如何使用英特尔10 Gbe排除Linux路由器/防火墙转发性能？

真的很奇怪，你只能得到1 Gbps的路由性能（即使是严格的过滤通常意味着在同一个设备的内核空间中有2个拷贝，可能是路由的4倍） – 一年前有一个LKML的post，你可以得到120Gbps的路由性能在使用ixgbe设备的2.6.3X系列上。 我主要使用英特尔10GbE网卡，通常在交换基础设施上使用iperf获得1000MByte / s +。

首先，您需要检查系统在端点之间如何使用类似iperf的普通TCP进行检查。 这应该给你一个基线。 记住，如果你需要10Gbps的线速，很多东西都会起作用。 在Nehalem之前的平台上，这甚至是不可能实现的。 此外，系统负载应该与NUMA布局相匹配，并且必须将NIC连接到相同的PCI复合体（如果卡在<8 Gbps时，这一点很重要）。 ixgbe源代码发行版有一个IRQ固定脚本（这也禁用像省电和irqbalancer这只会搞砸高速caching，而不是拓扑感知）的东西，应该将RX-TX队列平均布置在所有核心（没有检查他们在一段时间）。

关于你的定时问题，你需要一个内核与分析支持和像oprofile一样的系统级别分析器。

在您启用数据包过滤或路由并发布之前，将您的端点解决scheme解决。

几个月前，我花了很多精力来优化用于线速千兆路由和大量小包的Linux。 这是为了负载均衡器（IPVS）而不是NAT防火墙。 这里有一些基于此的技巧。

• 升级Linux内核至less2.6.30（我们需要更新的Broadcom bnx2驱动程序）
• 使用ifconfig来查看接口的任何types的错误/滴/等
• 下载并编译最新的ethtool，确保它完全支持你的网卡驱动
• 使用ethtool来查找更详细的统计信息
• 使用ethool来调整合并，NAPI等设置以最大限度地减less中断
• 看看irqbalance以确保CPU核心之间的平衡
• 看看像ksoftirqd内核线程…他们使用了很多的CPU？
• 用rmmod卸载内核模块，完全禁用iptables。 特别是NAT和conntrack可能会产生巨大的负面影响，即使你已经清除了所有的规则并且有空的链。 这样做时，我看到了巨大的性能提升。 您提到这是一个防火墙，但我仍然会暂时卸载NAT和conntrack模块，看看它是否有任何区别。

我还没有看到每个内核networkingfunction花费的时间，例如交换vs路由vs防火墙vs什么。

Iptables实际上是Linux系统的高效防火墙。 它可以处理大量的stream量，而不会因为你写了一个好的规则而开始瓶颈。

你可以做的一件事是通过刷新所有规则来禁用iptables，并将默认的FORWARD策略设置为ACCEPT 。 这样你可以消除任何关于你的iptables实现的担心。 之后，您可以查看networking驱动程序，并尝试debugging问题，如果它仍然存在。

作为一个build议，小心，不要禁用iptables在公众可访问的机器上，除非你知道你在做什么。

单向灌注性能可能由TCP分段卸载和NIC上的其他设置引起。 在很多情况下可能会出现这种情况，例如虚拟机或VPNstream量通过物理网卡。 使用ethtool并检查性能很容易，所以值得尝试（确保在两个端点上禁用它进行testing）。

 /usr/sbin/ethtool -K eth0 tso off /usr/sbin/ethtool -K eth0 lro off 

这是一个更多的背景：

http://www.peerwisdom.org/2013/04/03/large-send-offload-and-network-performance/ https://social.technet.microsoft.com/Forums/windowsserver/en-US/bdc40358- -大送-被启用很慢，networking性能与英特尔网卡-时，TCP卸载-45c8-4c4b-883B-a695f382e01a /？论坛= winserverhyperv