Linux 5.7 südamikus kiirendatakse keerulisi võrdlemisi loenditega NetFilteris

Netfilter'i võrgu paketifiltreerimise ja -muutmise alamsüsteemi arendajad avalikustasid koostasid plaastrite komplekti, mis kiirendab oluliselt suurte vaste loendite (nftables set) töötlemist, kus on vajalik alamsüsteemide, võrguportide, protokolli ja MAC-aadresside kombinatsiooni kontrollimine. Plaastrid on juba vastu võetud nf-next, mis pakutakse välja Linuxi 5.7 tuumasse. Olulisim kiirusetõus saavutati AVX2 käskude kasutamisega (tulevikus on plaanis avaldada sarnased optimeerimised NEON käskude alusel ARM-i jaoks).

Optimeerimised on tehtud moodulisse nft_set_pipapo (PIle PAcket POlicies), mis lahendab probleemi pakettide sisu vastavuse tuvastamisega filtrireeglitega seotud väljade, nagu IP ja võrguportide vahemikud (nft_set_rbtree ja nft_set_hash manipuleerivad vahemike vastavusega ja otsese väärtuste peegeldamisega). AVX2 256-bitiste käskude abil vektoriseeritud pipapo versioon AMD Epyc 7402 protsessoriga näitas 30 000 kirje uurimise ajal 420% jõudluse kasvu, sealhulgas sadamakombinatsioon ja protokoll. Alamsüsteemi ja portide numbri vastavuse tundmine 1000 kirje analüüsimisel näitas 87% kasvu IPv4 ja 128% kasvu IPv6 puhul.

Teine optimeerimine, mis võimaldab kasutada 8-bitiseid vastavuse gruppe 4-bitiste asemel, näitas samuti märkimisväärset jõudluse kasvu: 66% jõudlus 30 000 kirje uurimisel sadamakombinatsioon ja protokoll, 43% - alamsüsteem_IPv4-port ja 61% - alamsüsteem_IPv6-port. Kokku, koos AVX2 optimeerimistega, kasvas pipapo jõudlus nendes testides vastavalt 766%, 168% ja 269%. Saadud omadused keerukate vastavuste jaoks ületavad üksikute väljade kontrolle rbtree (välja arvatud sadama ja protokolli kombinatsiooni test), kuid jäävad siiski alla otsestele kontrollidele hashide kaudu ja netdev'i põhiste drop-protsessorite meetoditele. Netfilter'i võrgu paketifiltreerimise ja -muutmise alamsüsteemi arendajad avaldasid plaastrite komplekti.

Allikas: opennet.ru