ميزة IP Early Demux في لينكس: تحسين ذاكرة التوجيه وإعادة التوجيه في VPN

تتعامل بوابات VPN عالية السعة ونقاط الحافة الأمنية مع نوعين متباينين من حركة البيانات الشبكية: حركة الإنهاء المحلي (مثل أنفاق WireGuard أو IPsec المشفرة الموجهة إلى مقابس محلية على الخادم) وحركة التمرير الترانزيت (حزم بيانات المستخدمين المفكوكة التشفير التي تعبر واجهات الشبكة نحو الإنترنت الواسع WAN). في مكدس شبكات لينكس، تحدد الكيفية التي تُدار بها المسافة بين تصنيف الحزم الواردة والبحث في جداول التوجيه مدى قابلية النظام للتوسع.

صُممت ميزة IP Early Demux (ip_early_demux) في نواة لينكس لإلغاء عمليات البحث المتكررة في شجرة معلومات إعادة التوجيه (FIB Trie) للاتصالات القائمة بالفعل. ومع ذلك، بالنسبة للخوادم التي تجمع بين دور إنهاء تشفير الأنفاق ودور موجه تمرير البيانات فائق السرعة، فإن ضبط هذه الميزة يتطلب إدراكًا دقيقًا للمفاضلات المعمارية المصاحبة لها.

---

معضلة التوجيه: فحص شجرة FIB مقابل الذاكرة المخبأة للمقابس

لفهم الغاية من ميزة IP Early Demux، يجب تتبع المسار التقليدي الذي تسلكه حزمة IPv4 الواردة بعد استلامها من برنامج تشغيل بطاقة الشبكة (NIC):

1. استقبال الحزمة: تدخل الحزمة طبقة الشبكة عبر الدالة ip_rcv() وتنتقل إلى ip_rcv_finish_core().
2. البحث القياسي في مسار التوجيه: تستدعي النواة تلقائيًا ip_route_input_noref() لفحص شجرة FIB trie. يفحص هذا الإجراء عنوان IP الوجهة والمصدر وعلامات سياسة التوجيه (fwmark) والواجهة المستقبلة لتحديد ما إذا كانت الحزمة موجهة للاستهلاك المحلي (RTN_LOCAL) أم يجب إعادة توجيهها للخارج (RTN_UNICAST).
3. فرز الحزمة نحو المقبس المحلي: إذا كان القرار هو RTN_LOCAL، يتحول المسار إلى ip_local_deliver(). تجري طبقة النقل (TCP أو UDP) بحثًا في جدول تجزئة المقابس (inet_lookup_established أو جدول منافذ UDP) للوصول إلى بنية struct sock المستهدفة.

[ حزمة IPv4 واردة ]
          │
          ▼
[ المسار التقليدي: ip_rcv_finish_core() ]
          │
          ▼
[ فحص شجرة FIB Trie: ip_route_input_noref() ] ──► (استهلاك دورات المعالج)
          │
          ├─► تسليم محلي (RTN_LOCAL) ──► ip_local_deliver() ──► فحص جدول المقابس
          └─► إعادة توجيه (RTN_UNICAST) ──► ip_forward()

على بوابة نشطة تعالج 5 ملايين حزمة في الثانية موزعة عبر آلاف الأنفاق المشفرة المتزامنة، فإن فحص شجرة FIB trie لكل حزمة منفردة يولد عبئًا ملحوظًا على ناقل الذاكرة ويؤدي إلى إفراغ متكرر للذاكرة المخبأة للمعالج من المستويين الثاني والثالث (L2/L3).

---

البنية المعمارية: كيف تتجاوز آلية Early Demux شجرة FIB

تعكس ميزة IP Early Demux هذا الترتيب للتدفقات النشطة. فقبل أن تستدعي النواة نظام التوجيه المعقد، تنفذ محاولة بحث استباقية عن المقبس مباشرة من داخل ip_rcv_finish_core().

[ حزمة IPv4 واردة ]
          │
          ▼
[ مسار Early Demux: ip_rcv_finish_core() ]
          │
          ▼
[ بحث استباقي عن المقبس: tcp_v4_early_demux() / udp_v4_early_demux() ]
          │
          ├─► تم العثور على مقبس مطابق (sk->sk_rx_dst صالح):
          │         │
          │         ├─► إسناد الوجهة المخبأة مباشرة (skb_dst_set_noref)
          │         └─► الانتقال فورًا إلى ip_local_deliver() [تجاوز فحص FIB trie]
          │
          └─► لا يوجد تطابق محلي:
                    │
                    └─► الرجوع إلى المسار الطبيعي ip_route_input_noref()

في الشفرة المصدرية للنواة (net/ipv4/ip_input.c)، تطلق آلية التحكم دوال المعالجة المخصصة لكل بروتوكول:

/* المسار المفاهيمي داخل ملف net/ipv4/ip_input.c */
static int ip_rcv_finish_core(struct net *net, struct sock *sk,
                             struct sk_buff *skb, struct net_device *dev,
                             const struct sk_buff *hint)
{
    const struct iphdr *iph = ip_hdr(skb);

    if (net->ipv4.sysctl_ip_early_demux && !skb_dst(skb)) {
        const struct net_protocol *ipprot;
        int protocol = iph->protocol;

        ipprot = rcu_dereference(inet_protos[protocol]);
        if (ipprot && ipprot->early_demux)
            ipprot->early_demux(skb);
    }

    /* إذا أُسندت الوجهة عبر early_demux، يتم تجاوز فحص FIB */
    if (!skb_dst(skb)) {
        int err = ip_route_input_noref(skb, iph->daddr, iph->saddr,
                                      iph->tos, dev);
        if (unlikely(err))
            goto drop;
    }
    return NET_RX_SUCCESS;
}

آلية تخزين الوجهة في الذاكرة المخبأة (sk_rx_dst)

عند تأسيس اتصال TCP أو عندما تعمل مقابس UDP في النمط المتصل (باستخدام connect())، تحتفظ النواة ببيانات وجهة التوجيه الواردة داخل الحقل sk->sk_rx_dst.

أثناء تنفيذ tcp_v4_early_demux()، تستخرج النواة الرباعية المحددة من ترويسة الحزمة، وتعثر على المقبس المتصل، وتتحقق من صلاحية sk->sk_rx_dst. إذا كانت صالحة، تُسند هذه الوجهة إلى مؤشر الحزمة عبر skb_dst_set_noref(skb, dst). تنتقل الحزمة مباشرة إلى مسار الاستلام دون أي تأخير في جداول التوجيه.

---

الموازنة التشغيلية: إنهاء الأنفاق مقابل تمرير البيانات

على الرغم من المكاسب الإنتاجية الكبيرة التي تحققها Early Demux للبيانات المحلية، فإنها تفرض جوانب هندسية يجب مراعاتها في بوابات VPN متعددة المهام:

• عمليات فحص غير مجدية للبيانات العابرة: عندما تعيد البوابة توجيه حركة بيانات المستخدمين المفكوكة التشفير نحو الشبكات الخارجية، فإن تلك الحزم لا تستهدف مقابس الخادم نفسه. إذا كانت ميزة Early Demux قيد التشغيل، تبحث النواة عبثًا في جدول تجزئة المقابس لكل حزمة عابرة، قبل أن تضطر للرجوع إلى شجرة FIB.
• تأخر التحديث عند التوجيه متعدد المسارات (ECMP): عند حدوث تغيرات في مسارات الشبكة، قد تستمر الحزم المعتمدة على sk_rx_dst في استخدام المسار القديم لفترة وجيزة حتى يعيد المقبس التحقق من صلاحية الوجهة.

+-------------------------------------------------------------------------+
|                       سيناريوهات تشغيل بوابات VPN                       |
+-------------------------------------------------------------------------+
| السيناريو الأول: عقدة إنهاء الأنفاق (استقبال أنظمة RiceGuard / WireGuard) |
| -> تستهدف الحزم مقابس الاستماع المحلية (تدفقات UDP المشفرة)             |
| -> التهيئة المثلى: تفعيل ip_early_demux و udp_early_demux               |
|                                                                         |
| السيناريو الثاني: موجه تمرير البيانات والترانزيت عبر NAT                 |
| -> تنتقل الحزم بين واجهات الإنترنت والشبكات الداخلية دون استقرار محلي    |
| -> التهيئة المثلى: إيقاف ip_early_demux لتفادي الفحص غير المجدي        |
+-------------------------------------------------------------------------+

---

خطوات التهيئة والتحسين لخاصية Early Demux في لينكس

تتيح نواة لينكس التحكم في هذه الخاصية بصورة شاملة أو وفقًا لكل بروتوكول عبر متغيرات sysctl.

1. استعراض القيم الحالية للنظام

تحقق من حالة المتغيرات المفعلة على البوابة:

# فحص متغيرات Early Demux النشطة
sysctl net.ipv4.ip_early_demux
sysctl net.ipv4.tcp_early_demux
sysctl net.ipv4.udp_early_demux

2. الضبط المناسب لعقد إنهاء الأنفاق المشفرة

على الخوادم المخصصة أساسًا لاستقبال وتفكيك أنفاق VPN (مثل عقد RiceGuard التي تستقبل ملايين إطارات UDP المشفرة)، شغّل الخاصية لكلا البروتوكولين:

# تفعيل الميزة على مستوى النظام
sysctl -w net.ipv4.ip_early_demux = 1

# تفعيل لبروتوكول TCP (لوحات الإدارة وواجهات API)
sysctl -w net.ipv4.tcp_early_demux = 1

# تفعيل لبروتوكول UDP (مقابس الأنفاق المتصلة)
sysctl -w net.ipv4.udp_early_demux = 1

لتثبيت هذه التعديلات بعد إعادة تشغيل النظام، اكتبها في ملف الإعدادات /etc/sysctl.d/99-early-demux.conf:

cat << 'EOF' > /etc/sysctl.d/99-early-demux.conf
net.ipv4.ip_early_demux = 1
net.ipv4.tcp_early_demux = 1
net.ipv4.udp_early_demux = 1
EOF
sysctl --system

3. الضبط المناسب لموجهات التمرير الصرف وبوابات NAT

إذا كان الخادم يعمل أساسًا كموجه ترانزيت لتمرير حركة بيانات المستخدمين المفكوكة التشفير دون إنهاء مقابس محلية، فإن إيقاف الميزة يوفر دورات معالجة ثمينة:

# إيقاف الميزة على موجهات التمرير الترانزيت
sysctl -w net.ipv4.ip_early_demux = 0

4. رصد كفاءة الذاكرة المخبأة باستخدام أداة nstat

تابع معدلات نجاح البحث الاستباقي وإحصاءات التوجيه بواسطة أداة nstat:

# فحص معدل مطابقة المقابس وإحصاءات حركة التوجيه
nstat -az | grep -E "IpEarlyDemux|IpInReceives|IpForwDatagrams"

---

المقارنة الهندسية: التفعيل مقابل الإيقاف

تعتمد نتائج تشغيل ميزة Early Demux على طبيعة الوجهة النهائية لحزم البيانات:

---

التكامل المعماري في منصة RiceGuard

في البنية التحتية لشبكة VPNRice، تفصل عقد RiceGuard مسارات معالجة الاستقبال عن مسارات التمرير:

1. واجهات الاستقبال الخارجية: تعمل المنافذ العامة المستقبلة لحزم UDP المشفرة بمتغيرات net.ipv4.ip_early_demux = 1 و net.ipv4.udp_early_demux = 1. تتطابق إطارات WireGuard فورًا مع المقابس المفتوحة وتتجه مباشرة نحو مسارات التشفير في RiceGuard دون استنزاف مسار التوجيه.
2. واجهات التمرير الداخلية: تعمل نطاقات مساحات أسماء الشبكة (Namespaces) المسؤولة عن تمرير بيانات المستخدمين مع net.ipv4.ip_early_demux = 0. يتيح ذلك لمحركات التوجيه التفاعل مباشرة مع شجرة FIB دون مواجهة إخفاقات في جداول التجزئة.
3. حماية مسارات التحكم وخوادم DNS: تُدار واجهات التحكم عبر TCP وخوادم DNS الآمنة داخل نطاقات معزولة بإعداد tcp_early_demux = 1، مما يوفر سرعة معالجة عالية وحماية صارمة لمنع تسريب استعلامات DNS.