2019年Linux作为校园网出口的优化.pptVIP

计算机网络安全基础 计算机网络安全基础 计算机网络安全基础 Linux作为校园网出口的优化 张焕杰 james@ Tel: 3601897(O) 主要内容 功能要求 系统优化 功能要求 区分国内国外地址 利用netfilter/iptables实现 校内IP分3种权限：校内、国内、国际 国内地址有300多条目（大于8IP的条目） 策略路由 利用ip rule 实现 服务器要永远走教育网出去 用户的IP根据情况选择 科大有7种选择 Iptables的性能优化 校内IP的状态 避免针对每个IP增加iptables的条目，因为这样做iptables规则很多，性能非常低 可以考虑使用ippool或后续的ipset，他们的优点都是利用单独的数据结构存放一个IP的状态（属于一个pool或set，可以认为对应0和1） 使用ippool或ipset后，一条iptables规则就可以起到原来iptables几千条规则的作用，避免了iptables顺序查找的低效率，执行速度能快几百倍 / 建议的做法 建立类型为nethash的cernetfree ipset 建立类型为ipmap的cernetip ipset，并缺省绑定cernetfree Cernetfree中加入免费地址列表 如果为出校IP，增加到cernetip既可以 如果为出国IP，增加到cernetip，并解除与cernetfree的缺省绑