Port-Range Rule Management and Matching-Path Measurement for eBPF-Based Network Functions
تقترح هذه الورقة تحسيناً خفيف الوزن لوظيفة الشبكة ZFW القائمة على eBPF، حيث تعيد ترتيب قواعد نطاق المنافذ بناءً على حدودها الدنيا وتنفذ الإنهاء المبكر في مسار البيانات، مما يقلل بشكل كبير من خطوات الفحص وزمن الاستجابة مع تعزيز إمكانية التنبؤ بمعالجة القواعد.
البحث الأصلي مرخَّص بموجب CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). هذا شرح مولَّده بالذكاء الاصطناعي للبحث أدناه. لم يكتبه المؤلفون ولم يصادقوا عليه. وللتحقق من الدقة التقنية، يرجى الرجوع إلى البحث الأصلي. اقرأ إخلاء المسؤولية الكامل
في البنية التحتية الواسعة وغير المرئية التي تحمل حياتنا الرقمية، توجد طبقة من البرمجيات تعمل كحارس بوابة لشبكات الكمبيوتر. هذه البرمجيات، المعروفة باسم وظيفة الشبكة (network function)، تقرر أي حزم البيانات يُسمح لها بالمرور وأيها يجب إيقافه، تماماً مثل حارس أمن يتحقق من الهويات عند مدخل مبنى. لسنوات، عمل هؤلاء الحراس بناءً على قواعد ثابتة وجامدة. ومع ذلك، تطورت الأنظمة الحديثة لاستخدام تقنية مرنة تسمى eBPF، والتي تسمح ببرمجة عمليات التحقق الأمنية هذه ديناميكياً داخل قلب الكمبيوتر. يوفر هذا التحول قوة كبيرة، مما يسمح للمسؤولين بتحديث السياسات الأمنية فورياً دون إعادة تشغيل النظام. ومع ذلك، فإن هذه المرونة تفرض تحدياً خفياً: فكلما نمت قائمة القواعد، قد يصبح الوقت الذي يستغرقه البرنامج للعثور على القاعدة الصحيحة غير قابل للتنبؤ. إذا لم تكن القائمة منظمة جيداً، فقد يهدر النظام وقتاً في فحص عشرات القواعد غير ذات الصلة قبل الوصول إلى القاعدة المهمة، مما يؤدي إلى إبطاء الشبكة بأكملها.
لقد سعى باحث يدعى بو شي (Bo Xie) من معهد ووهان لهندسة الرقمية (Wuhan Digital Engineering Research Institute) لحل هذه المشكلة المحددة المتمثلة في عدم الكفاءة داخل أداة شبكية مفتوحة المصدر تسمى ZFW. كانت المشكلة الجوهرية التي تم تحديدها هي أن الأداة كانت تحتفظ بقائمة قواعد نطاق المنافذ (port-range rules) بنفس الترتيب الذي أُضيفت به، بدلاً من تنظيمها منطقياً. تخيل مكتبة حيث توضع الكتب على الرف حسب ترتيب وصولها إلى المبنى، بدلاً من ترتيبها أبجدياً حسب العنوان. إذا أراد زائر كتاباً تم تسليمه في آخر عملية توريد، فعليه أن يمر بكل كتاب آخر على الرف ليجده. في العالم الرقمي، كان هذا يعني أنه إذا تمت إضافة خدمة إنترنت شائعة إلى القائمة الأمنية في وقت متأخر، فإن كل حركة المرور الخاصة بتلك الخدمة كان عليها مسح كل قاعدة غير ذات صلة قبل الوصول إلى القاعدة الصحيحة. كما وجد الباحث أن النظام كان يفتقر إلى إشارة "توقف"؛ فحتى لو كان من المستح المستحيل رياضياً أن تطابق قاعدة لاحقة حركة المرور الحالية، فإن البرنامج سيستمر في الفحص على أي حال.
ولإصلاح ذلك، قدم الفريق تغييرين بسيطين ولكن فعالين لكيفية إدارة النظام لهذه القواعد والتحقق منها. أولاً، قاموا بتعديل جانب الإدارة بحيث يتم فرز أي قاعدة جديدة تلقائياً في موقعها الصحيح بناءً على رقم بدايتها، بدلاً من مجرد إضافتها إلى نهاية القائمة. ثياً، قاموا بتحديث آلية الفحص عالية السرعة داخل الكمبيوتر لتتوقف عن المسح بمجرد مواجهة قاعدة تبدأ برقم أعلى من حركة المرور التي تحاول مطابقتها. ولأن القائمة أصبحت الآن مرتبة، فإن النظام يعرف أنه إذا تجاوز نقطة معينة، فلا يمكن لأي قواعد مستقبلية أن تتطابق، مما يسمح له بإنهاء البحث فوراً. يعتمد هذا النهج على افتراض أن القواعد لا تتداخل بطريقة تسبب الارتباك، وهو شرط ضمنه الباحثون من خلال طبقة السياسات قبل تثبيت القواعد.
كانت نتائج اختبار هذه التغييرات مذهلة في وضوحها. في تجربة منضبطة كان على النظام فيها إدارة مائة قاعدة، تطلبت الطريقة الأصلية من البرنامج مسح ما معدله مائة مدخل للعثور على تطابق لمنفذ شائع. ومع طريقة الفرز والتوقف المبكر الجديدة، انخفض ذلك المعدل إلى مدخل واحد فقط. لقد قاس الباحثون ذلك من خلال عد الخطوات الدقيقة التي اتخذها البرنامج، وهو مقياس يعكس مباشرة الجهد المطلوب لمعالجة كل قطعة من البيانات. وفي السيناريوهات التي وُضعت فيها القاعدة المستهدفة في نهاية القائمة الأصلية، بلغ التحسن انخفاضاً بنسبة 99% في العمل الذي يتعين على الكمبيوتر القيام به. وحتى في الحالات التي لم تطابق فيها حركة المرور أي قاعدة على الإطلاق، كان بإمكان النظام الجديد غالباً التوقف بعد فحص المدخل الأول فقط إذا كان رقم حركة المرور أصغر من أصغر قاعدة في القائمة.
ومع ذلك، كشحت الدراسة عن تمييز مهم بين كفاءة البرنامج نفسه والسرعة الإجمالية لاتصال الشبكة. فعندما اختبر الباحثون النظام على خادم سحابي عام، حيث تنتقل حركة مرور الإنترنت عبر مسافات طويلة ومن خلال العديد من أجهزة الكمبيوتر الأخرى، لم تتحسن المدة الإجمالية التي يستغرقها الطلب لاكتماله إلا بنحو 2% فقط. حدث هذا المكسب الضئيل لأن الوقت المستغرق في انتظار انتقال البيانات عبر الإنترنت والوقت الذي يقضيه الكمبيوتر في إدارة مهامه الداخلية طغى على التوفير الضئيل الناتج عن سرعة فحص القواعد. في المقابل، عندما أُجريت الاختبارات في بيئة محلية محكومة بدقة حيث لم تضطر البيانات للسفر بعيداً، انخفض الوقت الإجمالي للطلب بنسبة تقارب 20%. أثبت هذا الاختلاف أن بينما جعل التحسين عملية فحص القواعد أكثر كفاءة بشكل هائل، فإن السرعة الإجمالية للاتصال لا تزال تتأثر بشدة بعوامل خارج نطاق البرنامج، مثل مسافة الشبكة وحمل النظام.
كما اختبر الباحثون النظام تحت ظروف مختلفة، بما في ذلك أنماط حركة المرور المختلطة حيث تطابق بعض الطلبات القواعد بينما لم تطابق أخرى، وقارنوا بين إصدارات مختلفة من البرنامج لعزل آثار الفرز مقابل التوقف المبكر. ووجدوا أن فرز القواعد كان المحرك الرئيسي للتحسن في حركة المرور الشائعة، بينما وفرت ميزة التوقف المبكر دفعة كبيرة لحركة المرور التي لا تطابق أي قواعد على الإطلاق. وخلصت الدراسة إلى أن هذا النهج خفيف الوزن يوفر طريقة موثوقة لجعل أمن الشبكة أكثر كفاءة وقابلية للتنبؤ دون الحاجة إلى إعادة هيكلة كاملة للنظام الحالي. لقد أظهرت الدراسة أنه بمجرد تنظيم قائمة القواعد ومنح البرنامج الإذن بالتوقف عن البحث عندما يعرف الإجابة، يمكن للمسؤولين ضمان أداء وظائف الشبكة باستمرار، حتى مع زيادة عدد القواعد الأمنية. ويقف هذا العمل كدليل عملي على أنه في الأنظمة الرقمية المعقدة، يمكن أن يكون ترتيب الأشياء بنفس أهمية القواعد نفسها.
غارق في أبحاث مجالك؟
تصلك نشرة يومية بأحدث الأبحاث المطابقة لكلماتك البحثية المفتاحية — مع ملخصات تقنية، بلغتك.