XDP - eXpress Data Path - Redigeerimiste ajalugu

Imre: /* Kasulikud lisamaterjalid */

2024-07-27T08:28:10Z

Kasulikud lisamaterjalid

←Vanem redaktsioon		Redaktsioon: 27. juuli 2024, kell 11:28
205. rida:		205. rida:
	* https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/8/html/configuring_and_managing_networking/using-xdp-filter-for-high-performance-traffic-filtering-to-prevent-ddos-attacks_configuring-and-managing-networking#dropping-network-packets-that-match-an-xdp-filter-rule_using-xdp-filter-for-high-performance-traffic-filtering-to-prevent-ddos-attacks		* https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/8/html/configuring_and_managing_networking/using-xdp-filter-for-high-performance-traffic-filtering-to-prevent-ddos-attacks_configuring-and-managing-networking#dropping-network-packets-that-match-an-xdp-filter-rule_using-xdp-filter-for-high-performance-traffic-filtering-to-prevent-ddos-attacks
	* https://www.kungfudev.com/blog/2023/11/08/beginner-guide-to-xdp-crafting-xdp-based-firewall-with-bcc		* https://www.kungfudev.com/blog/2023/11/08/beginner-guide-to-xdp-crafting-xdp-based-firewall-with-bcc
		+	* [[:EBPF ja BCC utiliitide kasutamine]]

2024-07-27T08:07:27Z

Kasulikud lisamaterjalid

←Vanem redaktsioon		Redaktsioon: 27. juuli 2024, kell 11:07
204. rida:		204. rida:
	* https://blog.path.net/application-filters/		* https://blog.path.net/application-filters/
	* https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/8/html/configuring_and_managing_networking/using-xdp-filter-for-high-performance-traffic-filtering-to-prevent-ddos-attacks_configuring-and-managing-networking#dropping-network-packets-that-match-an-xdp-filter-rule_using-xdp-filter-for-high-performance-traffic-filtering-to-prevent-ddos-attacks		* https://docs.redhat.com/en/documentation/red_hat_enterprise_linux/8/html/configuring_and_managing_networking/using-xdp-filter-for-high-performance-traffic-filtering-to-prevent-ddos-attacks_configuring-and-managing-networking#dropping-network-packets-that-match-an-xdp-filter-rule_using-xdp-filter-for-high-performance-traffic-filtering-to-prevent-ddos-attacks
		+	* https://www.kungfudev.com/blog/2023/11/08/beginner-guide-to-xdp-crafting-xdp-based-firewall-with-bcc

2024-07-27T08:04:41Z

←Vanem redaktsioon		Redaktsioon: 27. juuli 2024, kell 11:04
12. rida:		12. rida:
	* xdp kasutab üldisemat bpf lahendust (mille kohta vahel väljendatakse 'in-kernel-virtual-machine)		* xdp kasutab üldisemat bpf lahendust (mille kohta vahel väljendatakse 'in-kernel-virtual-machine)

−	===Rakendus - stateless paketifilter===	+	===Rakendus - stateless paketifilter xdp-filter===

	====Tööpõhimõte====		====Tööpõhimõte====
179. rida:		179. rida:
	* xdpdump		* xdpdump

−	===Rakendus - Open vSwitch===	+	===Rakendus - virtuaalne switch Open vSwitch===

	TODO		TODO

2024-07-27T08:03:50Z

Kasulikud lisamaterjalid

←Vanem redaktsioon		Redaktsioon: 27. juuli 2024, kell 11:03
178. rida:		178. rida:

	* xdpdump		* xdpdump
		+
		+	===Rakendus - Open vSwitch===
		+
		+	TODO
		+
		+	* https://docs.openvswitch.org/en/latest/intro/install/afxdp/

	===Kasulikud lisamaterjalid===		===Kasulikud lisamaterjalid===

2024-07-23T17:43:17Z

Tööpõhimõte

←Vanem redaktsioon		Redaktsioon: 23. juuli 2024, kell 20:43
51. rida:		51. rida:
	* ilusti st iperf abil väikese mss väärtusega kõrvutisi 6-8 tcp ühendusi pidades saavutab 24.5 Gbit/s ja 18 mpps		* ilusti st iperf abil väikese mss väärtusega kõrvutisi 6-8 tcp ühendusi pidades saavutab 24.5 Gbit/s ja 18 mpps
	* hping3 ei ole antud juhul eriti efektiivne syn flood allikas		* hping3 ei ole antud juhul eriti efektiivne syn flood allikas
		+	* katses peab arvestama, mis mõju on PVE virtualiseerimise osakonnal (osalt on see ka eesmärk justnimelt saada aru milliste omadustega on pve virtualiseerimine)

	====Kasutuskoha ettevalmistamine====		====Kasutuskoha ettevalmistamine====

2024-07-23T17:30:38Z

Tööpõhimõte

←Vanem redaktsioon		Redaktsioon: 23. juuli 2024, kell 20:30
49. rida:		49. rida:
	* ühendused on 25 Gbit/s		* ühendused on 25 Gbit/s
	* server on füüsiliselt Proxmox PVE arvutil töötav virtuaalne KVM arvuti		* server on füüsiliselt Proxmox PVE arvutil töötav virtuaalne KVM arvuti
		+	* ilusti st iperf abil väikese mss väärtusega kõrvutisi 6-8 tcp ühendusi pidades saavutab 24.5 Gbit/s ja 18 mpps
		+	* hping3 ei ole antud juhul eriti efektiivne syn flood allikas

	====Kasutuskoha ettevalmistamine====		====Kasutuskoha ettevalmistamine====

2024-07-23T17:09:37Z

Tööpõhimõte

←Vanem redaktsioon		Redaktsioon: 23. juuli 2024, kell 20:09
46. rida:		46. rida:
	kus		kus

		+	* klient arvutid on füüsilised
−	* TODO
		+	* ühendused on 25 Gbit/s
		+	* server on füüsiliselt Proxmox PVE arvutil töötav virtuaalne KVM arvuti

	====Kasutuskoha ettevalmistamine====		====Kasutuskoha ettevalmistamine====

2024-07-23T17:08:22Z

Jõudlus - syn flood

←Vanem redaktsioon		Redaktsioon: 23. juuli 2024, kell 20:08
161. rida:		161. rida:
	rx_queue_7_xdp_drops: 84213379		rx_queue_7_xdp_drops: 84213379
	</pre>		</pre>
		+
		+	====Jõudlus - kokkuvõte====
		+
		+	Väited
		+
		+	* ilma paketifiltrita tekib süsteemil 'si' interrupt suur koormus (kõik 100%) nii 2.8 mpps juures ja operatsioonisüsteem ei ole eriti juhitav, st käsurida reageerib vaevaliselt
		+	* iptables/nftables paketifiltri kasutamisel tekib umbes samas 2.8 mpps syn flood juures 'si' interrupt suur koormus
		+	* xdp-filter kasutamisel ei teki 2.8 mpps juures probleeme; peaks leidma võimaluse koormust tõsta ja vaadata millal tekivad probleemid

	====Debugimine====		====Debugimine====

2024-07-23T17:04:40Z

Jõudlus

←Vanem redaktsioon		Redaktsioon: 23. juuli 2024, kell 20:04
88. rida:		88. rida:

	====Jõudlus====		====Jõudlus====
		+
		+	Jõudlusega tegelemisel pööratakse tähelepanu sellistele asjaoludele
		+
		+	* top + 'klahv 1' + 'shift ja h' - näeb kõigi protsessorite ja threads vaadet - kuidas läheb cpu load'il, nt istub 'is' peal, ja aktiivselt töötavad soft-interrupt osakond
		+	* 'tcpdump -ni enp6s18' vs 'xdpdump -i enp6s18' - kui takistada liiklust xdp kihis, siis tcpdump ei näe midagi; xdpdump näeb
		+	* milline on arvuti koormatus kui on rakendatud tava-iptables (tegelikult ubuntu 24.04 kasutab sisemiselt nftables'it); kui on rakendatud xdp-filter; kui ei ole rakendatud midagi
		+	* milline mõju on synflood tegemisel porti kus ei ole midagi kuulamas (ja pole rakendatud ka paketifiltrit - siis vastatakse rst paketiga); milline on mõju kuis synflood teha porti kus teenus kuulab tcp peal (ja pole rakendatud paketifiltrit - siis vastatakse syn-ack millele omakorda hping3 vastab rst paketiga; seejuures tehakse conntrack sissekanne - vt 'conntrack -L')
		+	* milline mõju on üldisel operatsioonisüsteemi käitumisel, nt samaaegselt avatud failde arv, erinevate portide arvu piirang 64k; arvutil on ühel võrguliidesel palju ip aadresse vs üks ip aadress
		+
		+	====Jõudlus - syn flood====

	syn flood koormuse tekitamiseks sobib öelda		syn flood koormuse tekitamiseks sobib öelda

2024-07-23T07:55:37Z

Jõudlus