tcp - iptables 过滤性能 : TCP and UDP

Question

我写信询问 iptables 在 TCP 和 UDP 过滤中的性能。我正在使用大量 iptables 规则对其进行测试。当 FORWARD 链中有 10 000 个混合的 TCP 和 UDP 规则时，我得到 TCP 吞吐量 35.5 Mbits/sec 和 UDP 吞吐量 25.2 Mbits/sec

我很困惑为什么 TCP 吞吐量比 UDP 大？我认为 TCP 会因为 ACK 数据包而变慢。我已经用 cisco ACL 测试过，UDP 更快。

PC ----固件----- PC拓扑结构

Answer 1

防火墙开销对于数据包来说是最重要的，而不是字节。因此，如果平均 UDP 数据包小于平均 TCP 数据包，那么 UDP 的 CPU 将以比 TCP 更小的每秒比特数达到最大值。

相反，如果 UDP 数据包大到足以导致碎片，并且防火墙配置为在检查它们之前重组碎片，那么重组将导致大量开销，从而降低每秒比特数吞吐量。

可能还有其他特定于防火墙实现和配置的因素​​，但我相信这两个因素是最重要的。