linux - DPDK で Netfilter (iptables、nftables) を実行する方法

Question

Linux で、大量のパケットを処理し、その一部を外部プログラムに送信できる高速なステートフル ファイアウォールを探しています。

パフォーマンスを向上させるために、netfilter (iptables、nftables) を Intel DPDK と連携させることはできますか?

Answer 1

DPDK には、tap/tun デバイスのように機能する「カーネル ネットワーク インターフェイス」がありますが、ゼロコピーです。これらを使用して、ユーザー空間で RX/TX を実行し、パケットを Linux ネットワーク スタックに渡すことができます。これにより、IRQ のオーバーヘッドがいくらか除去される可能性があることを除けば、多くのパフォーマンスが得られるかどうかはわかりません。

netfilter と結婚していない場合、その他のオプションとして、ユーザー空間の BSD ネットワーク スタック ( libuinet など) を使用するか、DPDK 上のランプカーネルを使用することができます。