libpcap捕包效率极低!!!

seasoblue

测试环境:
================================
libpcap: 0.9.4
CPU: Celeron 2.0GHz
Mem: 256DDR
NIC: Intel 8139, 10/100M
================================
应用程序只是对libpcap传上来的包作简单计数。
测试结果如下：
包长为64字节，包数为5000,000个时，libpcap收包性能（不丢包）为：6Mbps.　
增加包长，效果要好些。
真是令人大跌眼镜！　不知道有没有作过类似测试的兄弟？

seasoblue

snort在不同的规则数量、规则长度以及数据包长的情况下，性能差异还是比较大的。并且它可能利用了libpcap中的BPF，可以在内核空间完成规则的查找。从而不需要内核到用户空间的转换。
目前想放弃libpcap，准备研究一下零拷贝技术。不知道有没有作过这方面研究的前辈？多多指教，先谢了。

seasoblue

谢谢大家的回复,零拷贝已经完成. 结果如下

.测试设备
===============
smartBits600
DELL Poweredge2650: Intel(R) Xeon(TM) CPU 2*2.8G, 4G Memory

,测试结果(不丢包)
===============
r8169网卡(PCI: 32bit X 64MHz)
----------------------------------------
64字节(包括4字节CRC,下同)达到500Mbps
128字节达到750Mbps,
256字节以上达到1000Mbps
随机包长达到700Mbps
-------------------------------------------------------------

Intel 82545GM网卡(PCI: 64bit X 64MHz)
---------------------------------------------------
64字节(包括4字节CRC,下同)达到750Mbps
96字节以上达到1000Mbps
随机包长达到1000Mbps
-------------------------------------------------------------
相对于非零拷贝, 有很大的提高! 呵呵

seasoblue

实际上没有想象的难
主要有这么几点:
1. 在内核中为Rx分配一片连续的内存, 再分割成一个个的小buffer挂到descriptor上(由于linux内核分配大的内存块有限制,所以可以分配几大块然后分别挂在descriptor上).
2. 把内存的物理地址传给用户空间的收包API.
3. 收包API通过mmap()把物理地址映射到用户空间(需要用到/dev/mem).
4. 把网卡的收包中断处理(Rx ISR)搬到用户空间.

另, 应该注意减少中断的频度, 这样可以大大降低系统开销.
所以要实现零拷贝,实际上只需要修改网卡驱动中内存的分配和中断处理.