Port-Range Rule Management and Matching-Path Measurement for eBPF-Based Network Functions
Dieses Paper schlägt eine leichtgewichtige Optimierung für die eBPF-basierte Netzwerkfunktion ZFW vor, welche Portbereichsregeln nach ihren unteren Schranken neu ordnet und ein Early Termination im Datenpfad implementiert, wodurch die Scan-Schritte und die Latenz signifikant reduziert werden, während gleichzeitig die Vorhersehbarkeit der Regelverarbeitung verbessert wird.
Originalarbeit lizenziert unter CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Dies ist eine KI-generierte Erklärung des untenstehenden Papers. Sie wurde nicht von den Autoren verfasst oder gebilligt. Für technische Genauigkeit konsultieren Sie das Originalpaper. Vollständigen Haftungsausschluss lesen
In der riesigen, unsichtbaren Infrastruktur, die unsere digitalen Leben trägt, existiert eine Softwareebene, die als Torwächter für Computernetzwerke fungiert. Diese Software, bekannt als Netzwerkfunktion, entscheidet, welche Datenpakete passieren dürfen und welche gestoppt werden müssen, ganz ähnlich wie ein Sicherheitswachmann, der Ausweise am Eingang eines Gebäudes überprüft. Jahrelang arbeiteten diese Wächter nach festen, starren Regeln. Moderne Systeme haben sich jedoch weiterentwickelt und nutzen eine flexible Technologie namens eBPF, die es ermöglicht, diese Sicherheitsprüfungen dynamisch im Kern des Computers zu programmieren. Dieser Wandel bietet große Macht, da er Administratoren in die Lage versetzt, Sicherheitsrichtlinien sofort zu aktualisieren, ohne das System neu starten zu müssen. Doch diese Flexibilität bringt eine verborgene Herausforderung mit sich: Wenn die Liste der Regeln wächst, kann die Zeit, die die Software benötigt, um die richtige Regel zu finden, unvorhersehbar werden. Wenn die Liste nicht gut organisiert ist, verschwendet das System möglicherweise Zeit damit, Dutzende irrelevanter Regeln zu prüfen, bevor es diejenige findet, die relevant ist, was das gesamte Netzwerk verlangsamt.
Ein Forscher namens Bo Xie vom Wuhan Digital Engineering Research Institute setzte sich zum Ziel, genau dieses Problem der Ineffizienz innerhalb eines Open-Source-Netzwerktools namens ZFW zu lösen. Das identifizierte Kernproblem bestand darin, dass das Tool seine Liste von Portbereichsregeln in der exakten Reihenfolge ihrer Hinzufügung speicherte, anstatt sie logisch zu organisieren. Stellen Sie sich eine Bibliothek vor, in der Bücher in der Reihenfolge ins Regal gestellt werden, in der sie in das Gebäude geliefert wurden, anstatt alphabetisch nach Titel sortiert zu sein. Wenn ein Besucher ein Buch möchte, das zuletzt geliefert wurde, muss er an jedem einzelnen anderen Buch im Regal vorbeigehen, um es zu finden. In der digitalen Welt bedeutete dies: Wenn ein populärer Internetdienst spät zur Sicherheitsliste hinzugefügt wurde, musste der gesamte Datenverkehr für diesen Dienst jede einzelne nicht verwandte Regel scannen, bevor er die korrekte erreichte. Der Forscher stellte zudem fest, dass dem System ein „Stopp“-Signal fehlte; selbst wenn es mathematisch unmöglich war, dass eine spätere Regel mit dem aktuellen Datenverkehr übereinstimmte, prüfte die Software trotzdem weiter.
Um dies zu beheben, führte das Team zwei einfache, aber effektive Änderungen in der Art und Weise ein, wie das System diese Regeln verwaltet und prüft. Erstens modifizierten sie die Management-Seite so, dass das System beim Hinzufügen einer neuen Regel diese automatisch basierend auf ihrer Startnummer an die korrekte Position sortiert, anstatt sie einfach nur an das Ende der Liste anzuhängen. Zweitens aktualisierten sie den Hochgeschwindigkeits-Prüfmechanismus innerhalb des Computers, sodass dieser das Scannen sofort stoppt, sobald er auf eine Regel stößt, die mit einer höheren Nummer beginnt als der zu prüfende Datenverkehr. Da die Liste nun sortiert ist, weiß das System, dass es, wenn es einen bestimmten Punkt überschritten hat, keine zukünftigen Regeln mehr finden kann, die passen könnten, was es ihm ermöglicht, die Suche sofort abzubrechen. Dieser Ansatz beruht auf der Annahme, dass sich die Regeln nicht auf eine Weise überschneiden, die Verwirrung stiftet – eine Bedingung, die die Forscher sicherstellten, indem sie die Policy-Ebene prüften, bevor die Regeln installiert wurden.
Die Ergebnisse der Tests dieser Änderungen waren in ihrer Klarheit beeindruckend. In einem kontrollierten Experiment, bei dem das System einhundert Regeln verwalten musste, erforderte die ursprüngliche Methode, dass die Software im Durchschnitt einhundert Einträge scannte, um eine Übereinstimmung für einen populären Port zu finden. Mit der neuen Sortierungs- und Early-Stopping-Methode sank dieser Durchschnitt auf nur noch einen einzigen Eintrag. Die Forscher maßen dies durch das Zählen der exakten Schritte, die die Software unternahm, eine Metrik, die direkt den Aufwand widerspiegelt, der für die Verarbeitung jedes Datenstücks erforderlich ist. In Szenarien, in denen die Zielregel am Ende der ursprünglichen Liste platziert war, betrug die Verbesserung eine Reduktion der Arbeit, die der Computer leisten musste, um neunundneunzig Prozent. Selbst in Fällen, in denen der Datenverkehr mit keiner Regel übereinstimmte, konnte das neue System oft schon nach der Prüfung des ersten Eintrags stoppen, wenn die Nummer des Datenverkehrs kleiner als die kleinste Regel auf der Liste war.
Die Studie enthüllte jedoch auch eine wichtige Unterscheidung zwischen der Effizienz der Software selbst und der Gesamtgeschwindigkeit der Netzwerkverbindung. Als die Forscher das System auf einem Public-Cloud-Server testeten, über den Internetverkehr über lange Distanzen und durch viele andere Computer reist, verbesserte sich die Gesamtzeit, die eine Anfrage benötigte, um abzuschließen, nur um etwa zwei Prozent. Dieser geringe Gewinn trat auf, weil die Zeit, die mit dem Warten auf den Datentransport über das Internet und der Zeit, die der Computer mit der Verwaltung seiner eigenen internen Aufgaben verbrachte, die winzigen Einsparungen durch die schnellere Regelprüfung überlagerte. Im Gegensatz dazu sank die Gesamtzeit für eine Anfrage in einem eng kontrollierten lokalen Umfeld, in dem die Daten nicht weit reisen mussten, um fast zwanzig Prozent. Dieser Unterschied bewies, dass die Optimierung zwar den Regelprüfungsprozess wesentlich effizienter machte, die Gesamtgeschwindigkeit einer Verbindung jedoch immer noch stark von Faktoren außerhalb der Software beeinflusst wird, wie etwa der Netzwerkdistanz und der Systemlast.
Die Forscher testeten das System auch unter verschiedenen Bedingungen, einschließlich gemischter Verkehrsmuster, bei denen einige Anfragen Regeln entsprachen und andere nicht, und sie verglichen verschiedene Versionen der Software, um die Effekte von Sortierung gegenüber dem frühen Abbruch (Early Stopping) zu isolieren. Sie fanden heraus, dass die Sortierung der Regeln der primäre Treiber für die Verbesserung bei gängigem Datenverkehr war, während die Early-Stopping-Funktion einen signifikanten Schub für den Verkehr bot, der mit keiner Regel übereinstimmte. Die Studie kam zu dem Schluss, dass dieser leichtgewichtige Ansatz eine zuverlässige Möglichkeit bietet, Netzwerksicherheit berechenbarer und effizienter zu gestalten, ohne eine komplette Überarbeitung des bestehenden Systems zu erfordern. Sie demonstrierte, dass Administratoren, indem sie einfach die Liste der Regeln organisieren und der Software erlauben, die Suche zu stoppen, sobald sie die Antwort kennt, sicherstellen können, dass ihre Netzwerkfunktionen konsistent funktionieren, selbst wenn die Anzahl der Sicherheitsregeln wächst. Die Arbeit steht als praktischer Beweis dafür, dass in komplexen digitalen Systemen die Anordnung der Dinge genauso wichtig sein kann wie die Regeln selbst.
Ertrinken Sie in Arbeiten in Ihrem Fachgebiet?
Erhalten Sie tägliche Digests der neuesten Arbeiten passend zu Ihren Forschungsbegriffen — mit technischen Zusammenfassungen, in Ihrer Sprache.