert accéléré lors de la traversée de commutateurs d'entreprise prenant en charge la mise en file d'attente compatible DiffServ.

5. Auditez quotidiennement les statistiques de l'interface à l'aide de cat /proc/net/dev pour détecter les pics anormaux dans les compteurs tx_dropped ou rx_missed indiquant un épuisement de la mémoire tampon ou une mauvaise configuration de la carte réseau.

Foire aux questions

Q : Puis-je exécuter plusieurs instances xmrig-proxy derrière une seule adresse IP publique ? R : Oui, si chaque instance se lie à un port local unique et est acheminée vers des pools ou des groupes de travail en amont distincts. Les règles de redirection de port doivent mapper des ports externes distincts aux écouteurs internes correspondants.

Q : Est-ce que cpuminer prend en charge l'authentification SOCKS5 avec nom d'utilisateur/mot de passe ? R : Oui : utilisez le format chaussettes5://user:pass@host:port avec l'indicateur --proxy . Les informations d'identification sont transmises sous forme codée en base64 dans le cadre de la négociation SOCKS5.

Q : Pourquoi certains pools rejettent-ils les connexions via certains proxys HTTP ? R : Parce que ces proxys réécrivent les en-têtes Connection , Transfer-Encoding ou Content-Length , brisant la sémantique de streaming de Stratum et provoquant des échecs d'analyse des tâches du côté du pool.

Q : Comment puis-je vérifier que mon proxy ne modifie pas les charges utiles de Stratum ? R : Capturez le trafic entre le proxy et le pool à l'aide de tcpdump -i any port 3333 -w stratum.pcap , puis inspectez les noms et les paramètres des méthodes JSON-RPC dans Wireshark pour confirmer la fidélité exacte octet par octet.