Razvijalci podsystems za filtriranje i modifikaciju mrežnih paketa Netfilter set zakrpa koje značajno ubrzavaju obradu velikih lista podudaranja (nftables set), u kojima je neophodno proveriti kombinacije podmreža, mrežnih portova, protokola i MAC adresa. Zakrpe su već uključene u granu , koja će biti predložena za uključivanje u sastav jezgra Linux 5.7. Najveće ubrzanje postignuto je zahvaljujući AVX2 instrukcija (u budućnosti se planira objaviti slične optimizacije zasnovane na NEON instrukcijama za ARM).
Optimizacije su unesene u modul (PIle PAcket POlicies), koji rešava problem podudaranja sadržaja paketa sa primenjenim pravilima filtracije za proizvoljne opsege polja stanja, kao što su opsezi IP i mrežnih portova (nft_set_rbtree i nft_set_hash manipulišu podudaranjem intervala i direktnim odražavanjem vrednosti). Vektorizovana sa 256-bitnim AVX2 instrukcijama verzija pipapo na sistemu sa procesorom AMD Epyc 7402 pokazala je povećanje performansi od 420% prilikom obrade 30.000 zapisa, koji uključuju parove port-protokol. Povećanje prilikom podudaranja opsega podmreže i broja porta prilikom obrade 1000 zapisa iznosilo je 87% za IPv4 i 128% za IPv6.
Druga optimizacija, koja omogućava korišćenje 8-bitnih grupa podudaranja umesto 4-bitnih, takođe je pokazala značajno povećanje performansi: 66% prilikom obrade 30.000 zapisa port-protokol, 43% — podmreža_IPv4-port i 61% — podmreža_IPv6-port. U zbiru, uzimajući u obzir AVX2 optimizacije, performanse pipapo su se povećale u navedenim testovima za 766%, 168% i 269% respektivno. Ostvarene karakteristike za složena podudaranja nadmašuju provere pojedinačnih polja u (osim testa parova port+protokol), ali za sada zaostaju za direktnim proverama pomoću i drop-procesora zasnovanih na netdev-u.
Izvor: opennet.ru
