cim vic jader CPU, tim pomalejsi

[Miroslav Lachman]

On 06/04/2021 21:41, David Pasek wrote:

> Chapu spravne, ze upgrade VirtualBoxu z 5.22 na 6.1 zlepsil Tvoje
> vysledky skoro 3x?

Ano, tak nejak se to zrychlilo ciste vymenou VirtualBox 5.22 za 6.1

>> ## A, FreeBSD 11.4 GENERIC + VBox 6.1.18
>> 1 vCPU: Usr: 0.000s  Krnl: 0.005s  Totl: 0:00.00s
>> 2 vCPU: Usr: 0.000s  Krnl: 0.296s  Totl: 0:00.29s
>> 4 vCPU: Usr: 0.000s  Krnl: 0.947s  Totl: 0:00.94s
>> 6 vCPU: Usr: 0.000s  Krnl: 1.902s  Totl: 0:01.90s
>> 8 vCPU: Usr: 0.000s  Krnl: 3.073s  Totl: 0:03.07s
> 
> Ale porad tam je ten paradox, ze tento workload (loading PF pravidel)
> trva ve VM-ku s 1x vCPU  0:00.00s a ve VM-ku s 8x vCPU to trva dele
> (0:03.07s).
> Chapu to spravne?

Presne tak, porad pridavanim vCPU zpomaluju ten proces nacteni dvou 
tisic IP adres ze souboru do tabulky v PF

> Umel bys mi ten test s PF nejak popsat a poslat mi ho take pouze na
> muj mail jako Danovi? PF take nepouzivam a 20+ let jsem zustal u IPFW

> Pustil bych to ve FreeBSD 12.1 na VM-kach (1,2,4,6,8 vCPU) na ESXi,
> abychom videli, jak se to v tomto pripade chova s vSMP
> naimplementovanem v ESXi hypervisoru na relativne starem hardwaru
> Intel(R) Xeon(R) CPU E5-2620 0 @ 2.00GHz nebo Intel(R) Xeon(R) CPU
> E5-2430 0 @ 2.20GHz

Nemam po ted po ruce uplne presne tu tabulku, se kterou jsem testoval, 
ale tady jsem nahodil aktualnejsi https://pastebin.com/u5LatsRA kde je 
2549 zaznamu, takze pokud bys z nejakeho duvodu chtel testovat bliz 
tomu, co jsem testoval ja, tak proste 300 zaznamu smaz :)

Nejaky minimalisticky priklad pf.conf by mohl vypadat asi takhle

ext_if="vmx0"
ext_addr_0="10.20.30.40"
table <goodguys> persist file "/etc/pf.goodguys.table"
table <czech_net> persist file "/etc/pf.czech_net.table"
set skip on lo0
pass in quick proto tcp from <goodguys> to any port 22
pass in log on $ext_if proto tcp from <czech_net> to $ext_addr_0 port 22 
flags S/SA keep state

V podstate potrebujes jen aby tam byla definovana ta tabulka 
<czech_net>, asi tam pro ni nemusi byt ani zadne pravidlo (myslim, ze 
pfctl pak zahlasi warning, ze se ta tabulka nikde nepouziva), ale pro 
test rychlosti nacitani tech IP adres by to melo stacit.

Pak uz staci jen
touch /tmp/empty
pfctl -t czech_net -T replace -f /tmp/empty
time pfctl -t czech_net -T replace -f /etc/pf.czech_net.table

Nebo prvni dva prikazy nahradit za pfctl -t czech_net -T flush

Jsem moc zvedav, jake vysledky dostanes ty.

Diky za tvuj i Danuv cas.

Mirek