Z4「高速なFW/IDSの実装」

Z4 「高速なFW / IDS の実装」河原颯太(@khwarizmi6514) 集中開発Z4(アンチウィルス実装ゼミ)

講義の内容 1. 高速なFW / IDS の実装 - 高速パケット処理をするため, DPDKを使用 -
FWの基本であるタプルフィルタの実装 - 簡単な性能計測 2. 追加でフラグメンテーション処理を実装(DPIを想定)

DPDKとはポイント・カーネルバイパスなNICアクセス -> システムコール, 割り込みのオーバーヘッドがない・独自のポーリングモデル -> コアがNICに張り付く・hugepagesの使用
-> メモリコピーを無くして高速化

1. DPDKを用いたファイアウォール・5タプル1ルールのFW -> 3.3Gbps を達成・5タプル8ルールのFW -> 2.5Gbps を達成
今回は計測していないが, linuxカーネルでは Gbps 出すのも難しいはず. (※ 64byte, 線形探索)

2. DPDKを用いたIPフラグメント処理(DPIを想定) ・ネットワークファンクション上でマルウェア検知をしたい ↓ ・IPフラグメントによってフラグメントされているから検知できない!! ↓ ・IPフラグメント処理を実装しました

khwarizmi