ליבת לינוקס 5.7 תאיץ את התאמת הרשימות המורכבות ב-NetFilter

מפתחי תת-מערכת הסינון והשינוי של Netfilter עבור מנות רשת פורסם ערכת תיקונים שמאיצה משמעותית את העיבוד של רשימות התאמות גדולות (סט nftables), הדורשות בדיקת שילוב של רשתות משנה, יציאות רשת, פרוטוקול וכתובות MAC. תיקונים כבר התקבלו לסניף nf-next, אשר יוצע להכללה בליבת לינוקס 5.7. התאוצה הבולטת ביותר הושגה בזכות מרתק הוראות AVX2 (בעתיד מתוכנן לפרסם אופטימיזציות דומות המבוססות על הוראות NEON עבור ARM).

אופטימיזציות הכלולות במודול nft_set_pipapo (PIle PAcket POlicies), אשר פותר את בעיית התאמת התוכן של חבילה לטווחי מצבי שדה שרירותיים המשמשים בחוקי סינון, כגון טווחי IP ויציאות רשת (nft_set_rbtree ו-nft_set_hash מפעילים התאמת מרווחים והשתקפות ישירה של ערכים). הגרסה של pipapo שהוקקטורה באמצעות הוראות 256 סיביות AVX2 במערכת עם מעבד AMD Epyc 7402 הראתה עלייה של 420% בביצועים בעת ניתוח של 30 אלף רשומות כולל שילובי פרוטוקול יציאות. העלייה בהשוואה של שילוב של רשת משנה ומספר יציאה בעת ניתוח 1000 רשומות הייתה 87% עבור IPv4 ו-128% עבור IPv6.

אופטימיזציה נוספת, המאפשרת שימוש בקבוצות התאמה של 8 סיביות במקום 4 סיביות, הראתה גם היא שיפורי ביצועים משמעותיים: 66% בעת ניתוח של 30 אלף כניסות פרוטוקול יציאה, 43% עבור יציאת subnet_IPv4, ו-61% עבור יציאת subnet_IPv6. בסך הכל, בהתחשב באופטימיזציות של AVX2, הביצועים של Pipapo עלו בבדיקות אלו ב-766%, 168% ו-269%, בהתאמה. המאפיינים המתקבלים עבור השוואות מורכבות קודמים לבדיקות שדות בודדות rbtree (למעט בדיקת פורט+פרוטוקול), אך עד כה הם מפגרים מאחורי בדיקות ישירות באמצעות חשיש ומטפלי שחרור המבוססים על netdev.

מקור: OpenNet.ru