张焕杰 james@ustc.edu.cn Tel: 3601897(O) Linux作为校园网出口的优化 张焕杰 james@ustc.edu.cn Tel: 3601897(O)

Slides:



Advertisements
Similar presentations
定 格 入 格 破 格 —— 新诗仿写复习训练 仿照下列句子,再把 “ 人生 ” 比喻成 “ 大海 ”“ 天空 ” , 造两个句子。 如果说人生是一首优美的乐曲,那么痛苦则 是其中一个不可或缺的音符。 参考答案: 1 、如果说人生是一望无际的大海,那么挫折则 是其中一个骤然翻起的浪花。 2 、如果说人生是一片湛蓝的天空,那么失意则.
Advertisements

校园及周边治安防范 暨应急预案桌面演练 实 训 乐山应急管理学会 贾 伟. 目 录 校园治安问题包含的内容 校园治安问题的特点 避免引发校园治安问题的对策 校园应急预案桌面演练实训 校园治安问题的成因.
“ 我不能 上学了,我 每天还要帮 家里拾柴火 呢。 ” 给远方的小学生写一封信 书信的基本格式: 开头顶格写称呼,打上冒号; 换行空两格写问候语; 接下来换行空两格写正文部分; 正文结束后,换行写祝颂语; 最后在右下方写上寄信人姓名和 写信日期。
1 践行三严三实 深化作风建设 中共广东省委党校 刘朋 年 3 月 9 日,习近平总书记 在十二届全国人大二次会议安 徽代表团参加审议时,在关于 推进作风建设的讲话中,提到 “ 既严以修身、严以用权、严以 律己,又谋事要实、创业要实 、做人要实 ” 的重要论述,称为 “ 三严三实 ”
林雪卿 (厦门城市职业学院教育系) Tel : ; 与教师有关的法规: 1 、《中华人民共和国教师法》 2 、《教师资格条例》 3 、福建省实施《中华人民共和国教师法》办法 4 、厦门市实施《中华人民共和国教师法》若干规 定 5 、关于《中华人民共和国教师法》若干问题的实.
中醫藥就醫用藥 - 婦女篇 中醫藥安全衛生教育資源中心 中醫藥就醫用藥百分百、就是藥做到: 停、看、聽、選、用專業.
下背痛 林口長庚醫院內科 住院醫師 毛畯台. 下背痛常見原因 軟組織受傷/背部筋膜發炎 椎間盤突出症 脊椎退化性關節炎 壓迫性骨折 椎間盤滑脫 惡性腫瘤 泌尿道疾患 姿勢不良.
華德學校上午校 「協助小學中國語文科教師建立專業學習型社群」計劃 (2008) 總結分享會 二零零九年一月十日.
園藝二乙 1 號 丁楷儒 32 號 孫子恩. 1. 福山萵苣 ( 大陸妹 ) : 福山萵苣,萵苣家族成員之一,鮮甜脆綠又帶有萵苣類的 特殊苦味,用來代替生菜搭配烤肉也別具風味。極少病蟲 害,只需定時澆水施肥就能健康長大,是相當容易種植又 能有大收穫的蔬菜 。 感想: 雖然大陸妹好吃又好種,但種了太多而吃不完.
NAT与ICMP交互.
當我已老 謹以此文獻給像我一樣流浪在外的子女們.
第五单元 口语交际和作文.
第八章 負債 8-1 負債之意義及內容 8-2 流動負債 8-3 長期負債 8-4 其他負債.
工业财务状况表 财务部分培训 (2010年年报).
2015年12月14日-2015年12月20日 缩略版.
指導老師:羅夏美 組別:第四組 組員: 車輛二甲 蔡中銘 車輛三甲 莊鵬彥 國企二甲 陳于甄 國企二甲 詹雯晴 資傳二乙 林怡芳
定海区渔农村集体资产 股份合作制改革工作 档案管理培训班
中国职工保险互助会北京办事处 业务管理系统
LSF系统介绍 张焕杰 中国科学技术大学网络信息中心
北京市工作居住证办理讲解.
第十二章 就业常用文书 概 述 在日本,学生从“就活”(しゅうかつ)找工作,到参加公司的“入社式”(にゅうしゃしき),要经过一个漫长的过程。这期间要进行许多有关的活动,这些活动都避免不了要书写各种文书材料。 本章大致按先后的顺序,就学生就业常用文书加以分析介绍。
祝贺您获得国家留学基金资助 请您登陆“国家留学网”查看《出国留学人员须知》,您在出国前及在外学习期间所需要办理的手续及具体流程,以及可能遇到的政策上疑问均在此《须知》上有所列明。
龙芯多媒体电脑教室培训 龙梦极域电子教室 江苏龙芯梦兰科技股份有限公司.
实际问题与一元二次方程(一).
审题与立意 夏邑高中高四语文组.
述职报告 ( 二○○七年度 ) 述职人: xxx 部 门: 计划财务部 岗 位: 部门经理.
转正述职报告 电商文案策划 XXX.
护患沟通技巧 护理部 马红云.
一、會計循環之意義 二、會計憑證概要 三、日記簿概要 四、分類帳概要
“网络问政”给九江新闻网 带来新的发展机遇 -- 九江新闻网 高立东 --.
淄博信息工程学校 ZIBOIT&ENGINEERING VOCATONAL SHCOOL 03 交换机干道技术 计算机网络技术专业.
思想道德修养与法律基础 主讲人:XXX.
特种设备安全法简介 中原油田分公司 杜习广 2015年4月 视频.
马街乡综治维稳工作情况汇报 汇报人:xxx.
第三課 宗教(倫理)的獨特向度 單元 3.2 全球倫理:兩項原則和四項座右銘
通病文章 休 闲   今天天气真好,晴空万里,天上飘着朵朵白云。(偶可从没见过这样的情景^_^)我和同学小刚一起骑车去上学,突然他的车气门芯坏了,我就把我车上的拔下来给他装上,我俩继续一起高高兴兴地骑车往学校赶。(原来“我”的自行车可以不用气门芯啊^_^)   我们经过一家百货商店时,我不禁感慨道:啊!看来人民生活水平的确提高了,你看那位农民老大爷,左手一台电冰箱,右手一台电视机,一溜小跑回家去了。(比周星弛在《功夫》里还要厉害?!)都说一心不能二用,当我注视老大爷的时候,冷不丁岔道里冲出来一位老太太,说
科學與科技課程 教師分享會 二OO四年五月七日.
应如何深化普通高中学生综合素质评价 北京教科院基础教育研究所 赵学勤 2010、12、14-15.
追问课堂,寻求效益 —有效教学的几点思考 牟平区实验小学 战丽娜.
项目四 组建跨地区网络 授课教师:肖颖.
电商2班 第五组. 电商2班 第五组 小组成员: 组长:汤昀 成员:杨阳、陆萍、邹斯斯、吴晓庆、吴盈盈.
社会工作概论 个案工作 课程培训 深圳电大 赖小乐.
陈 汉 文 厦门大学会计系 主任 经济学教授 博士生导师
我真的很不想活,日子過得太沒有意思了。. 我真的很不想活,日子過得太沒有意思了。 聽起來,你現在的日子真難熬,你 願意說說看為什麼嗎?
前言.
让道德之花越开越鲜艳 主讲 xxx.
老员工心态管理.
平昌县泥龙初中校本培训 中小学微型课题研究
C++中的声音处理 在传统Turbo C环境中,如果想用C语言控制电脑发声,可以用Sound函数。在VC6.6环境中如果想控制电脑发声则采用Beep函数。原型为: Beep(频率,持续时间) , 单位毫秒 暂停程序执行使用Sleep函数 Sleep(持续时间), 单位毫秒 引用这两个函数时,必须包含头文件
二、感谢信的种类 根据寄送对象不同,感谢信可以分为三种: 1、直接寄送给感谢对象; 2、寄送对方所在单位有关部门或在其单位公开张贴; 3、寄送给广播电台、电视台、报社、杂志社等媒体公开播发。
在PHP和MYSQL中实现完美的中文显示
热烈祝贺医院开业.
產品責任險的意義 想一想,什麼是「產品責任險」? Q
Kvm异步缺页中断 浙江大学计算机体系结构实验室 徐浩.
LSF系统介绍 张焕杰 中国科学技术大学网络信息中心
存储系统.
大学计算机基础 典型案例之一 构建FPT服务器.
辅导课程六.
第9章 维护Linux网络 Linux的强大功能体现在网络上,网络用户无论是将Linux作为客户机还是服务器来使用都需要对其网络进行管理和维护,在管理和维护网络时,尤其在网络通信时更侧重于对信息安全性的考虑。 本章从网络的基础知识出发,详细介绍Linux下防火墙的功能与作用、路由器的原理以及SSH协议和相关的软件。通过本章的学习,使读者熟悉Linux下网络的相关知识,具备掌握管理和维护Linux网络的基本技能。
Windows网络操作系统管理 ——Windows Server 2008 R2.
计算机网络技术及应用 制作:重庆大学 郭松涛.
古诗鉴赏.
C语言程序设计 主讲教师:陆幼利.
学习目标 1、什么是字符集 2、字符集四个级别 3、如何选择字符集.
本节内容 随机读取 视频提供:昆山爱达人信息技术有限公司.
实验四、TinyOS执行机制实验 一、实验目的 1、了解tinyos执行机制,实现程序异步处理的方法。
目次检索 打印 下载 文字摘录 更换背景 多窗口阅读.
数据报分片.
基于列存储的RDF数据管理 朱敏
實習學生:陳姵儒 指導教授:潘明全 實習單位:戴正彥升大學中心
Presentation transcript:

张焕杰 james@ustc.edu.cn Tel: 3601897(O) Linux作为校园网出口的优化 张焕杰 james@ustc.edu.cn Tel: 3601897(O)

计算机网络安全基础 2019年2月23日 主要内容 功能要求 系统优化 计算机网络安全基础

功能要求 区分国内国外地址 策略路由 利用netfilter/iptables实现 校内IP分3种权限:校内、国内、国际 利用ip rule 实现 服务器要永远走教育网出去 用户的IP根据情况选择 科大有7种选择

Iptables的性能优化 校内IP的状态 避免针对每个IP增加iptables的条目,因为这样做iptables规则很多,性能非常低 可以考虑使用ippool或后续的ipset,他们的优点都是利用单独的数据结构存放一个IP的状态(属于一个pool或set,可以认为对应0和1) 使用ippool或ipset后,一条iptables规则就可以起到原来iptables几千条规则的作用,避免了iptables顺序查找的低效率,执行速度能快几百倍 http://ipset.netfilter.org/

建议的做法 建立类型为nethash的cernetfree ipset 建立类型为ipmap的cernetip ipset,并缺省绑定cernetfree Cernetfree中加入免费地址列表 如果为出校IP,增加到cernetip既可以 如果为出国IP,增加到cernetip,并解除与cernetfree的缺省绑定

科大的优化 科大用的是自己写的,每个IP在内存中有1个字节用来存放IP的权限(0-255) 有一个数据结构用来存放网络的权限(0-255),目前仅仅存放教育网免费地址列表,权限都是50 增加了一个iptables规则处理: 如果校内IP的权限>=对方网络的权限,允许转发数据包

科大的优化(2) /proc/iprightmap/netright 50 58.17.0.0 255.255.0.0 50 58.19.0.0 255.255.0.0 /proc/iprightmap/202.38.64.0_255.255.224.0 50 202.38.66.87 50 202.38.66.89 100 202.38.66.90 50 202.38.66.92

Ip rule 系统优化 性能问题 路由时,顺序查找路由规则表 如果表的项目太多(现在有3000个用户在线,有3000条规则,平均一次要查1500项才会找到),效率不高 因此需要优化,用其他方式替换顺序查找

使用ipset的优化 建立若干个ipset,对应不同的路由方式 在mangle表中,对不同的ipset设置不同的fwmark Ip rule 根据fwmark进行路由选择

科大的优化策略 由于决定使用哪个路由表的关键词是源地址,而校内的源地址有限(即使256个C也就是64KB个) 因此可以用一个或多个数组来存放这些信息 数组的大小为校内IP的个数,内容为该IP使用哪个路由表

数据结构 长度 256*32 100 101 102 …. 202.38.64.0 255.255.224.0 210.45.64.0 255.255.240.0 210.45.112.0 长度 256*16 100 101 102 …. 长度 256*16 100 101 102 …. 一个数组存放校内的IP段信息 每段有个数组存放该段的策略信息 修改路由时查找规则表的处理过程,利用以上结构来查

实际的控制 为了方便,kernel和应用程序采用/proc文件系统通信,文件/proc/iprule/control为控制文件 写 A 202 38 64 0 255 255 224 0到control增加一段内部地址 增加地址后/proc/iprule下会增加2个文件 202.38.64.0_255.255.224.0和 B202.38.64.0_255.255.224.0 读这两个文件可以得到某个IP的策略信息 前面一个是ASCII的 后面一个是binary的,偏移量0的字节就是202.38.64.0的策略

实际的控制 写 C XXX 202 38 64 1到control修改策略,xxx为路由表 如 echo “C 101 202 38 64 51” > control 设定202.38.64.51使用路由表101

使用情况 P4 2.4G的CPU 进出通信达到850Mbps,每秒处理16万个数据包 CPU利用率接近100%

其他优化 更高性能可以通过以下途径获得 多台负载分担 结构调整 两台并行,可以提高一倍的性能 如用3角路由,从NAT设备进入校园网校园网的数据包直通(这部分不需要权限检查) 从校内发出到CERNET的数据包直接出去

网络通原理 教育网出口 电信出口NAT 202.38.64.59 Switch 网通出口NAT 校内网络

优化后使用情况 2台 Xeon 2.4G的CPU 单台 进出通信达到450Mbps 每秒处理7万个数据包 CPU利用率接近70%

谢谢