iptablesマルチポートモジュールは、複数の個々のルールに比べてパフォーマンス上の利点を提供しますか？

Question 1

iptables は、終了ターゲットに一致するエントリが見つかるまでテーブル内の各ルールを繰り返すため、ルールが少ないほど CPU 使用率が低くなります。一部のルールは他のルールよりも高速に実行されます。マルチポート15ポートルールは、同等のポートルールよりも速くすることができます。置くルール（例：Hauke Laging回答）。したがって、ルールの数だけでなく、ルールの種類も重要です。

ソースコードはTCP/UDP、マルチポートそして置くマッチング拡張はいくつかの経験則を提供しますが、進行速度がどこまで遅くなるかを予測するのは難しい。、可能なiptablesルールセットをベンチマークして、どちらが速いかを確認することをお勧めします。たとえば、私はiperf33つのポートのみを含むリスト伝送制御プロトコルモジュール比マルチポートそして置く同様のスループットを提供するモジュールです。

それでもマイクロベンチマークに興味がある場合は、このプログラムを実行するのに必要なCPUサイクルを計算してみました。ipt_do_table非常に基本的なカーネル関数を使うシステムクリックスクリプト：

global call_cycles = 0

probe kernel.function("ipt_do_table@net/ipv4/netfilter/ip_tables.c").call {
    call_cycles = get_cycles()
}

probe kernel.function("ipt_do_table@net/ipv4/netfilter/ip_tables.c").return {
    delta = get_cycles() - call_cycles
    printf(" <- delta = %d\n", delta)
}

Linux 4.15を実行している仮想マシンですべてのルールのパケットを繰り返す結果は次のとおりです。

基準寸法	ポート	ルール	1 実行	ラン2	実行3	実行4	実行5
伝送制御プロトコル	4500	4500	973148	1032564	856528	410894	854708
マルチポート	4500	300	89370	259250	99752	225275	182256
置く	4500	1	28463	43494	28315	33589	40988

Answer

iptables は、終了ターゲットに一致するエントリが見つかるまでテーブル内の各ルールを繰り返すため、ルールが少ないほど CPU 使用率が低くなります。一部のルールは他のルールよりも高速に実行されます。マルチポート15ポートルールは、同等のポートルールよりも速くすることができます。置くルール（例：Hauke Laging回答）。したがって、ルールの数だけでなく、ルールの種類も重要です。

ソースコードはTCP/UDP、マルチポートそして置くマッチング拡張はいくつかの経験則を提供しますが、進行速度がどこまで遅くなるかを予測するのは難しい。、可能なiptablesルールセットをベンチマークして、どちらが速いかを確認することをお勧めします。たとえば、私はiperf33つのポートのみを含むリスト伝送制御プロトコルモジュール比マルチポートそして置く同様のスループットを提供するモジュールです。

それでもマイクロベンチマークに興味がある場合は、このプログラムを実行するのに必要なCPUサイクルを計算してみました。ipt_do_table非常に基本的なカーネル関数を使うシステムクリックスクリプト：

global call_cycles = 0

probe kernel.function("ipt_do_table@net/ipv4/netfilter/ip_tables.c").call {
    call_cycles = get_cycles()
}

probe kernel.function("ipt_do_table@net/ipv4/netfilter/ip_tables.c").return {
    delta = get_cycles() - call_cycles
    printf(" <- delta = %d\n", delta)
}

Linux 4.15を実行している仮想マシンですべてのルールのパケットを繰り返す結果は次のとおりです。

基準寸法	ポート	ルール	1 実行	ラン2	実行3	実行4	実行5
伝送制御プロトコル	4500	4500	973148	1032564	856528	410894	854708
マルチポート	4500	300	89370	259250	99752	225275	182256
置く	4500	1	28463	43494	28315	33589	40988

Question 2

LinuxがopcodeレベルでNetfilterルールをどのように処理するのかわかりません。ただし、マルチポートアプローチでは、1回の操作で複数のチェックを実行できます。

1Gb/sはCPUにあまり多くないので（遅いCPUでも）極端な場合が必要なのは驚くべきことではありません。ただし、どちらの方法でも、同じスループットでも全く異なる負荷を生成できます。これはカーネルなので、おそらく機能しません/proc/loadavg。したがって、同じシステムでCPU集約型アプリケーションを実行し、パフォーマンスを測定して実際の違いを確認する必要があります。

-p tcpしかし、マルチポートは一度チェックしますが、マルチルールは同じチェックを65536回実行するため、比較が少し不公平だと思います。だからあなたはこれを行います：

iptables -N tcp_ports
iptables -A INPUT -p tcp -j tcp_ports
for ((i=1;i<65536;i++)); do iptables -A tcp_ports --sport $i ...

私はTCPチェックをそのまま無視できないことに気づきました--dport。しかし、これがマルチルールアプローチが遅い理由の1つです。

あなたと同じ状況でマルチポーティングが機能しているかどうかはわかりません。ipset巨大な比較リストが作成されました。だからこれはあなたが本当に欲しいものかもしれません。

ipset create foo bitmap:port range tcp:10000-19999
ipset add foo tcp:10000-19999
iptables -A INPUT -p tcp -m set --match-set foo dst

Answer