Pocitani dat.

[Dan Lukes]

Dan Lukes wrote, On 02/13/03 14:53:
>     Mimochodem, asi jsem mel zminit parametry dotceneho stroje. Je to 
> jednoprocesorova 2GHz P4 s jednou Intel 1000BaseTX kartou (ano, je to 
> router s jednou kartou - mala napoveda zni 'vlan').
> 
>     Zatim jsem vyzkousel jen navrh Vaska Petricka (tedy nahradit ve 
> firewallu kazde allow prislusnym tee) - zlakalo me to ze dvou duvodu - 

>     Jinak - odpovedi prislo vyznamne vic nez jsem ocekaval, takze mi 
> nejakou dobu bude trvat nez si je zanalyzuju - pak bych se ozval s 
> pripadnymi dotazy a az nektere reseni implementuji tak i pripadne 
> poznatky z praktickeho provozu.

	Takze, abych poskytl take nejake vystupy (pokdu vas zajimaji). Prohledl 
jsem si vsechna navrhovana reseni. Non-FreeBSD reseni jsem vyradil z 
duvodu, ktere jsem jiz zminoval. V teto chvili pouzival 'tee' do vlastni 
aplikace, ktera data pocita a predava do MySQL (zdrojovy kod je pro 
pripadne zajemce, k dispozici) - zejmena proto, ze tu aplikaci jsem uz 
mel hotovou (jen je potreba pri nastavovani firewallu potreba pamatovat, 
ze (skoro) kazdy paket prochazi firewallem DVAKRAT).

	Zatizeni routeru vzrostlo priblizne na dvojnasobek oproti stavu "bez 
pocitani". Pravdepodobne se mirne zvedla i latence pri routovani, ale 
presna mereni jsem neprovadel a zvyseni neni nijak zretelne.

	Jelikoz nikdo patrne nema srovnani jednotlivych navrhovanych metod bylo 
nutne narocnost pouze odhadnout.

	'count' ipfw je ozkouseno, ze ma pomerne velky overhead. U ipf odhaduji 
velmi podobny nebo dokonce vyssi (protoze prochazeni ipfw konci na prvni 
ruli, ktera se uplatni, kdezto ipf prochazi strom cely a pouzije 
posledni akci).

	Pouziti bpf by patrne melo obdobny overhead jako 'tee', protoze i v 
tomto pripade dochazi k vytvoreni kopie paketu a jejiho predani to 
userlevel pameti.

	Za potencialne perspektivni reseni, mozna lepsi nez 'tee' povazuji 
netgrapf, ktery neprovadi kopii ani nekopiruje data 'ven' z kernelu, 
zatim toho ale o celem netgraph systemu vim prilsi malo abych a) takovou 
statistiku napsal, b) odhadnul jaky vykonostni dopad ma samotne pouziti 
tohoto systemu (zatim jej k nicemu nepouzivame).


	Kazdopadne, diky vsem za napady.

								Dan


	

-- 
Dan Lukes     tel: +420 2 21914205, fax: +420 2 21914206
root of  FIONet, KolejNET,  webmaster  of www.freebsd.cz
AKA: dan at obluda.cz, dan at freebsd.cz,dan at kolej.mff.cuni.cz