- 论坛徽章:
- 0
|
出自http://shidongxue.blogdriver.com/shidongxue/699924.html
##################write by zjzf_1#######################
pf的synproxy 实现在nat 上
这可不是 个好的选择 低效呀 而且要改变网络拓扑
我粗略的看了看pf 发表点看法 不当之处希望高手指出
pf对每一个连接要用struct pf_state这个数据结构保存连接状态
pf通过调用RB_FIND RB_INSETR... ...完成对连接状态表的操作(openbsd/src/sys/tree.h)
这是一个树形结构好像叫什么red-black trees
我要说的是 我觉得 对防火墙这种 实时要求比较高的东西上 我觉得这种做法不是很妥当 我建议用hash 分段 来处理这个问题
以上两点 我个人认为 是pf synproxy 不怎么样的关键原因
我个人实在ethernet bridge上面实现的 效果还不错哈 已经有产品出了
###########加精后修改##################
我上面 只是借转载文章粗略的说了一下pf的synproxy 如果朋友们愿意 深入讨论这个问题
我们可以深入的讨论一下 顺便谢谢斑竹[/url] |
|