Съпоставянето на сложни списъци на NetFilter ще бъде ускорено в ядрото на Linux 5.7

Разработчици на подсистемата за филтриране и модифициране на Netfilter за мрежови пакети публикувано набор от пачове, които значително ускоряват обработката на големи списъци със съвпадения (nftables set), които изискват проверка на комбинация от подмрежи, мрежови портове, протокол и MAC адреси. Пачовете вече са приети в клона nf-следващ, който ще бъде предложен за включване в ядрото на Linux 5.7. Най-забележимото ускорение беше постигнато благодарение на ангажиране AVX2 инструкции (в бъдеще се планира да се публикуват подобни оптимизации, базирани на NEON инструкции за ARM).

Включени в модула оптимизации nft_set_pipapo (PIle PAcket POlicies), който решава проблема със съпоставянето на съдържанието на пакет с произволни диапазони на състоянието на полето, използвани в правилата за филтриране, като диапазони на IP и мрежови портове (nft_set_rbtree и nft_set_hash манипулират съпоставянето на интервали и директно отразяване на стойностите). Версията на pipapo, векторизирана с помощта на 256-битови инструкции AVX2 на система с процесор AMD Epyc 7402, показа 420% увеличение на производителността при анализиране на 30 хиляди записа, включително комбинации порт-протокол. Увеличението при сравняване на комбинация от подмрежа и номер на порт при анализиране на 1000 записа е 87% за IPv4 и 128% за IPv6.

Друга оптимизация, позволяваща използването на 8-битови групи за съвпадение вместо 4-битови, също показа значителни подобрения в производителността: 66% при анализиране на 30 хиляди записа на порт-протокол, 43% за subnet_IPv4-port и 61% за subnet_IPv6-port. Като цяло, като се вземат предвид оптимизациите на AVX2, производителността на pipapo се увеличи в тези тестове съответно със 766%, 168% и 269%. Характеристиките, получени за комплексни сравнения, изпреварват проверките на едно място rbtree (с изключение на теста за порт+протокол), но засега те изостават от директните проверки, използващи хешове и манипулатори за изпускане, базирани на netdev.

Източник: opennet.ru