[Wstecz: Logowanie]
[Spis treści]
[Dalej: Kłopoty z FTP]
PF: Wydajność
"Jakie pasmo może obsłużyć PF?"
"Jaki komputer będzie potrzebny aby zrealizować bramkę NAT lub PF?"
Nie ma prostej i jednoznacznej odpowiedzi na te pytania. Dla większości
zastosowań, komputer klasy 486/66 MHz z parą dobrych kart sieciowych ISA może
poradzić sobie z filtrowaniem i translacją adresów nawet przy paśmie sięgającym
5 Mb/s, jednak w niektórych przypadkach o wiele szybszy komputer z jeszcze
bardziej wydajnymi interfejsami sieciowymi na szynie PCI może okazać się
niewystarczający. Pytanie, które należy zadać nie odnosi się do bitów na
sekundę przechodzących przez interfejs, ale raczej do ilości napływających
pakietów i złożoności reguł użytych do filtrowania.
Wydajność PF jest zależna od kilku czynników:
- Ilości pakietów na sekundę. Ilość operacji wykonanych na pakiecie
zawierającym 1500 bajtów jest prawie taka sama jak dla pakietu z tylko jednym
bajtem danych. Ilość pakietów na sekundę decyduje o tym, jak wiele reguł musi
zostać sprawdzonych w ciągu sekundy, co określa rzeczywiste zapotrzebowanie na
zasobów systemu przez PF.
- Wydajność szyny. Magistrala ISA posiada maksymalną przepustowość na poziomie
8 MB/sec, w momencie gdy procesor wykorzystuje tą szynę, musi spowolnić swoją
pracę do poziomu procesora 80286 8 MHz, bez względu na to jaki jest szybki.
Szyna PCI ma o wiele wyższą przepustowość, a w mniejszym stopniu obciąża
procesor.
- Wydajność kart sieciowych. Niektóre karty są bardziej wydajne niż inne.
Urządzenia bazujące na Realtek 8139
(rl(4))
mają relatywnie niską wydajność, interfejsy oparte o chipset Intel 21143
(dc(4))
oferują wydajność na bardzo wysokim poziomie. Dla ludzi chcących uzyskać jak
największą przepustowość sensownym rozwiązaniem może być użycie kart Gigabit
Ethernet, nawet jeśli nie pracują w sieci gigabitowej, ponieważ posiadają one o
wiele bardziej zaawansowane systemy buforowania.
- Złożoność i zapis reguł. Bardziej skomplikowane reguły to mniejsza
wydajność. Wzrost wydajności można uzyskać stosując reguły keep state i
quick. Im więcej linii z regułami do sprawdzenia dla każdego pakietu tym
mniejsza wydajność.
- Warte wspomnienia: CPU i RAM. Jako, że PF jest procesem jądra, nie będzie
on używał pamięci wirtualnej. Jeśli więc maszyna posiada wystarczającą ilość
pamięci RAM, PF będzie działał, jeśli nie, zawiesi się z powodu wyczerpania
zasobów pamięci (więcej szczegółów można znaleźć na stronie podręcznika
systemowego
pool(9)).
Ogromne ilości pamięci RAM nie są wcale konieczne - 32MB w zupełności wystarczy
dla blisko 30,000 wpisów w tabeli stanów, liczba ta jest absolutnie zadowalająca
dla niewielkich biur czy też domowego użytku. Większość użytkowników może
znaleźć gdzieś komputer z "odzysku", który spełni wymagania stawiane przez PF z
nawiązką - system z procesorem 300 MHz może obsłużyć bardzo dużo pakietów w
mgnieniu oka, przynajmniej jeśli posiada dobrą karte sieciową i przemyślany
zestaw reguł.
Ludzie często zadają pytanie o benchmark dla PF. Jedyny benchmark, który można
wziąć pod uwagę jest wydajność danego systemu w danym środowisku.
Benchmark, który nie będzie w stanie odtworzyć warunków panujących w danej sieci
nie będzie dobrą pomocą przy konstruowaniu firewalla. Najlepszym rozwiązaniem
jest sprawdzenie wydajności PF w takim środowisku, które będzie takie same, lub
możliwie najbardziej podobne do tego, w którym będzie pracował gotowy system.
PF znajduje zastosowanie w wielu dużych, bardzo obciążonych implementacjach,
a jego deweloperzy są "mistrzami" w posugiwaniu się nim. Jest bardzo
prawdopodobne, że będzie on bardzo użyteczny także i dla ciebie.
[Wstecz: Logowanie]
[Spis treści]
[Dalej: Kłopoty z FTP]
www@openbsd.org
Originally [OpenBSD: perf.html,v 1.12 ]
$Translation: perf.html,v 1.6 2004/01/12 17:37:45 pl-team Exp $
$OpenBSD: perf.html,v 1.5 2004/01/16 21:01:34 jufi Exp $