iptables性能

zzappled

iptables规则多的话，明显影响了系统效率，有什么办法可以添加多条规则而对系统的影响不像iptables那么大

Godbach

iptables规则多的话，明显影响了系统效率，有什么办法可以添加多条规则而对系统的影响不像iptables那么大

你这句话表达的有问题啊。你用了 iptables 添加多条规则，又不希望对系统的影响像 iptables 那么大？

iptables 中有状态匹配，可以提高匹配的效率。

zzappled

如果有很多的ip，那么就要添加很多的规则，那么影响也很大的

chenyx

规则多了自然效率就低了.
能整合的就整合吧

Godbach

如果有很多的ip，那么就要添加很多的规则，那么影响也很大的
zzappled 发表于 2011-01-06 15:02

有一个情况你要了解，iptables 添加规则多，并不代表性能一定会降低。

看你怎么写规则了。性能降低的原因是，平均每个数据包被匹配的次数随着规则的增多而增多。这样条件下才会明显影响性能的。

zzappled

我看过有个文章说iptables对数据包的匹配是对同一个数据包匹配规则时，每条规则都对此数据包进行了解析，是这样吗,看到了一个很早的nf_hipac，不知到会怎么样

Godbach

我看过有个文章说iptables对数据包的匹配是对同一个数据包匹配规则时，每条规则都对此数据包进行了解析，是这样吗,

建议有时间也学习一下 iptables。虽然在规则多的时候，它的性能是会降低的。但是它还是一个比较流行的工具。
iptables 规则对数据包是顺序匹配，在同一条链上，一旦命中某一条规则，并且该规则指定了明确的 ACCEPT 或者 DROP 动作。那么，该数据包就需要匹配后面的规则了。

看到了一个很早的nf_hipac，不知到会怎么样

hipac 采用的不是顺序匹配，好像用了 B-Tree 之类的数据结构存储规则，匹配的效果是比较好一些。

zzappled

另一个和iptables有关的问题：
iptables工作在三层,如果想控制2层的数据包，比如pppoe，vlan的数据包，那么有什么好的方法

Godbach

另一个和iptables有关的问题：
iptables工作在三层,如果想控制2层的数据包，比如pppoe，vlan的数据包，那么 ...
zzappled 发表于 2011-01-06 15:53

内核态有个配置选项

Ethernet Bridge tables (ebtables) support

启用这个之后，可以对二层进行过滤

独孤九贱

合理使用ipset和链也是很重要的性能提升方法。