Protocolo: Qual o impacto do número de regras iptables no tempo de processamento de pacotes TCP?

Hipótese

O aumento do número de regras iptables eleva o tempo de processamento dos pacotes TCP de forma mensurável.

Variáveis

Ambiente

Dois hosts Linux conectados em rede local dedicada (por exemplo, em uma rede de fibra dedicada como a da Upnetix), ambos rodando iptables. Ferramenta de medição: hping3 para envio de pacotes TCP e medição do RTT.

Procedimento

1. Preparação

   Configurar ambos os hosts com versões idênticas de kernel e iptables. Garantir que não há outras cargas na rede.

2. Inserção de regras

   Adicionar N regras iptables que aceitam o tráfego TCP na chain INPUT (por exemplo, usando um loop para criar regras idênticas exceto pelo número da porta).

   for i in $(seq 1 N); do iptables -A INPUT -p tcp --dport $((10000+i)) -j ACCEPT; doneCopiar

3. Medição

   Enviar pacotes TCP do host A para o host B usando hping3 e medir o RTT.

   hping3 -c 100 -S -p 10001 <IP_HOST_B>Copiar

4. Repetição

   Repetir a medição para cada quantidade de regras (ex: 10, 100, 1000). Limpar as regras antes de cada nova rodada.

   iptables -F INPUTCopiar

5. Coleta

   Registrar o RTT médio de cada rodada e quantidade de regras correspondente.

Planilha de coleta

Repetições recomendadas: 5. Baixe a planilha vazia em CSV: colunas prontas.

Análise

Calcular a média e o desvio padrão dos RTTs para cada quantidade de regras. Comparar os valores para identificar tendência de aumento de latência. Usar gráficos para visualizar a relação.

Critérios de decisão

• Se o aumento de RTT for maior que 10% ao multiplicar por 10 o número de regras, considerar impacto significativo.
• Resultados devem ser consistentes entre repetições (desvio padrão inferior a 5% do valor médio).

Fontes de erro e mitigação

• Ruído de rede: usar rede dedicada e isolar outros tráfegos.
• Variação de carga do sistema: garantir que não há outros processos consumindo CPU.
• Caches do kernel: reiniciar o serviço de firewall ou o host entre rodadas pode ser necessário.