Làm cách nào để tăng tốc Firewalld hay nên bỏ nó cho nftables?

Chúng tôi gặp sự cố khi thiết lập một máy chủ chạy một dịch vụ và nó có khả năng thực hiện hàng trăm kết nối đồng thời trên cổng 3535 (được chỉ định tùy ý cho ứng dụng này). Chúng tôi có tường lửa chạy trên máy chủ gần cuối này cho phép kết nối từ máy chủ đầu xa và tất cả đều hoạt động tốt. Vấn đề mà chúng tôi gặp phải là máy chủ đầu cuối chỉ có thể thiết lập một vài kết nối tại một thời điểm và phải mất tối đa 30 giây để có được những kết nối đó. Hầu hết chúng tôi đã thấy trên máy chủ nhận gần cuối trung bình là khoảng 35 kết nối. Chúng tôi đã tắt tường lửa và ngay lập tức có tới 850 kết nối và thiết bị đầu cuối báo cáo không có sự cố cũng như độ trễ khi kết nối và chạy hoàn hảo trong 15 phút (cho đến khi chúng tôi bật lại tường lửa).

Chúng tôi có một bộ quy tắc rất đơn giản và không thực hiện bất kỳ loại điều chỉnh nào. Có chức năng điều chỉnh mặc định nào trong tường lửa mà tôi cần phải tắt hay tôi nên truy cập nftables và nếu có thì nó sẽ thực sự hoạt động tốt hơn hay tôi đang đuổi theo một con ma? ISP của tôi hiện không sử dụng VMWARE nên không có giải pháp bên ngoài nào khả dụng.

Cảm ơn trước. David

người duy trì tường lửa ở đây.

Firewalld hiện không hỗ trợ tăng tốc (đường dẫn nhanh phần mềm hoặc giảm tải phần cứng). Tuy nhiên, tôi nghĩ rằng cả hai có thể được thêm vào bằng cách sử dụng nftables dòng chảy cơ sở hạ tầng. Tuy nhiên, chỉ có một số NIC hỗ trợ giảm tải lưu lượng.

Điều đó đang được nói, những gì bạn đang mô tả âm thanh sai. Đó là hiệu suất khủng khiếp. Firewalld không thực sự làm tường lửa. Nó xây dựng các bộ quy tắc iptables/nftables và áp dụng chúng. Việc thực thi quy tắc iptables/nftables diễn ra trong kernel/netfilter.

Bạn có thể xem xét việc tắt một số tính năng tường lửa tùy chọn. IPv6_rpfilter được biết là có vấn đề về hiệu suất trong môi trường được mở rộng vì nó yêu cầu tra cứu FIB. Ngoài ra, hãy xem xét những thứ khác có thể gây ra cập nhật quy tắc thường xuyên hoặc thêm một số lượng lớn quy tắc, ví dụ: fail2ban.

Sau nhiều nghiên cứu, có vẻ như nftables không phải là "vị cứu tinh" ở đây. Nó không hoạt động tốt hơn trong tình huống này so với iptables và do đó không hữu ích.

Vấn đề hiệu suất tổng thể dường như là một hạn chế của tường lửa phần mềm tường lửa và phải được giải quyết bằng tường lửa bên ngoài, v.v. Những vấn đề khác cũng gặp vấn đề tương tự và vấn đề vẫn chưa được giải quyết: https://forums.centos.org/viewtopic.php?t=58673

Bạn có thể thử sao chép các quy tắc iptables/nftables do tường lửa tạo ra, tắt tường lửa rồi dán lại các quy tắc iptables/nftables để bạn có thể xác nhận hoặc xác nhận tường lửa có một số tham số giới hạn khác.

Nếu nó vẫn bị giới hạn, thì đó là quy tắc được tạo và bạn có thể thử tối ưu hóa quy tắc hoặc xây dựng từ đầu với iptables/nftables.

Nếu không, thì đó có thể là giới hạn tường lửa hoặc nhiều khả năng là lỗi tường lửa.