>Лично я pf не использую. Где-то в сети пролетало. Народ сообщал, что
>pf действительно затыкается там, где ipfw/libalias еще живет (и вообще от
>ipfw нагрузка меньше). Начиная от 300 тысяч стейтов, кажется. да, есть такое дело. на forum.nag.ru народ профайлил ipfw & pf на одинаковой задаче(nat).
pf там был хуже в плане производительности и это было одним из аргументов, почему человек отказался от него.
pf начинает вести себя странно на nat'е при 200-300тыс стейтов и каких-то 100-130kpps.
Т.е. до какого-то момента он работает(пока не нажрется стейтов), а потом начинаются затыки в обработки трафика и на выходе уже имеем 5-7kpps со всплесками до 50-60kpps.
>Файрвол+NAT+шейпер. На дворе 2010 год, а не 1999, сейчас такие нагрузки и
>необходимость многоядерных систем для них - это уже не ниша, а
>норма. А нагрузки, где одного ядра хватает - уже ниша, пусть
>пока относительно широкая, но всё более сужающаяся.
циферки: q9400, 8Gb RAM карточки - 2шт:
Marvell Technology Group Ltd. 88E8053 PCI-E Gigabit Ethernet Controller (rev 19)
1млн стейтов, трафик - udp пакеты минимальной длины из сети 10/8 на 1 хост с адресом 192.168.30.2
итог: 800kpps на выходе и 70-80% загрузка по всем ядрам в si.
Карточки не умеют несколько аппаратных очередей и с rx-дескрипторами там туго.
На более правильных картах, более быстрой шине и памяти с процессором, у которого больше кеш - результат будет ещё лучше. Идеально под цели подходит core i7.
PS: ядро 2.6.35-rc2 + немного ручного тюнинга.
