ലിനക്സിൽ ഫാസ്റ്റ് റൂട്ടിംഗും NAT ഉം

IPv4 വിലാസങ്ങൾ ഇല്ലാതാകുന്നതോടെ, പല ടെലികോം ഓപ്പറേറ്റർമാരും തങ്ങളുടെ ക്ലയന്റുകൾക്ക് വിലാസ വിവർത്തനം ഉപയോഗിച്ച് നെറ്റ്‌വർക്ക് ആക്‌സസ് നൽകേണ്ടതിന്റെ ആവശ്യകതയെ അഭിമുഖീകരിക്കുന്നു. കമ്മോഡിറ്റി സെർവറുകളിൽ കാരിയർ ഗ്രേഡ് NAT പ്രകടനം എങ്ങനെ നേടാമെന്ന് ഈ ലേഖനത്തിൽ ഞാൻ നിങ്ങളോട് പറയും.

ഒരു ചെറിയ ചരിത്രം

IPv4 അഡ്രസ് സ്‌പേസ് ക്ഷീണം എന്ന വിഷയം ഇനി പുതിയതല്ല. ചില ഘട്ടങ്ങളിൽ, വെയിറ്റിംഗ് ലിസ്റ്റുകൾ RIPE-ൽ പ്രത്യക്ഷപ്പെട്ടു, തുടർന്ന് വിലാസങ്ങളുടെ ബ്ലോക്കുകൾ ട്രേഡ് ചെയ്യപ്പെടുന്ന എക്സ്ചേഞ്ചുകൾ ഉയർന്നുവരുകയും അവ പാട്ടത്തിന് നൽകുന്നതിന് ഡീലുകൾ അവസാനിപ്പിക്കുകയും ചെയ്തു. ക്രമേണ, ടെലികോം ഓപ്പറേറ്റർമാർ വിലാസവും പോർട്ട് പരിഭാഷയും ഉപയോഗിച്ച് ഇന്റർനെറ്റ് ആക്സസ് സേവനങ്ങൾ നൽകാൻ തുടങ്ങി. ഓരോ വരിക്കാരനും "വെളുത്ത" വിലാസം നൽകുന്നതിന് മതിയായ വിലാസങ്ങൾ നേടാൻ ചിലർക്ക് കഴിഞ്ഞില്ല, മറ്റുള്ളവർ സെക്കൻഡറി മാർക്കറ്റിൽ വിലാസങ്ങൾ വാങ്ങാൻ വിസമ്മതിച്ചുകൊണ്ട് പണം ലാഭിക്കാൻ തുടങ്ങി. നെറ്റ്‌വർക്ക് ഉപകരണങ്ങളുടെ നിർമ്മാതാക്കൾ ഈ ആശയത്തെ പിന്തുണച്ചു, കാരണം ഈ പ്രവർത്തനത്തിന് സാധാരണയായി അധിക വിപുലീകരണ മൊഡ്യൂളുകളോ ലൈസൻസുകളോ ആവശ്യമാണ്. ഉദാഹരണത്തിന്, ജുനൈപ്പറിന്റെ MX റൂട്ടറുകളുടെ നിരയിൽ (ഏറ്റവും പുതിയ MX104, MX204 എന്നിവ ഒഴികെ), നിങ്ങൾക്ക് ഒരു പ്രത്യേക MS-MIC സേവന കാർഡിൽ NAPT നടത്താം, Cisco ASR1k-ന് CGN ലൈസൻസ് ആവശ്യമാണ്, Cisco ASR9k-ന് ഒരു പ്രത്യേക A9K-ISM-100 മൊഡ്യൂൾ ആവശ്യമാണ്. കൂടാതെ A9K-CGN ലൈസൻസ് -എൽഐസി അദ്ദേഹത്തിന്. പൊതുവേ, ആനന്ദത്തിന് ധാരാളം പണം ചിലവാകും.

IPTables

NAT നിർവ്വഹിക്കുന്നതിനുള്ള ചുമതലയ്ക്ക് പ്രത്യേക കമ്പ്യൂട്ടിംഗ് ഉറവിടങ്ങൾ ആവശ്യമില്ല; ഇത് ഇൻസ്റ്റാൾ ചെയ്ത പൊതു-ഉദ്ദേശ്യ പ്രോസസ്സറുകൾക്ക് പരിഹരിക്കാൻ കഴിയും, ഉദാഹരണത്തിന്, ഏത് ഹോം റൂട്ടറിലും. ഒരു ടെലികോം ഓപ്പറേറ്ററുടെ സ്കെയിലിൽ, FreeBSD (ipfw/pf) അല്ലെങ്കിൽ GNU/Linux (iptables) പ്രവർത്തിക്കുന്ന ചരക്ക് സെർവറുകൾ ഉപയോഗിച്ച് ഈ പ്രശ്നം പരിഹരിക്കാൻ കഴിയും. ഞങ്ങൾ FreeBSD പരിഗണിക്കില്ല, കാരണം... ഞാൻ ഈ OS ഉപയോഗിക്കുന്നത് വളരെക്കാലം മുമ്പ് നിർത്തി, അതിനാൽ ഞങ്ങൾ GNU/Linux-ൽ ഉറച്ചുനിൽക്കും.

വിലാസ വിവർത്തനം പ്രവർത്തനക്ഷമമാക്കുന്നത് ഒട്ടും ബുദ്ധിമുട്ടുള്ള കാര്യമല്ല. ആദ്യം നിങ്ങൾ നാറ്റ് ടേബിളിൽ iptables-ൽ ഒരു നിയമം രജിസ്റ്റർ ചെയ്യേണ്ടതുണ്ട്:

iptables -t nat -A POSTROUTING -s 100.64.0.0/10 -j SNAT --to <pool_start_addr>-<pool_end_addr> --persistent

ഓപ്പറേറ്റിംഗ് സിസ്റ്റം nf_conntrack മൊഡ്യൂൾ ലോഡ് ചെയ്യും, അത് എല്ലാ സജീവ കണക്ഷനുകളും നിരീക്ഷിക്കുകയും ആവശ്യമായ പരിവർത്തനങ്ങൾ നടത്തുകയും ചെയ്യും. ഇവിടെ നിരവധി സൂക്ഷ്മതകളുണ്ട്. ഒന്നാമതായി, ഞങ്ങൾ ഒരു ടെലികോം ഓപ്പറേറ്ററുടെ സ്കെയിലിൽ NAT നെക്കുറിച്ച് സംസാരിക്കുന്നതിനാൽ, സമയപരിധി ക്രമീകരിക്കേണ്ടത് ആവശ്യമാണ്, കാരണം സ്ഥിരസ്ഥിതി മൂല്യങ്ങൾ ഉപയോഗിച്ച് വിവർത്തന പട്ടികയുടെ വലുപ്പം അതിവേഗം വിനാശകരമായ മൂല്യങ്ങളിലേക്ക് വളരും. എന്റെ സെർവറുകളിൽ ഞാൻ ഉപയോഗിച്ച ക്രമീകരണങ്ങളുടെ ഒരു ഉദാഹരണം ചുവടെയുണ്ട്:

net.ipv4.ip_forward = 1
net.ipv4.ip_local_port_range = 8192 65535

net.netfilter.nf_conntrack_generic_timeout = 300
net.netfilter.nf_conntrack_tcp_timeout_syn_sent = 60
net.netfilter.nf_conntrack_tcp_timeout_syn_recv = 60
net.netfilter.nf_conntrack_tcp_timeout_established = 600
net.netfilter.nf_conntrack_tcp_timeout_fin_wait = 60
net.netfilter.nf_conntrack_tcp_timeout_close_wait = 45
net.netfilter.nf_conntrack_tcp_timeout_last_ack = 30
net.netfilter.nf_conntrack_tcp_timeout_time_wait = 120
net.netfilter.nf_conntrack_tcp_timeout_close = 10
net.netfilter.nf_conntrack_tcp_timeout_max_retrans = 300
net.netfilter.nf_conntrack_tcp_timeout_unacknowledged = 300
net.netfilter.nf_conntrack_udp_timeout = 30
net.netfilter.nf_conntrack_udp_timeout_stream = 60
net.netfilter.nf_conntrack_icmpv6_timeout = 30
net.netfilter.nf_conntrack_icmp_timeout = 30
net.netfilter.nf_conntrack_events_retry_timeout = 15
net.netfilter.nf_conntrack_checksum=0

രണ്ടാമതായി, വിവർത്തന പട്ടികയുടെ സ്ഥിരസ്ഥിതി വലുപ്പം ഒരു ടെലികോം ഓപ്പറേറ്ററുടെ സാഹചര്യങ്ങളിൽ പ്രവർത്തിക്കാൻ രൂപകൽപ്പന ചെയ്തിട്ടില്ലാത്തതിനാൽ, അത് വർദ്ധിപ്പിക്കേണ്ടതുണ്ട്:

net.netfilter.nf_conntrack_max = 3145728

എല്ലാ പ്രക്ഷേപണങ്ങളും സംഭരിക്കുന്ന ഹാഷ് ടേബിളിനായി ബക്കറ്റുകളുടെ എണ്ണം വർദ്ധിപ്പിക്കേണ്ടതും ആവശ്യമാണ് (ഇത് nf_conntrack മൊഡ്യൂളിലെ ഒരു ഓപ്ഷനാണ്):

options nf_conntrack hashsize=1572864

ഈ ലളിതമായ കൃത്രിമത്വങ്ങൾക്ക് ശേഷം, പൂർണ്ണമായി പ്രവർത്തിക്കുന്ന ഒരു ഡിസൈൻ ലഭിക്കും, അത് ധാരാളം ക്ലയന്റ് വിലാസങ്ങൾ ബാഹ്യമായവയുടെ ഒരു പൂളിലേക്ക് വിവർത്തനം ചെയ്യാൻ കഴിയും. എന്നിരുന്നാലും, ഈ പരിഹാരത്തിന്റെ പ്രകടനം ആഗ്രഹിക്കുന്നത് വളരെയധികം അവശേഷിക്കുന്നു. NAT-ന് (ഏകദേശം 2013-ൽ) GNU/Linux ഉപയോഗിക്കാനുള്ള എന്റെ ആദ്യ ശ്രമങ്ങളിൽ, ഒരു സെർവറിന് 7Mpps എന്ന നിരക്കിൽ (Xeon E0.8-5v1650) ഏകദേശം 2Gbit/s പ്രകടനം നേടാൻ എനിക്ക് കഴിഞ്ഞു. അന്നുമുതൽ, ഗ്നു/ലിനക്സ് കേർണൽ നെറ്റ്‌വർക്ക് സ്റ്റാക്കിൽ നിരവധി വ്യത്യസ്ത ഒപ്റ്റിമൈസേഷനുകൾ നടത്തിയിട്ടുണ്ട്, ഒരേ ഹാർഡ്‌വെയറിലെ ഒരു സെർവറിന്റെ പ്രകടനം 18-19 Mpps-ൽ ഏകദേശം 1.8-1.9 Gbit/s ആയി വർദ്ധിച്ചു (ഇവയാണ് പരമാവധി മൂല്യങ്ങൾ) , എന്നാൽ ഒരു സെർവർ പ്രോസസ്സ് ചെയ്യുന്ന ട്രാഫിക് വോളിയത്തിന്റെ ആവശ്യം വളരെ വേഗത്തിൽ വളർന്നു. തൽഫലമായി, വ്യത്യസ്ത സെർവറുകളിലെ ലോഡ് സന്തുലിതമാക്കുന്നതിന് സ്കീമുകൾ വികസിപ്പിച്ചെടുത്തു, എന്നാൽ ഇതെല്ലാം നൽകിയ സേവനങ്ങളുടെ ഗുണനിലവാരം സജ്ജീകരിക്കുന്നതിനും പരിപാലിക്കുന്നതിനും പരിപാലിക്കുന്നതിനുമുള്ള സങ്കീർണ്ണത വർദ്ധിപ്പിച്ചു.

NTFables

ഇക്കാലത്ത്, സോഫ്റ്റ്‌വെയർ "ഷിഫ്റ്റിംഗ് ബാഗുകൾ" എന്നതിലെ ഒരു ഫാഷനബിൾ ട്രെൻഡ് DPDK, XDP എന്നിവയുടെ ഉപയോഗമാണ്. ഈ വിഷയത്തിൽ ധാരാളം ലേഖനങ്ങൾ എഴുതിയിട്ടുണ്ട്, നിരവധി വ്യത്യസ്ത പ്രസംഗങ്ങൾ നടത്തി, വാണിജ്യ ഉൽപ്പന്നങ്ങൾ പ്രത്യക്ഷപ്പെടുന്നു (ഉദാഹരണത്തിന്, VasExperts ൽ നിന്നുള്ള SKAT). എന്നാൽ ടെലികോം ഓപ്പറേറ്റർമാരുടെ പരിമിതമായ പ്രോഗ്രാമിംഗ് ഉറവിടങ്ങൾ കണക്കിലെടുക്കുമ്പോൾ, ഈ ചട്ടക്കൂടുകളെ അടിസ്ഥാനമാക്കി ഏതെങ്കിലും "ഉൽപ്പന്നം" സ്വന്തമായി സൃഷ്ടിക്കുന്നത് തികച്ചും പ്രശ്നകരമാണ്. ഭാവിയിൽ അത്തരമൊരു പരിഹാരം പ്രവർത്തിപ്പിക്കുന്നത് വളരെ ബുദ്ധിമുട്ടായിരിക്കും; പ്രത്യേകിച്ചും, ഡയഗ്നോസ്റ്റിക് ഉപകരണങ്ങൾ വികസിപ്പിക്കേണ്ടതുണ്ട്. ഉദാഹരണത്തിന്, DPDK ഉള്ള സ്റ്റാൻഡേർഡ് tcpdump അത് പോലെ പ്രവർത്തിക്കില്ല, കൂടാതെ XDP ഉപയോഗിച്ച് വയറുകളിലേക്ക് തിരികെ അയച്ച പാക്കറ്റുകൾ അത് "കാണില്ല". യൂസർ-സ്‌പെയ്‌സിലേക്ക് പാക്കറ്റ് ഫോർവേഡിംഗ് ഔട്ട്‌പുട്ട് ചെയ്യുന്നതിനുള്ള പുതിയ സാങ്കേതികവിദ്യകളെക്കുറിച്ചുള്ള എല്ലാ സംസാരത്തിനിടയിലും, അവ ശ്രദ്ധിക്കപ്പെടാതെ പോയി. റിപ്പോർട്ടുകൾ и ലേഖനങ്ങൾ പാബ്ലോ നെയ്‌റ ആയുസോ, iptables മെയിന്റനർ, nftables-ൽ ഫ്ലോ ഓഫ്‌ലോഡിംഗ് വികസിപ്പിക്കുന്നതിനെക്കുറിച്ച്. ഈ മെക്കാനിസം കൂടുതൽ വിശദമായി നോക്കാം.

പ്രധാന ആശയം, റൂട്ടർ ഒരു സെഷനിൽ നിന്ന് ഫ്ലോയുടെ രണ്ട് ദിശകളിലേക്കും പാക്കറ്റുകൾ കൈമാറിയെങ്കിൽ (TCP സെഷൻ സ്ഥാപിതമായ അവസ്ഥയിലേക്ക് പോയി), ഈ സെഷന്റെ തുടർന്നുള്ള പാക്കറ്റുകൾ എല്ലാ ഫയർവാൾ നിയമങ്ങളിലൂടെയും കടന്നുപോകേണ്ട ആവശ്യമില്ല, കാരണം പാക്കറ്റ് റൂട്ടിംഗിലേക്ക് മാറ്റുന്നതോടെ ഈ പരിശോധനകളെല്ലാം അവസാനിക്കും. ഞങ്ങൾ യഥാർത്ഥത്തിൽ ഒരു റൂട്ട് തിരഞ്ഞെടുക്കേണ്ടതില്ല - ഈ സെഷനിൽ ഏത് ഇന്റർഫേസിലേക്കാണ്, ഏത് ഹോസ്റ്റിലേക്കാണ് പാക്കറ്റുകൾ അയയ്ക്കേണ്ടതെന്ന് ഞങ്ങൾക്കറിയാം. ഈ വിവരങ്ങൾ സംഭരിക്കുകയും പാക്കറ്റ് പ്രോസസ്സിംഗിന്റെ പ്രാരംഭ ഘട്ടത്തിൽ റൂട്ടിംഗിനായി ഉപയോഗിക്കുകയും ചെയ്യുക എന്നതാണ് അവശേഷിക്കുന്നത്. NAT നടത്തുമ്പോൾ, nf_contrack മൊഡ്യൂൾ വിവർത്തനം ചെയ്ത വിലാസങ്ങളിലും പോർട്ടുകളിലും വരുത്തിയ മാറ്റങ്ങളെക്കുറിച്ചുള്ള വിവരങ്ങൾ അധികമായി സംഭരിക്കേണ്ടത് ആവശ്യമാണ്. അതെ, തീർച്ചയായും, ഈ സാഹചര്യത്തിൽ iptables-ലെ വിവിധ പോലീസുകാരും മറ്റ് വിവരങ്ങളും സ്റ്റാറ്റിസ്റ്റിക്കൽ നിയമങ്ങളും പ്രവർത്തിക്കുന്നത് നിർത്തുന്നു, എന്നാൽ ഒരു പ്രത്യേക സ്റ്റാൻഡിംഗ് NAT അല്ലെങ്കിൽ, ഉദാഹരണത്തിന്, ഒരു അതിർത്തിയുടെ ചുമതലയുടെ ചട്ടക്കൂടിനുള്ളിൽ, ഇത് അത്ര പ്രധാനമല്ല, കാരണം സേവനങ്ങൾ ഉപകരണങ്ങളിലുടനീളം വിതരണം ചെയ്യുന്നു.

കോൺഫിഗറേഷൻ

ഈ ഫംഗ്ഷൻ ഉപയോഗിക്കുന്നതിന് ഞങ്ങൾക്ക് ഇത് ആവശ്യമാണ്:

• ഒരു പുതിയ കേർണൽ ഉപയോഗിക്കുക. പ്രവർത്തനം തന്നെ കേർണൽ 4.16 ൽ പ്രത്യക്ഷപ്പെട്ടിട്ടുണ്ടെങ്കിലും, വളരെക്കാലമായി ഇത് വളരെ “റോ” ആയിരുന്നു, പതിവായി കേർണൽ പരിഭ്രാന്തി സൃഷ്ടിക്കുന്നു. 2019 ഡിസംബറിൽ LTS കേർണലുകൾ 4.19.90, 5.4.5 എന്നിവ പുറത്തിറങ്ങിയപ്പോൾ എല്ലാം സുസ്ഥിരമായി.
• nftables-ന്റെ ഏറ്റവും പുതിയ പതിപ്പ് ഉപയോഗിച്ച് iptables നിയമങ്ങൾ nftables ഫോർമാറ്റിൽ വീണ്ടും എഴുതുക. 0.9.0 പതിപ്പിൽ കൃത്യമായി പ്രവർത്തിക്കുന്നു

തത്വത്തിൽ എല്ലാം ആദ്യ പോയിന്റ് ഉപയോഗിച്ച് വ്യക്തമാണെങ്കിൽ, അസംബ്ലി സമയത്ത് കോൺഫിഗറേഷനിൽ മൊഡ്യൂൾ ഉൾപ്പെടുത്താൻ മറക്കരുത് എന്നതാണ് പ്രധാന കാര്യം (CONFIG_NFT_FLOW_OFFLOAD=m), രണ്ടാമത്തെ പോയിന്റിന് വിശദീകരണം ആവശ്യമാണ്. nftables നിയമങ്ങൾ iptables-ൽ നിന്ന് വ്യത്യസ്തമായി വിവരിച്ചിരിക്കുന്നു. ഡോക്യുമെന്റേഷൻ മിക്കവാറും എല്ലാ പോയിന്റുകളും വെളിപ്പെടുത്തുന്നു, പ്രത്യേകതകളും ഉണ്ട് കൺവെർട്ടറുകൾ iptables മുതൽ nftables വരെയുള്ള നിയമങ്ങൾ. അതിനാൽ, NAT, ഫ്ലോ ഓഫ്‌ലോഡ് എന്നിവ സജ്ജീകരിക്കുന്നതിനുള്ള ഒരു ഉദാഹരണം മാത്രം ഞാൻ നൽകും. ഉദാഹരണത്തിന് ഒരു ചെറിയ ഇതിഹാസം: , - ഇവയാണ് ട്രാഫിക് കടന്നുപോകുന്ന നെറ്റ്‌വർക്ക് ഇന്റർഫേസുകൾ; വാസ്തവത്തിൽ അവയിൽ രണ്ടിൽ കൂടുതൽ ഉണ്ടാകാം. , - "വെളുത്ത" വിലാസങ്ങളുടെ ശ്രേണിയുടെ ആരംഭവും അവസാനവും വിലാസം.

NAT കോൺഫിഗറേഷൻ വളരെ ലളിതമാണ്:

#! /usr/sbin/nft -f

table nat {
        chain postrouting {
                type nat hook postrouting priority 100;
                oif <o_if> snat to <pool_addr_start>-<pool_addr_end> persistent
        }
}

ഫ്ലോ ഓഫ്‌ലോഡിൽ ഇത് കുറച്ചുകൂടി സങ്കീർണ്ണമാണ്, പക്ഷേ മനസ്സിലാക്കാവുന്നതേയുള്ളൂ:

#! /usr/sbin/nft -f

table inet filter {
        flowtable fastnat {
                hook ingress priority 0
                devices = { <i_if>, <o_if> }
        }

        chain forward {
                type filter hook forward priority 0; policy accept;
                ip protocol { tcp , udp } flow offload @fastnat;
        }
}

വാസ്തവത്തിൽ, അതാണ് മുഴുവൻ സജ്ജീകരണവും. ഇപ്പോൾ എല്ലാ TCP/UDP ട്രാഫിക്കും ഫാസ്റ്റ്‌നാറ്റ് ടേബിളിൽ വീഴുകയും വളരെ വേഗത്തിൽ പ്രോസസ്സ് ചെയ്യുകയും ചെയ്യും.

ഫലങ്ങൾ

ഇത് എത്ര "വേഗത" ആണെന്ന് വ്യക്തമാക്കുന്നതിന്, രണ്ട് യഥാർത്ഥ സെർവറുകളിൽ ലോഡിന്റെ ഒരു സ്ക്രീൻഷോട്ട് ഞാൻ അറ്റാച്ചുചെയ്യും, ഒരേ ഹാർഡ്‌വെയർ (Xeon E5-1650v2), ഒരേ ലിനക്സ് കേർണൽ ഉപയോഗിച്ച്, എന്നാൽ iptables-ൽ NAT പ്രവർത്തിക്കുന്നു. (NAT4) കൂടാതെ nftables-ലും (NAT5).

സ്ക്രീൻഷോട്ടിൽ സെക്കൻഡിൽ പാക്കറ്റുകളുടെ ഗ്രാഫ് ഇല്ല, എന്നാൽ ഈ സെർവറുകളുടെ ലോഡ് പ്രൊഫൈലിൽ ശരാശരി പാക്കറ്റ് വലുപ്പം ഏകദേശം 800 ബൈറ്റുകൾ ആണ്, അതിനാൽ മൂല്യങ്ങൾ 1.5Mpps വരെ എത്തുന്നു. നിങ്ങൾക്ക് കാണാനാകുന്നതുപോലെ, nftables ഉള്ള സെർവറിന് ഒരു വലിയ പ്രകടന റിസർവ് ഉണ്ട്. നിലവിൽ, ഈ സെർവർ 30Mpps-ൽ 3Gbit/s വരെ പ്രോസസ്സ് ചെയ്യുന്നു, കൂടാതെ സ്വതന്ത്ര CPU ഉറവിടങ്ങൾ ഉള്ളപ്പോൾ തന്നെ 40Gbps എന്ന ഫിസിക്കൽ നെറ്റ്‌വർക്ക് പരിമിതി പാലിക്കാൻ ഇത് വ്യക്തമായി പ്രാപ്തമാണ്.

അവരുടെ സെർവറുകളുടെ പ്രകടനം മെച്ചപ്പെടുത്താൻ ശ്രമിക്കുന്ന നെറ്റ്‌വർക്ക് എഞ്ചിനീയർമാർക്ക് ഈ മെറ്റീരിയൽ ഉപയോഗപ്രദമാകുമെന്ന് ഞാൻ പ്രതീക്ഷിക്കുന്നു.

അവലംബം: www.habr.com