如何针对高 DNS 流量优化 iptables？

Question

如何针对高 DNS 流量优化 iptables？我有一个使用 iptables 充当桥接防火墙的专用 linux 服务器。最近在防火墙后面部署了高负载的 DNS 服务器，防火墙开始工作缓慢。一些技巧，如何让防火墙更有效？

Answer 1

您不应记录允许的流量规则，以避免过多的日志（以及写入日志的时间）。dns 数据包很小，但数量众多。您的防火墙可能无法每秒处理该数量的数据包。

ifconfig -a 会报告掉线/错误/溢出/冲突吗？

您可以使用 iptraf 获取每个大小分布的数据包数：

iptraf -i eth0 -z eth0

您可以为每个以太网卡添加 CPU 亲和力，以提高它可以处理的 pps 数量

您可能会耗尽连接表。您可以使用 NOTRACK 选项，这样 DNS 流量就不会保留在连接表中，从而提高性能。