多核cpu下基于pf_ring和設(shè)備輪詢機(jī)制的高性能包捕獲技-wenkub
2023-01-27 11:19:37 本頁(yè)面
【正文】 閉捕獲句柄 ,一個(gè)簡(jiǎn)單技巧是在程序初始化時(shí)增加信號(hào)處理函數(shù)， 以便在程序退出前執(zhí)行本條代碼 */ pcap_close(p)； 10 美亞柏科 股票代碼： 300188 Libpcap抓包性能分析 11 美亞柏科 股票代碼： 300188 Libpcap抓包性能分析 ? 高速?gòu)?fù)雜網(wǎng)絡(luò)環(huán)境下 libpcap丟包的原因主要有以下兩個(gè)方面： 1） Cpu處于頻繁中斷狀態(tài)，造成接收數(shù)據(jù)包效率低下。 9 美亞柏科 股票代碼： 300188 Libpcap工作機(jī)制 ? 程序框架 /* 第一步：查找可以捕獲數(shù)據(jù)包的設(shè)備 */ device = pcap_lookupdev(errbuf)； /* 第二步：創(chuàng)建捕獲句柄，準(zhǔn)備進(jìn)行捕獲 */ p = pcap_open_live(device, 8000, 1, 500, errbuf)； /* 第三步：如果用戶設(shè)置了過(guò)濾條件，則編譯和安裝過(guò)濾代碼 */ pcap_pile(p, fcode, filter_string, 0, mask)； pcap_setfilter(p, fcode)； /* 第四步：進(jìn)入（死）循環(huán)，反復(fù)捕獲數(shù)據(jù)包 */ for( 。 8 美亞柏科 股票代碼： 300188 Libpcap工作機(jī)制 ? Libpcap捕包流程 libpcap的包捕獲機(jī)制就是在數(shù)據(jù)鏈路層加一個(gè)旁路處理 。 3） 具有基于 BPF的數(shù)據(jù)包過(guò)濾特性。 4 美亞柏科 股票代碼： 300188 3 理論知識(shí) ? Libpcap簡(jiǎn)介 1)Libpcap簡(jiǎn)介 2)Libpcap工作機(jī)制 3)Libpcap抓包性能分析 ? NAPI技術(shù)簡(jiǎn)介 1)NAPI技術(shù)簡(jiǎn)介 2)NAPI工作機(jī)制 3)NAPI的性能分析 5 美亞柏科 股票代碼： 300188 Libpcap簡(jiǎn)介 Libpcap簡(jiǎn)介 Libpcap是 Unix/Linux 平臺(tái)下的網(wǎng)絡(luò)數(shù)據(jù)包捕獲的函數(shù)庫(kù)。 3 美亞柏科 股票代碼： 300188 2 技術(shù)背景 被動(dòng)數(shù)據(jù)捕獲技術(shù)在網(wǎng)絡(luò)安全領(lǐng)域有著極其豐富的應(yīng)用。承諾安全 承諾非凡 多核 CPU下基于 PF_RING和設(shè)備輪詢機(jī)制的高性能包捕獲技術(shù)研究 中心：北京分公司 部門：研發(fā)部 姓名：齊戰(zhàn)勝 1 美亞柏科 股票代碼： 300188 內(nèi)容提要 ? 自我介紹 ? 技術(shù)背景 ? 理論知識(shí) ? 解決方案 ? 參考資料 2 美亞柏科 股票代碼： 300188 1 自我介紹 ? 齊戰(zhàn)勝，研發(fā)部，北京分公司，軟件研發(fā)工程師 ? 主要做協(xié)議分析、還原。 如 IDS(入侵檢測(cè)系統(tǒng)）、防火墻以及一些部署在網(wǎng)絡(luò)出口的互聯(lián)網(wǎng)內(nèi)容分析系統(tǒng)等。它是一個(gè)獨(dú)立于系統(tǒng)的用戶層包捕獲 API 接口， 為底層網(wǎng)絡(luò)監(jiān)聽(tīng)提供了一個(gè)可移植的框架。 完善了系統(tǒng)的數(shù)據(jù)包過(guò)濾體系。 當(dāng)一個(gè)數(shù)據(jù)包到達(dá)網(wǎng)絡(luò)接口時(shí) ， libpcap首先利用已經(jīng)創(chuàng)建的 Socket從鏈路層驅(qū)動(dòng)程序中獲得該數(shù)據(jù)包的拷貝 ， 再通過(guò) Tap函數(shù)將數(shù)據(jù)包發(fā)給 BPF過(guò)濾器 。 。 我們可以假想一個(gè)場(chǎng)景，我們使用標(biāo)準(zhǔn)的 100M 網(wǎng)卡，可能實(shí)際達(dá)到的接收速率為 80MBits/s，而此時(shí)數(shù)據(jù)包最大長(zhǎng)度為 1500Bytes，則每秒產(chǎn)生的中斷數(shù)目為： 80M bits/s / (8 Bits/Byte * 1500 Byte) = 6667 個(gè)中斷 /s。從網(wǎng)卡驅(qū)動(dòng)到內(nèi)核，再?gòu)膬?nèi)核到用戶空間。 ( 2) 系統(tǒng)進(jìn)行如下操作： 關(guān)閉網(wǎng)卡中斷（只是屏蔽了中斷信號(hào)，網(wǎng)卡仍然可以接收數(shù)據(jù)包到緩沖隊(duì)列） 。 2）在發(fā)送 /接收數(shù)據(jù)包產(chǎn)生中斷的時(shí)候有能力關(guān)斷 NIC 中斷的事件處理，并且在關(guān)斷 NIC 以后，并不影響數(shù)據(jù)包接收到網(wǎng)絡(luò)設(shè)備的環(huán)形緩沖區(qū)（以下簡(jiǎn)稱 rxring）處理隊(duì)列中。 18 美亞柏科 股票代碼： 300188 4 解決方案 ? PF_RING解決方案 ? PF_RING的 TNAPI的改進(jìn)方案 ? PF_RING的 DNA的改進(jìn)方案 ? PF_RING的安裝使用 19 美亞柏科 股票代碼： 300188 PF_RING解決方案 PF_RING簡(jiǎn)介 PF_RING是 Luca研究出來(lái)的基于 Linux內(nèi)核級(jí)的高效數(shù)據(jù)包捕獲技術(shù)。 也就是說(shuō)是從網(wǎng)卡到內(nèi)核， 再?gòu)膬?nèi)核到用戶空間， 這兩個(gè)步驟， 花去了大量 CPU時(shí)間， 而沒(méi)有其他時(shí)間用來(lái)進(jìn)行數(shù)據(jù)包的進(jìn)一步處理。 2) 可以把收到的數(shù)據(jù)包分發(fā)到多個(gè)環(huán)形緩沖區(qū)，供多線程應(yīng)用程序讀取。 24 美亞柏科 股票代碼： 300188 PF_RING工作模式 ? PF_RING有 3中工作模式： pf_ring有三種透明模式（ transparent_m
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1