LINUX.ORG.RU
ФорумAdmin

Ускорение работы iptables CONNMARK

 , ,


0

3

Имеем следующий набор правил:

Chain FORWARD (policy ACCEPT 579K packets, 2016M bytes)
 pkts bytes target     prot opt in     out     source               destination         
    0     0 CONNMARK   all  --  any    any     anywhere             anywhere             STRING match  "%D0%9C%D1%83%D1%80%D0%B0%D0%B4+%D0%A0%D0%B0%D0%B3%D0%B8%D0%BC%D0%BE%D0%B2" ALGO name kmp TO 65535 CONNMARK xset 0x2/0xfe
    0     0 CONNMARK   tcp  --  any    any     anywhere             anywhere             STRING match  "CONNECT " ALGO name kmp TO 65535 STRING match  "Proxy-Connection:" ALGO name kmp TO 65535 CONNMARK xset 0x2/0xfe
    0     0 REJECT     tcp  --  any    any     nbrd.local/16        anywhere             match-set tor dst reject-with tcp-reset
    0     0 CONNMARK   tcp  --  any    any     anywhere             anywhere             STRING match  "GET http://" ALGO name bm TO 65535 CONNMARK xset 0x2/0xfe
    0     0 REJECT     tcp  --  any    any     anywhere             anywhere             STRING match  "HTTP/" ALGO name bm TO 65535 connmark match  0x2/0xfe reject-with tcp-reset

Chain OUTPUT (policy ACCEPT 729 packets, 219K bytes)
 pkts bytes target     prot opt in     out     source               destination        
При тесте скорости, выдаёт с правилами до 720Mbps.
Без правил да 1.80Gbps.
Вопрос? Как ускорить connmark и iptables в целом?

★★★★★

Ты уверен что тормозит CONNMARK, а не string match, а то последний - весьма прожорлив?

При тесте скорости, выдаёт с правилами до 720Mbps.

Загрузка процессора при этом ??

Pinkbyte ★★★★★ ()
Последнее исправление: Pinkbyte (всего исправлений: 1)
Ответ на: комментарий от Pinkbyte

Как я понял, string может жрать ресурсы просто потому, что он весит в памяти? Даже если трафик под него не подподает? А какие есть альтернативы string?

ne-vlezay ★★★★★ ()
Ответ на: комментарий от ne-vlezay

он не просто висит в памяти, в вашем случае он только первым правилом проверяет вообще все пакеты (proto all), проходящие через FORWARD

anonymous ()
Ответ на: комментарий от ne-vlezay

Нет, получается такой ускоритель тепловой смерти Вселенной своего рода.

berrywizard ★★★★★ ()
    0     0 CONNMARK   tcp  --  any    any     anywhere             anywhere             STRING match  "GET http://" ALGO name bm TO 65535 CONNMARK xset 0x2/0xfe
    0     0 REJECT     tcp  --  any    any     anywhere             anywhere             STRING match  "HTTP/" ALGO name bm TO 65535 connmark match  0x2/0xfe reject-with tcp-reset

ТС, ты йобнутый наркоман. Осиль прозрачный squid.

anonymous ()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.