ການຈັບຄູ່ລາຍຊື່ສະລັບສັບຊ້ອນ NetFilter ຈະຖືກເລັ່ງໃນແກ່ນ Linux 5.7

ຜູ້ພັດທະນາລະບົບຍ່ອຍການກັ່ນຕອງ Netfilter ແລະດັດແກ້ສໍາລັບແພັກເກັດເຄືອຂ່າຍ ເຜີຍແຜ່ ຊຸດຂອງ patches ທີ່ເລັ່ງການປຸງແຕ່ງລາຍການການແຂ່ງຂັນຂະຫນາດໃຫຍ່ (nftables ທີ່ກໍານົດໄວ້), ເຊິ່ງຮຽກຮ້ອງໃຫ້ມີການກວດສອບການປະສົມປະສານຂອງ subnets, ports ເຄືອຂ່າຍ, protocol ແລະທີ່ຢູ່ MAC. Patches ໄດ້ຖືກຍອມຮັບແລ້ວເຂົ້າໄປໃນສາຂາ nf-ຕໍ່ໄປ, ເຊິ່ງຈະຖືກສະເຫນີສໍາລັບການລວມຢູ່ໃນ Linux 5.7 kernel. ການເລັ່ງທີ່ສັງເກດເຫັນຫຼາຍທີ່ສຸດແມ່ນບັນລຸໄດ້ຍ້ອນ ມີສ່ວນຮ່ວມ ຄໍາແນະນໍາ AVX2 (ໃນອະນາຄົດມັນຖືກວາງແຜນທີ່ຈະເຜີຍແຜ່ການເພີ່ມປະສິດທິພາບທີ່ຄ້າຍຄືກັນໂດຍອີງໃສ່ຄໍາແນະນໍາ NEON ສໍາລັບ ARM).

ການເພີ່ມປະສິດທິພາບລວມຢູ່ໃນໂມດູນ nft_set_pipapo (PIle PAcket POlicies), ເຊິ່ງແກ້ໄຂບັນຫາການຈັບຄູ່ເນື້ອໃນຂອງແພັກເກັດທີ່ມີຂອບເຂດສະຖານະຂອງຊ່ອງຂໍ້ມູນ arbitrary ທີ່ໃຊ້ໃນກົດລະບຽບການກັ່ນຕອງ, ເຊັ່ນ IP ແລະໄລຍະພອດເຄືອຂ່າຍ (nft_set_rbtree ແລະ nft_set_hash ຈັດການການຈັບຄູ່ໄລຍະຫ່າງແລະການສະທ້ອນໂດຍກົງຂອງຄ່າ). ສະບັບຂອງ pipapo vectorized ໂດຍໃຊ້ຄໍາແນະນໍາ 256-bit AVX2 ໃນລະບົບທີ່ມີໂປເຊດເຊີ AMD Epyc 7402 ສະແດງໃຫ້ເຫັນການເພີ່ມປະສິດທິພາບ 420% ເມື່ອວິເຄາະ 30 ພັນບັນທຶກລວມທັງການປະສົມພອດ - ໂປໂຕຄອນ. ການເພີ່ມຂຶ້ນຂອງການປຽບທຽບການລວມກັນຂອງເຄືອຂ່າຍຍ່ອຍແລະຈໍານວນພອດເມື່ອວິເຄາະ 1000 ບັນທຶກແມ່ນ 87% ສໍາລັບ IPv4 ແລະ 128% ສໍາລັບ IPv6.

ການເພີ່ມປະສິດທິພາບອີກອັນຫນຶ່ງ, ການອະນຸຍາດໃຫ້ນໍາໃຊ້ກຸ່ມການຈັບຄູ່ 8-bit ແທນທີ່ຈະເປັນ 4-bit, ຍັງສະແດງໃຫ້ເຫັນເຖິງປະສິດທິພາບທີ່ສໍາຄັນ: 66% ເມື່ອວິເຄາະ 30 ພັນ port-protocol entry, 43% ສໍາລັບ subnet_IPv4-port, ແລະ 61% ສໍາລັບ subnet_IPv6-port. ໃນຈໍານວນທັງຫມົດ, ການພິຈາລະນາການເພີ່ມປະສິດທິພາບ AVX2, ການປະຕິບັດຂອງ pipapo ເພີ່ມຂຶ້ນໃນການທົດສອບເຫຼົ່ານີ້ໂດຍ 766%, 168% ແລະ 269%, ຕາມລໍາດັບ. ຄຸນລັກສະນະທີ່ໄດ້ຮັບສໍາລັບການປຽບທຽບທີ່ສັບສົນແມ່ນຢູ່ຂ້າງຫນ້າຂອງການກວດສອບພາກສະຫນາມດຽວ rbtree (ຍົກເວັ້ນການທົດສອບພອດ + ໂປໂຕຄອນ), ແຕ່ມາເຖິງຕອນນັ້ນພວກເຂົາຍັງຊັກຊ້າການກວດສອບໂດຍກົງໂດຍໃຊ້ hashes ແລະວາງຕົວຈັດການໂດຍອີງໃສ່ netdev.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru