Microsoft PowerPoint - JANOG19-u10-GigaPcap（NonAnim）.ppt

Size: px

Start display at page:

Download "Microsoft PowerPoint - JANOG19-u10-GigaPcap（NonAnim）.ppt"

としなりまるこ
5 years ago
Views:

1 Non-Sampling Flow Inspection を支える技術ユーテンネットワークス株式会新籾晶

2 アジェンダ Non-Sampling Flow Inspection を支える技術背景のおさらいトラヒック解析の問題点 (Non-Sampling 観点 ) 解決策ハードウェア作っちゃいました!! 本当に Non-Sampling は実現できたのか? 性能比較による検証まとめ 1

3 背景従来は Sampling でのトラヒック解析のみトラヒックイメージ例えば 1/4 Sampling すると... トラヒック解析結果に誤差しかし Non-Sampling は難しい... 2

4 従来の問題点 (1) 1Mbps 程度でドロップ発生パケットキャプチャ率 [ フレーム長 64byte] キャプチャ率 [%] 6 1Mbps 程度でドロップ発生 6 1Mbps 3

5 従来の問題点 (2) CPU 負荷率 % CPU 負荷率 [ フレーム長 64byte] CPU 負荷率 [%] 6 1Mbps 程度で CPU 負荷率 % 6 1Mbps 4

6 目標問題未解決のままでの Sampling 解析見るべき現象が本当はみえていないのでは? だから Non-Sampling でやってみよう!! 要件フルレートパケットキャプチャ CPU パワーの確保どうやって実現する?? 5

7 解決策とアプローチ課題 : フルレートパケットキャプチャ解決策 :PCI-X による高速転送課題 :CPU パワーの確保解決策 : パケットキャプチャ処理をハードウェア化アプローチこれらを可能にするアクセラレータ HW の開発 6

8 アクセラレータハードウェア作っちゃいました 7

9 の技術 libpcap Accelerator DDR-SDRAM 512MB MAC 処理 1Gbps 1Gbps PCI-X 64bit/MHz キャプチャ処理 8

10 作ったその次はじゃあ動かしてみよう!! 9

11 実現性の検証本当にこのアクセラレータによって Non-Sampling が実現可能?? フツウの NIC だとどこまでできる?? 実験して確認パケットキャプチャ性能の評価を行うパケットキャプチャ率 CPU 負荷率 (tcpdump -w /dev/null 実行時 ) トラヒックレート : 1Mbps~1Gbps フレーム長 : 1518byte, 64byte, byte 1

12 性能比較評価系の構成テストトラヒック Packet Generator 最大 1Gbps フレーム長任意テストトラヒック I 社 e 11

13 性能比較比較カードとホストマシン仕様性能比較するパケットキャプチャカードフツウの NIC 代表 I 社 e u1 Networks 特別なところの無い至ってフツウなマシンで評価実施ホストマシン構成 Dell PowerEdge285 / 2U ラックマウント型 Intel Xeon 2.8GHz (single) RAM 1GB (PC3, DDR2, MHz) PCI-X スロット 3 ホスト OS Red Hat Enterprise Linux ES 4 Kernel EL, Uni-processor Mode 12

14 性能比較 (1) フレーム長 1518byte パケットキャプチャ率 [ フレーム長 1518byte] キャプチャ率 [%] 6 2Mbps から少量のドロップが発生フツウの NIC もほとんどキャプチャできるはフルキャプチャ 6 13

15 性能比較 (1) フレーム長 1518byte CPU 負荷率 [ フレーム長 1518byte] CPU 負荷率 [%] 6 26%@1Gbps 11%@1Gbps 6 14

16 性能比較 (1) フレーム長 1518byte フツウの NIC でもほとんどキャプチャできる CPU 負荷率パケットキャプチャ率 [ フレーム長 1518byte] CPU 負荷率 [ フレーム長 1518byte] キャプチャ率 [%] 6 CPU 負荷率 [%] これなら分析処理も行うことができるが... 少量のパケットドロップがあるから Non-Sampling になっていない 15

17 性能比較 (2) フレーム長 64byte パケットキャプチャ率 [ フレーム長 64byte] キャプチャ率 [%] 6 1Gbps までフルキャプチャ 1Mbps からドロップ発生 12%@26Mbps まで急激に低下 6 16

18 性能比較 (2) フレーム長 64byte CPU 負荷率 [ フレーム長 64byte] CPU 負荷率 [%] 6 %@1Mbps 39%@1Gbps 6 17

19 性能比較 (2) フレーム長 64byte 1Mbps 程度から急激にドロップ発生 CPU 負荷率パケットキャプチャ率 [ フレーム長 64byte] CPU 負荷率 [ フレーム長 64byte] キャプチャ率 [%] 6 CPU 負荷率 [%] ちょっと非現実的なトラヒックモデル?? しかし DoS アタックなどにまったく無力そのうえ分析時に Sampling しちゃうの?! 18

20 性能比較 (3) フレーム長 byte パケットキャプチャ率 [ フレーム長 byte] キャプチャ率 [%] 6 43Mbps からドロップ発生 1Gbps までフルキャプチャ 6 19

21 性能比較 (3) フレーム長 byte CPU 負荷率 [ フレーム長 byte] CPU 負荷率 [%] 6 51%@Mbps から急上昇 %@4Mbps 24%@1Gbps 6

22 性能比較 (3) フレーム長 byte 43Mbps 程度からドロップ発生 CPU 負荷率パケットキャプチャ率 [ フレーム長 byte] CPU 負荷率 [ フレーム長 byte] キャプチャ率 [%] 6 CPU 負荷率 [%] 実トラヒックの短いパケットを想定トラヒックレートが高いところでドロップが多すぎる本当に見たいときに実用的性能が出ない 21

23 性能比較まとめ (1) I 社 e フレーム長 1518byte ほとんどキャプチャ可能フレーム長 64byte 1Mbps から急激にドロップ, CPU 負荷率 % フレーム長 byte 43Mbps からドロップが発生, CPU 負荷率 %@4Mbps 実は約 275kpps がドロップ発生の条件結論 :I 社 e では... Non-Sampling は達成不能 22

24 性能比較まとめ (2) では... フルレートパケットキャプチャが可能 CPU パワーの確保が可能最大 CPU 負荷率要件を達成!! 結論 : なら... Non-Sampling Flow Inspection を達成可能 23

25 結論と展望結論を使用すれば... Non-Sampling Flow Inspection が実現可能発展 Non-Sampling NetFlow Exporter を実現次は sflow, IPFIX 対応 Hardware Filter や高度なリアルタイム分析展望 1GbE 対応分析アプリケーションの対応を増やす 24

HP Z200 Intel i5 CPU 3.33GHz Low Profile 仕様 380 LP Assist 2.2 Instinct v3.0 以降いいえいいえはいいいえ 4GB および 8GB DDR ECC (2 枚構成の DIMM) ISIS へ接続するにはオンボードの

HP Z200 Intel i5 CPU 3.33GHz Low Profile 仕様 380 LP Assist 2.2 Instinct v3.0 以降いいえいいえはいいいえ 4GB および 8GB DDR ECC (2 枚構成の DIMM) ISIS へ接続するにはオンボードの Composer 6, Symphony 6, NewsCutter 10, Assist 2.5, Instinct 3.5 認定 PC システムシステム PC デスクトップ HP Z800 DUal 6- core 2.66GHz (X5650) 3800 5.0.3/9.0.3 はいいいえはいはいはいはい (3 枚構成の DIMM) HP Z800 Dual Quad core 2.93GHz