Исходное сообщение
"Первый пригодный для пользователей релиз пакетного фильтра N..." Отправлено pavel_simple, 23-Янв-14 08:36
>>Плюс производительность - она должна быть серьезно выше, чем у iptables/xtables > Почему производительность у псевдокода виртуальной машины должна быть выше чем производительность > скомпилированного С-кода, исполняющегося непосредственно CPU ? если говорить про match модули -- то можно предположить что виртуальная машина проста как два пальца и накладных расходов минимум (ещё не смотрел) текущий вариант представляет таблицу вызовов и это накладывает какие-то ограничения (с ограничениями не встречался) к тому-же самое смешное что не так давно почти на все архитектуры был запилен bpf-jit и кроме того google-пограмисты подарили нам всем xt_bpf, который практически решил проблемы написания match модулей. modinfo xt_bpf filename:       /lib/modules/3.12-0.bpo.1-amd64/kernel/net/netfilter/xt_bpf.ko alias:          ip6t_bpf alias:          ipt_bpf license:        GPL description:    Xtables: BPF filter match author:         Willem de Bruijn <willemb@google.com> depends:        x_tables intree:         Y vermagic:       3.12-0.bpo.1-amd64 SMP mod_unload modversions другое дело что подобный подход не применим на target, и возможно какое-то подобие виртуальной машины было-бы востребовано, но опять=же возникает вопрос почему было не расширить тот-самый bpf-jit функциями позволяющими работать с памятью и sk_buff и менять содержимое.

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	>>>Плюс производительность - она должна быть серьезно выше, чем у iptables/xtables >> Почему производительность у псевдокода виртуальной машины должна быть выше чем производительность >> скомпилированного С-кода, исполняющегося непосредственно CPU ? > если говорить про match модули -- то можно предположить что > виртуальная машина проста как два пальца и накладных расходов минимум (ещё не > смотрел) > текущий вариант представляет таблицу вызовов и это накладывает какие-то ограничения (с > ограничениями не встречался) > к тому-же самое смешное что не так давно почти на все архитектуры > был запилен bpf-jit и кроме того google-пограмисты подарили нам всем xt_bpf, > который практически решил проблемы написания match модулей. > modinfo xt_bpf > filename: /lib/modules/3.12-0.bpo.1-amd64/kernel/net/netfilter/xt_bpf.ko > alias: ip6t_bpf > alias: ipt_bpf > license: GPL > description: Xtables: BPF filter match > author: Willem de Bruijn > <willemb@google.com> > depends: x_tables > intree: Y > vermagic: 3.12-0.bpo.1-amd64 SMP mod_unload modversions > другое дело что подобный подход не применим на target, и возможно какое-то > подобие виртуальной машины было-бы востребовано, но опять=же возникает вопрос почему было > не расширить тот-самый bpf-jit функциями позволяющими работать с памятью и sk_buff > и менять содержимое.
	Введите код, изображенный на картинке: