В ядрото на Linux 5.7 ще бъдат ускорени сложните съотнасяния в списъците в NetFilter

Разработчиците на подсистемата за филтриране и модификация на мрежови пакети Netfilter публикуваха пакет от патчове, които значително ускоряват обработката на големи списъци за съпоставяне (nftables set), при които е необходимо да се проверят комбинации от подсетове, мрежови портове, протокол и MAC адреси. Патчовете вече са приети в клона nf-next, който ще бъде предложен за включване в ядрото на Linux 5.7. Най-забележителното ускорение беше постигнато благодарение на включването на инструкции AVX2 (в бъдеще планираме да публикуваме подобни оптимизации на базата на инструкциите NEON за ARM).

Оптимизациите са направени в модула nft_set_pipapo (PIle PAcket POlicies), който решава задачата за съпоставяне на съдържанието на пакет с приложените в правилата за филтриране произволни диапазони на състояния на полета, като диапазони IP и мрежови портове (nft_set_rbtree и nft_set_hash манипулират съпоставянето на интервали и директното отразяване на стойности). Векторизирана с помощта на 256-битови инструкции AVX2 версия pipapo на система с процесор AMD Epyc 7402 показа увеличение на производителността от 420% при разглеждане на 30 хиляди записа, включващи двойки порт-протокол. Увеличението при съпоставяне на двойка от подсети и номер на порт при разглеждане на 1000 записа е 87% за IPv4 и 128% за IPv6.

Друга оптимизация, която позволява използването на 8-битови групи за съпоставяне вместо 4-битови, също показа осезаемо увеличение на производителността: 66% при разглеждане на 30 хиляди записа порт-протокол, 43% — подсет_IPv4-порт и 61% — подсет_IPv6-порт. В крайна сметка, с оглед на оптимизациите AVX2, производителността на pipapo се увеличи в посочените тестове с 766%, 168% и 269% съответно. Получените характеристики за сложни съпоставяния надминават проверките на единични полета в rbtree (с изключение на теста на двойката порт+протокол), но все още изостават от пряките проверки с помощта на хешове и drop обработчици на базата на netdev.

Източник: opennet.ru