Newsgroup: it.comp.os.linux.sys
Titolo: Prestazioni firewall trasparente

Ciao,
avrei bisogno di farmi un'idea delle performance di un firewall Linux 
(quanti pacchetti/byte per secondo puň trattare, ditemi voi quale distro č 
piů performante da questo punto di vista) basato su questo HW 
riciclatissimo:
PIII 1GHz, 256MB SDRAM 133Mhz, I815, 3 3com 905BTX
In pratica devo realizzare un bridge fitrante per realizzare una sorta di 
DMZ (non tante rules) e, durante alcune operazioni notturne, dovranno 
transitare un bordello di dati.
Se utilizzassi delle schede nuove 1000BaseT su bus PCI (che se non sbaglio 
arriva a 133MB/s) a quanto potrebbe forwardare pacchetti ?
Mi č stato detto di non utilizzare assolutamente proxy-arp o altra roba 
vecchia ma le ultimissime cose che vanno molto meglio (mi spavento un pň).
Grazie 

 transitare un bordello di dati.
Io uso un P2 400 MHz con 64 Mb di RAM che mi maschera una LAN di una
quindicina di PC e 5 server.
Di notte passa l'rsync tra un server interno e 3 server esterni per il
backup (circa 1-2 Gb di dati a notte)
Il carico medio e` intorno a 0.10 - 0.20
Per un periodo mi faceva anche VPN crittata con un server esterno, poi ho
dovuto toglierlo perche` hanno cambiato l'altro end-point, ma non aveva
problemi di prestazioni.
Di media la banda e` tra i 4 e i 10 Mbit, con (rare) punte sui 40 Mbit.
Credo che un computer come quello non abbia assolutamente problemi anche
con un centinaio di PC e con traffici superiori.
Bye.

> Di media la banda e` tra i 4 e i 10 Mbit, con (rare) punte sui 40 Mbit.
Io vorrei arrivare almeno a 80Mbit (altrimenti i tempi si dilungherebbero 
troppo), a 10MB/s dovrei riuscire a fare 10GB in mezz'ora (il mio 
obiettivo). 

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

Avevo fatto dei test anni fa su una macchina più o meno gemella di
quella (almeno come CPU, aveva la stessa), ed eravamo poco sotto il
traffico che dici, ovvero attorno ai 70-75 Mbps.
Però eravamo ancora in regime di kernel 2.4, probabilmente oggi si
otterrebbero altri risultati.
Tieni conto, tuttavia, che per questa tipologia di applicazione la CPU
pesa solo in parte: molto dipende dalla dimensione dei buffer delle NIC,
dalla qualità dai driver delle stesse, dalla metodologia di polling dei
suddetti buffer, ecc...
Dimostrazione ne sia il fatto che quei 70 Mbps di cui sopra diventavano
il plateau indipendentemente dal numero di regole attraversate dal
traffico (almeno con numero di regole "umano"), segno che più che la CPU
andavano in crisi le NIC (o la capacità "algoritmica" del kernel di
gestirle, a causa dei troppi interrupt).
- --
Skull & Bones (ER6n Silver)
Neo:  I know Sendmail!
Morpheus:  Show me.
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.1 (Darwin)
iD8DBQFGE3Zt8THo01J+SBERAqFtAJ0e5IAicXeV2xPrc9CRf58kLtu1PQCfQb0I
Zx7RHqgo2mSbAnzJoNKp2+k=
=anIS
-----END PGP SIGNATURE-----

 Grazie
le prime tre che mi vengono in mente:
- 
http://www.m0n0.ch/wall
- 
http://www.pfsense.com
- 
http://www.zeroshell.net/eng/
qui 
http://m0n0.ch/wall/facts.php
 dice che si puo' arrivare a > 100
Mbps con un PC standard. DIrei che col tuo HW dovresti farcela.
Ciao Jack

Ennio ha scritto:

Il processore dovrebbe bastare, magari ti consiglio di prendere una
scheda ethernet PCI multiporta (dual o quad) per sfruttare l'interrupt
coalescing (le porte usano un solo IRQ).
In un firewall ne ho una da quattro porte con chipset Intel (10/100
però) che va come un missile.
-- 
Tobe Bofh