19、系统优化与网络监控工具使用技巧

系统优化与网络监控工具使用技巧

1. 性能问题与系统架构

在使用像 ourmon 或 Snort 这样的工具时，性能是一个常见问题。性能问题可能源于系统负载过高、存在大量扫描器，或者遭受大规模 DDoS 攻击。若简单关闭 ourmon 中的过滤器或减少 Snort 的签名，虽能减轻系统工作负担，但不利于工作开展且安全性降低。

传统操作系统（如 FreeBSD 和 Linux）在将网络数据包传递给嗅探应用程序的方式上，虽细节有别但本质相似，遵循生产者 - 消费者模型。生产者是操作系统，包括网卡驱动和将数据包填入队列的环形缓冲区代码；消费者是 ourmon 探测应用程序。

具体流程如下：
- 网卡可能通过中断（或轮询，最终由硬件时钟中断驱动）读取一定数量的数据包，并将其放入操作系统缓冲区（图中未显示）。
- 这些缓冲区的数据被复制到内核内特定大小的环形缓冲区（概念上是一个队列）。
- 应用程序使用 read 系统调用从环形缓冲区读取排队的数据包并进行处理。

然而，这种架构存在问题。例如，操作系统会先于应用程序运行，可能导致设备驱动忙于将数据包填入环形缓冲区，使应用程序无法读取数据包，单 CPU 系统更易出现此情况。此外，过多快速传入的数据包（如小数据包 DDoS 攻击）可能导致网卡使整个系统锁定，只处理中断而无其他有效操作，即活锁。

2. 系统优化技术

2.1 为探测器购买双核心 CPU

如今，使用双核心 CPU 实现并行化是一种简单且成本逐渐降低的方法。AMD 和 Intel 都有配备双核心处理器的计算机。在对称多处理（SMP）操作系统中，可让网卡在一个 CPU 上运行，ourmo