《Linux作为校园网出口的优化PPT课件》由会员分享，可在线阅读，更多相关《Linux作为校园网出口的优化PPT课件（18页珍藏版）》请在金锄头文库上搜索。
1、Linux作为校园网出口的作为校园网出口的优化优化张焕杰Tel: 3601897(O)1主要内容主要内容l功能要求l系统优化2功能要求功能要求l区分国内国外地址利用netfilter/iptables实现校内IP分3种权限：校内、国内、国际l国内地址有300多条目（大于8IP的条目）l策略路由利用ip rule 实现服务器要永远走教育网出去用户的IP根据情况选择l科大有7种选择3Iptables的性能优化的性能优化l校内IP的状态避免针对每个IP增加iptables的条目，因为这样做iptables规则很多，性能非常低可以考虑使用ippool或后续的ipset，他们的优点都是利用单独的数据结构
2、存放一个IP的状态（属于一个pool或set，可以认为对应0和1）使用ippool或ipset后，一条iptables规则就可以起到原来iptables几千条规则的作用，避免了iptables顺序查找的低效率，执行速度能快几百倍http:/filter.org/4建议的做法建议的做法l建立类型为nethash的cernetfree ipsetl建立类型为ipmap的cernetip ipset，并缺省绑定cernetfreelCernetfree中加入免费地址列表l如果为出校IP，增加到cernetip既可以l如果为出国IP，增加到cernetip，并解除与cernetfree的缺省绑定5科大
3、的优化科大的优化l科大用的是自己写的，每个IP在内存中有1个字节用来存放IP的权限(0-255)l有一个数据结构用来存放网络的权限（0-255），目前仅仅存放教育网免费地址列表，权限都是50l增加了一个iptables规则处理：如果校内IP的权限=对方网络的权限，允许转发数据包6科大的优化（科大的优化（2）l/proc/iprightmap/netright50 58.17.0.0 255.255.0.050 58.19.0.0 255.255.0.0l/proc/iprightmap/202.38.64.0_255.255.224.050 202.38.66.8750 202.38.66.8
4、9100 202.38.66.9050 202.38.66.927Ip rule 系统优化系统优化l性能问题路由时，顺序查找路由规则表如果表的项目太多（现在有3000个用户在线，有3000条规则，平均一次要查1500项才会找到），效率不高因此需要优化，用其他方式替换顺序查找8使用使用ipset的优化的优化l建立若干个ipset,对应不同的路由方式l在mangle表中，对不同的ipset设置不同的fwmarklIp rule 根据fwmark进行路由选择9科大的优化策略科大的优化策略l由于决定使用哪个路由表的关键词是源地址，而校内的源地址有限（即使256个C也就是64KB个）l因此可以用一个或多
5、个数组来存放这些信息l数组的大小为校内IP的个数，内容为该IP使用哪个路由表10数据结构数据结构202.38.64.0255.255.224.0210.45.64.0255.255.240.0210.45.112.0 255.255.240.0100 101 102 100 .100 101 102 100 .100 101 102 100 .长度 256*32长度 256*16长度 256*16一个数组存放校内的IP段信息每段有个数组存放该段的策略信息修改路由时查找规则表的处理过程，利用以上结构来查11实际的控制实际的控制l为了方便，kernel和应用程序采用/proc文件系统通信，文件/p
6、roc/iprule/control为控制文件l写 A 202 38 64 0 255 255 224 0到control增加一段内部地址l增加地址后/proc/iprule下会增加2个文件202.38.64.0_255.255.224.0和B202.38.64.0_255.255.224.0读这两个文件可以得到某个IP的策略信息前面一个是ASCII的后面一个是binary的，偏移量0的字节就是202.38.64.0的策略12实际的控制实际的控制l写 C XXX 202 38 64 1到control修改策略，xxx为路由表l如lecho “C 101 202 38 64 51” contro
7、l l设定202.38.64.51使用路由表10113使用情况使用情况lP4 2.4G的CPUl进出通信达到850Mbps，每秒处理16万个数据包lCPU利用率接近100%14其他优化其他优化l更高性能可以通过以下途径获得多台负载分担l两台并行，可以提高一倍的性能结构调整l如用3角路由，从NAT设备进入校园网校园网的数据包直通(这部分不需要权限检查)l从校内发出到CERNET的数据包直接出去15网络通原理网络通原理教育网出口校内网络电信出口NATSwitch网通出口NAT202.38.64.5916优化后使用情况优化后使用情况l2台 Xeon 2.4G的CPUl单台 进出通信达到450Mbps每秒处理7万个数据包lCPU利用率接近70%17谢谢18
