DPDK-包分类和访问控制（PACKET CLASSIFICATION AND ACCESS CONTROL）

最近开始需要用 DPDK ACL 来实现一些如包负载长度匹配的需求，因此开始学习 ACL 相关的内容，刚开始上手觉得还是挺难的，花了大概三四天看了官方的文档和一些示例，大概搞明白了 ACL 的用法，也踩了一些坑，这篇博客记录下这段时间的学习内容，最后提供了一个我写的小例子来参考。...

本文深入解析了DPDK ACL技术，详细介绍了基于5元组与MAC地址的高效包分类实践。通过硬件加速优化和分层优先级匹配，DPDK ACL在高速网络处理场景中实现线速包分类，性能提升显著。文章还提供了规则定义、运行时结构构建及多核并行分类的实现技巧，适用于网络安全策略实施等场景。

The process of categorizing packets into “flows” in an Internet router is called packet classification. All packets belonging to the same flow obey a pre-defined rule and are processed in a similar man

DPDK提供了三种classify算法：最长匹配LPM、精确匹配（Exact Match）和通配符匹配（ACL）。 其中的ACL算法，本质是步长为8的Multi-Bit Trie，即每次可匹配一个字节。一般来说步长为n时，Trie中每个节点的出边为2^n，但DPDK在生成run-time structures时，采用DFA/QRANGE/SINGLE这几种不同的方式进行数据结构的压缩，有效去除了...

Pankaj Gupta and Nick McKcown在1999年发表一个简单的多级分类算法，称为RFC(递归流分类)，在流水线可以每秒处理100万个数据包。

一些说明：1.merge完后，对于有分支的边，”…” 表示匹配除了其它分支以外的所有值，图中表述不准确；2.对于虚线的节点，表示merge完后会被释放；红色节点表示新建的node；红色的边，表示有修改或新增的边；实心节点表示match节点。3.node创建的顺序是a\b\c\…，但决定node是否free，则是1\2\3\…，见红色节点的名称。...

文章目录一.Access control list1.规则定义1.1定义匹配区域 rte_acl_field_def1.2定义具体规则 acl_ipv4_rule DPDK提供了三种classify算法：最长匹配LPM、精确匹配（Exact Match）和通配符匹配（ACL） 一.Access control list DPDK 提供了一个访问控制库，可以根据一组分类规则对输入数据包进行分类。 ACL 库用于对具有多个类别的一组规则执行 N 元组搜索，并为每个类别找到最佳匹配（最高优先级）。库 API 提供

原创翻译，转载请注明出处。 dpdk提供了一个访问控制库，提供了基于一系列分类规则对接收到的报文进行分类的能力。ACL库用来在一系列规则上执行N元组查找，可以实现多个分类和对每个分类查找最佳匹配（最高优先级），ACL库的api提供如下基本操作： 创建一个新的访问控制（AC）环境实例（context） 添加规则到这个环境实例 为这个实例里所有的规则，创建必需的运行时结构体来指针报文...

作者 1 Eric Liang：加州大学伯克利分校RISELab成员之一，方向为强化学习的分布式系统和应用程序，曾在Google/Databricks工作。https://rise.cs.berkeley.edu/blog/author/ekhliang/ 4 Ion Stoica：加州大学伯克利分校EECS系的教授，RISELab成员之一。他从事云计算和网络计算机系统的研究，也是ACM院...

今天准备看一看高性能的作业。这一次的作业时关于packet classification的。先解释一下packet classification，在路由器接受到一个包之后，路由器需要根据一些路由策略来决定如何处理这些包，那么在接受到一个包了之后，查看一下这个包到底是通过哪一个规则来处理，这就需要的是packet classification。 packet classification一般有两类...

前言 Flow Classify示例应用程序基于转发应用程序的简单框架示例。 它旨在演示使用Flow Classify库API的DPDK转发应用程序的基本组件 flow_classify例子对于DPDK的学习具有很重要的意义，是比较重要的章节。有点类似于linux网络中的iptables功能，也有点类似于我们在linux内核中开发的防火墙功能。我们可以使用flow模块对数据包进行统计，丢弃等基本的操作。 程序代码 ACL介绍 首先该例程中主要是面向的对象是IP流量中的五元组信息。即源ip地址，目的ip地址，

网络报文的处理和转发主要分为硬件处理部分与软件处理部分。传统的Network Processor（专用网络处理器）转发的模型可以分为run to completion（运行至终结，简称RTC）模型和pipeline（流水线）模型。 DPDK转发模型。转发算法：精确匹配（Exact Match）算法和最长前缀匹配（Longest Prefix Matching, LPM）算法、ACL算法。

通过前面的分析，对DPDK中对报文处理的过程有了一个初步的认知。从一个更高层次来看，传统的网络通信一般会通过上层应用、操作系统、网卡驱动和硬件四层。再往下，基本就不属于于计算机控制的系统了。早期的应用，基本上这四个层次都比较单纯，所以也没啥复杂的管理方式，你来我往，你应我答这事就成了。可世风不古，上层应用的快速发展，使得底层的压力骤增。软件和硬件的发展是相互影响的，软件新需求的提出，硬件会在一个阶段后满足，即使无法通过正常的技术迭代满足，也可以使用其它方式。

RTE_ACL_FIELD_TYPE_BITMASK：单字节区域如ip头部一个字节的proto字段；RTE_ACL_FIELD_TYPE_MASK：采用MASK方式描述，一般对应4字节的源/目的地址；RTE_ACL_FIELD_TYPE_RANGE：一般对应TCP或UDP头部2字节的PORT区域。熟悉这三种类型的使用后，完全可以用它们去匹配网络报文的其它区域，甚至将其应用到其它场景中。...

本文简介DPDK中ACL链表的几个主要函数，以及数据结构。 ACL初始化 函数rte_acl_init如下，主要初始化工作是选择使用的分类算法。对于AVX2（Advanced Vector Extensions），仅当编译DPDK代码的编译器支持AVX2指令集，并且运行DPDK程序的处理器支持AVX2指令集时，才启用RTE_ACL_CLASSIFY_AVX2算法。否则，退而求其次...

DPDK ACL算法介绍 https://www.jianshu.com/p/0f71f814d73e

整个L3fwd有三千多行代码，但总体思想就是在L2fwd的基础上，增加网络层的根据 IP 地址进行路由查找的内容。 l2fwd例子中，代码中网卡没有配置多队列，所以性能上有些局限性， 而l3fwd的例子中，网卡配置了多队列 这就是在网络转发调试过程中，很多场景下直接使用l2fwd进行转发测试，往往达不到最佳效果的根本原因 2.l2fwd中，报文转发流程相对简单，仅仅改了mac就发包了，无需过多判断 l3fwd中，需查询路由表，相对实现复杂些 dpdk的acl算法。大致用法如下： 配置如

bestboyxie话说DPDK~~其实dpdk中文文档太少了，好多大神都不愿意分享，所以我如果不写对不起谢大神名号啦~~ DPDK = Data Plane Development Kit  数据平面开发套件，说白了就是做数据通讯的SDK。以前传统的数据平面实现主要是以一下几种形态出现； 1、早期linux内核转发；使用linux内核协议栈实现二三层转发。使用netfite

ACL（Access Control List，访问控制列表）的本质是一种通配符匹配算法。而 ACL Rule 是一个 N-tuple，由 N 个 Fields 组成，在定义具体的 ACL Rule 之前，首先需要定义好每个 Fields 的实例。ACL Rule 的 Fields 的定义通过 rte_acl.h rte_acl_field_def 结构体来完成。