PF_RING?
PF_RING?是一種新型的網(wǎng)絡(luò)套接字，可顯著提高數(shù)據(jù)包捕獲速度，并且具有以下特性：
1. 適用于Linux內(nèi)核2.6.32及更高版本。
2. 無(wú)需修補(bǔ)內(nèi)核：只需加載內(nèi)核模塊。
3. 使用商用網(wǎng)絡(luò)適配器的10 Gbit硬件數(shù)據(jù)包過濾
4. 用戶空間ZC（新一代DNA，Direct NIC Access，直接NIC訪問）驅(qū)動(dòng)程序可實(shí)現(xiàn)極高的數(shù)據(jù)包捕獲/傳輸速度，這是因?yàn)镹IC NPU（網(wǎng)絡(luò)處理單元）在沒有任何內(nèi)核干預(yù)的情況下將數(shù)據(jù)包從用戶域推送/獲取數(shù)據(jù)包。使用10Gbit ZC驅(qū)動(dòng)程序，您可以以線速發(fā)送或接收任何大小的數(shù)據(jù)包。
5. PF_RING ZC庫(kù)，用于在線程、應(yīng)用程序、虛擬機(jī)之間以零拷貝分發(fā)數(shù)據(jù)包。
6. 設(shè)備驅(qū)動(dòng)程序獨(dú)立。
7. 支持Accolade，Exablaze，Endace，F(xiàn)iberblaze，Inveatech，Mellanox，Myricom / CSPI，Napatech，Netcope和Intel（ZC）網(wǎng)絡(luò)適配器。
8. 基于內(nèi)核的數(shù)據(jù)包捕獲和采樣。
9. Libpcap支持（請(qǐng)參見下文）可與現(xiàn)有的基于pcap的應(yīng)用程序無(wú)縫集成。
10. 除BPF外，還可以指定數(shù)百個(gè)標(biāo)題過濾器。
11. 內(nèi)容檢查，以便僅通過與有效負(fù)載過濾器匹配的數(shù)據(jù)包。
12. PF_RING?插件，用于高級(jí)數(shù)據(jù)包解析和內(nèi)容過濾。
Vanilla PF_RING?
PF_RING?正在通過Linux NAPI輪詢來(lái)自NIC的數(shù)據(jù)包。這意味著NAPI將數(shù)據(jù)包從NIC復(fù)制到PF_RING?循環(huán)緩沖區(qū)，然后userland應(yīng)用程序從環(huán)讀取數(shù)據(jù)包。在這種情況下，有兩個(gè)輪詢程序，即應(yīng)用程序和NAPI，這會(huì)導(dǎo)致用于此輪詢的CPU周期。優(yōu)點(diǎn)是PF_RING?可以將傳入的數(shù)據(jù)包同時(shí)分發(fā)到多個(gè)環(huán)（因此有多個(gè)應(yīng)用程序）。
PF_RING?模塊
PF_RING?具有模塊化架構(gòu)，可以使用除標(biāo)準(zhǔn)PF_RING?內(nèi)核模塊以外的其他組件。當(dāng)前，其他模塊集包括：
ZC模塊。查看ZC頁(yè)面以獲取更多信息。
基于FPGA的板卡模塊。這些模塊增加了對(duì)許多供應(yīng)商的支持，包括Accolade，Exablaze，Endace，F(xiàn)iberblaze，Inveatech，Mellanox，Myricom / CSPI，Napatech，Netcope。
堆棧模塊。該模塊可用于將數(shù)據(jù)包注入linux網(wǎng)絡(luò)堆棧。
時(shí)間軸模塊。該模塊可用于使用PF_RING?API從n2disk轉(zhuǎn)儲(chǔ)集中無(wú)縫提取流量。
Sysdig模塊。該模塊使用sysdig內(nèi)核模塊捕獲系統(tǒng)事件。
誰(shuí)需要PF_RING?？
基本上每個(gè)人都必須每秒處理許多數(shù)據(jù)包。這里的“許多”根據(jù)您用于流量分析的硬件而變化。它的范圍可以從1.2GHz ARM上的80k pkt / sec 到低端2.5GHz Xeon上的14M pkt / sec ，甚至更高。PF_RING?不僅使您可以更快地捕獲數(shù)據(jù)包，還可以更有效地捕獲數(shù)據(jù)包，從而節(jié)省CPU周期。這里列了一些數(shù)據(jù)，您可以看到nProbe（NetFlow v5 / v9探針）可以使用PF_RING?運(yùn)行多快，或者看看下面的表格。
使用Core2Duo 1.86 GHz，Ubuntu Server 9.10（內(nèi)核2.6.31-14）和IXIA 400流量生成器以線速（64字節(jié)數(shù)據(jù)包，1.48 Mpps）注入流量進(jìn)行的1Gbit測(cè)試：
注意
pfcount是在PF_RING?之上編寫的應(yīng)用程序，而pcount是在libcap-over-PF_RING?之上編寫的。由于應(yīng)用程序只是在不進(jìn)行額外處理的情況下統(tǒng)計(jì)數(shù)據(jù)包，因此pfcount（帶有-a表示活動(dòng)數(shù)據(jù)包輪詢）有時(shí)會(huì)較慢，但是pcount需要支付libpcap費(fèi)用。這可以通過以下事實(shí)來(lái)證明：pfcount比pcount更快地處理數(shù)據(jù)包，因此它消耗所有可用數(shù)據(jù)包的速度更快，因此它更頻繁地調(diào)用poll（）（即等待傳入數(shù)據(jù)包）。由于poll（）相當(dāng)昂貴，因此在這種特殊情況下，pcount性能要優(yōu)于pfcount。通常，應(yīng)用程序除了對(duì)數(shù)據(jù)包進(jìn)行計(jì)數(shù)外還必須對(duì)數(shù)據(jù)包做一些事情，因此，基于純PF_RING?的應(yīng)用程序的性能應(yīng)優(yōu)于基于pcap的應(yīng)用程序。
即使在低端Core2Duo PF_RING?ZC（新一代DNA）上也可以進(jìn)行線速數(shù)據(jù)包捕獲。