I Linux-kärnan 5.7 kommer komplexa mappningar i listor i Netfilter att snabba upp.

Utvecklarna av filtret och modifieringssystemet för nätverkspaket Netfilter har publicerat en uppsättning patchar som avsevärt ökar hastigheten på hantering av stora matchningslistor (nftables set), där kontroll av kombinationer av subnät, nätverksportar, protokoll och MAC-adresser krävs. Patcharna har redan antagits i grenen nf-next, som kommer att föreslås för inkludering i Linux-kärnan 5.7. Den mest anmärkningsvärda hastighetsökningen har uppnåtts tack vare användningen av AVX2-instruktioner (liknande optimeringar baserade på NEON-instruktioner för ARM planeras att publiceras senare).

Optimeringarna har införts i modulen nft_set_pipapo (PIle PAcket POlicies), som löser uppgiften att matcha innehållet i paket med angivna regler för filtrering mot godtyckliga intervall av fält, såsom IP- och nätverksportintervall (nft_set_rbtree och nft_set_hash hanterar matchning av intervall och direkt avbildning av värden). Den vektoriserade versionen av pipapo med 256-bitars AVX2-instruktioner på en AMD Epyc 7402-processor visade en prestandaförbättring på 420% vid analys av 30 000 poster som inkluderade port-protokoll-kopplingar. Förbättringen vid matchning av subnät och portnummer vid analys av 1000 poster var 87% för IPv4 och 128% för IPv6.

En annan optimering, som möjliggör användning av 8-bitars matchningsgrupper istället för 4-bitars, visade också en påtaglig prestandaförbättring: 66% vid analys av 30 000 portar-protokoll, 43% — subnät_IPv4-port och 61% — subnät_IPv6-port. Sammanräknat, inklusive AVX2-optimeringar, ökade pipapos prestanda i dessa tester med 766%, 168% och 269% respektive. De erhållna resultaten för komplexa matchningar överträffar kontroller av enskilda fält i rbtree (utom i testet för port+protokollet), men ligger fortfarande efter direktkontroller med hashar och drop-handlare baserade på netdev.

Källa: opennet.ru