سخت‌افزارهای ارتباطی و هسته سیستم‌عامل، ترافیک شبکه را با جابه‌جایی پیوسته ساختارهای داده در مرزهای حافظه پردازش می‌کنند. در روزهای نخست راه‌اندازی شبکه‌های اترنت، هر فریم استاندارد ۱۵۰۰ بایتی یک وقفه سخت‌افزاری مجزا ایجاد می‌کرد، نیازمند تخصیص بافر سوکت جداگانه بود و جداول مسیریابی و فایروال را به‌طور مستقل می‌پیمود. اگرچه این شیوه در اتصالات ۱۰۰ مگابیتی پاسخگوی نیازها بود، اما در پیوندهای چندگیگابیتی نوین به یک تنگنای جدی محاسباتی بدل شده است. هنگام عبور داده‌ها از تونل‌های رمزنگاری‌شده شبکه خصوصی مجازی (VPN)، سربار بسته‌بندی نرم‌افزاری مصرف توان پردازنده را به ازای هر بسته افزایش داده و نرخ انتقال داده‌ها را با افت مواجه می‌سازد.

برای رفع این محدودیت ساختاری در پردازش تک‌به‌تک بسته‌ها، هسته لینوکس از زیرسیستم‌های تجمیع بسته و آفلودینگ سخت‌افزاری بهره می‌گیرد: شتاب‌بخشی قطعه‌بندی تی‌سی‌پی (TSO)، قطعه‌بندی تعمیم‌یافته (GSO) و تجمیع تعمیم‌یافته دریافت (GRO). تحلیل تعامل این سازوکارها با کارت‌های شبکه مجازی TUN، لایه‌های رمزنگاری و درایورهای فیزیکی نشان می‌دهد که سامانه‌های امروزی چگونه بدون اشباع پردازنده به بیشترین سرعت اسمی دست می‌یابند.

تنگنای پردازنده در پردازش بسته‌به‌بسته: محدودیت‌های MTU بر رابط‌های مجازی

در معماری شبکه‌های سنتی، واحد بیشینه انتقال (MTU) در اترنت بر روی ۱۵۰۰ بایت تنظیم شده است. با کسر ۲۰ بایت هدر پروتکل IPv4 و ۲۰ یا ۳۲ بایت هدر پروتکل TCP، بیشترین اندازه مجاز بخش داده (MSS) به ۱۴۶۰ بایت محدود می‌شود. بهره‌برداری کامل از یک خط ارتباطی ۱۰ گیگابیت بر ثانیه نیازمند ارسال و دریافت حدود ۸۲۰ هزار بسته در هر ثانیه است.

پردازش سنتی تک‌به‌تک بسته‌های ۱۵۰۰ بایتی:
[داده کاربر] -> قطعه‌بندی TCP -> [skb_1..skb_45] -> فایروال -> مسیریابی -> درایور -> ۴۵ وقفه سخت‌افزاری

تجمیع داده با سازوکار GSO (ابربسته ۶۴ کیلوبایتی):
[داده کاربر] -> ابربسته واحد (۶۴KB) -> [یک ساختار skb] -> فایروال -> مسیریابی -> قطعه‌بندی دیرهنگام

طوفان وقفه‌های سخت‌افزاری و هزینه جابه‌جایی زمینه در مسیرهای نرم‌افزاری

هر بسته‌ای که وارد هسته سیستم‌عامل می‌شود، چرخه‌ای از عملیات پرهزینه را آغاز می‌کند:

  • تخصیص و آماده‌سازی ساختار بافر سوکت هسته (struct sk_buff).
  • بررسی حافظه پنهان جداول مسیریابی و ارزیابی قوانین امنیتی در فایروال یا قلاب‌های eBPF.
  • اجرای محاسبات رمزنگاری (مانند الگوریتم‌های ChaCha20-Poly1305 یا AES-GCM) در پایانه‌های تونل.
  • تولید وقفه‌های نرم‌افزاری (NET_RX_SOFTIRQ و NET_TX_SOFTIRQ) در هسته‌های در دسترس پردازنده.

زمانی که شمار بسته‌های ورودی از ۵۰۰ هزار فریم در ثانیه فراتر می‌رود، بخش عمده چرخه پردازنده به جای اجرای برنامه‌های کاربردی، صرف رسیدگی به وقفه‌ها و پاک‌سازی حافظه کش L1/L2 می‌شود. در شبکه‌های خصوصی مجازی، عبور هر بسته از رابط‌های مجازی TUN یا TAP هزینه‌های تازه‌ای پدید می‌آورد: جابه‌جایی فراداده میان هسته و دیمن‌های فضای کاربری و سوئیچ مکرر میان بسترهای اجرایی.

اتلاف حافظه در مبادلات داده میان فضای کاربری و هسته سیستم‌عامل

سرویس‌های تونل‌سازی در فضای کاربری، داده‌های شبکه را از توصیف‌گر فایل مجازی (/dev/net/tun) با فراخوانی‌های سیستمی نظیر read() یا recvmsg() دریافت می‌کنند. چنانچه این تونل داده‌ها را صرفاً در ابعاد بسته ۱۵۰۰ بایتی جابه‌جا کند، تبادل مداوم داده با نرخ ۱ گیگابیت بر ثانیه، سیستم‌عامل را وادار به انجام بیش از ۸۰ هزار سوئیچ محیط در هر ثانیه می‌کند.

هر بار جابه‌جایی میان فضای هسته و فضای کاربری، توقف بافر ترجمه نشانی (TLB)، سری‌سازی ثبات‌های پردازنده و رقابت بر سر گذرگاه حافظه را به همراه دارد. بدون به‌کارگیری سازوکارهای دسته‌ای، توان محاسباتی پردازنده بسیار زودتر از دستیابی کارت شبکه به ظرفیت اسمی پایان می‌پذیرد.

شتاب‌بخشی به ارسال: قابلیت TSO سخت‌افزاری و سازوکار Generic Segmentation Offload

برای رهایی از اشباع پردازنده در مسیر ارسال، کارشناسان شبکه فرایند تکه‌تکه کردن داده‌ها را به سخت‌افزار کارت شبکه واگذار کرده یا آن را تا مرز ورود به درایور به تعویق می‌اندازند.

ساخت ابربسته‌ها: حفظ ویژگی‌های پروتکل از طریق زمان‌بندی دقیق TCP

فناوری قطعه‌بندی سخت‌افزاری (TSO) به پشته پروتکل TCP این امکان را می‌دهد که داده‌ها را در قالب یک بلوک پیوسته تا سقف ۶۴ کیلوبایت (GSO_MAX_SIZE) سازمان‌دهی کند و کل آن را به‌عنوان یک واحد تبادل واحد ببیند. به جای قطعه‌قطعه کردن داده‌ها به بخش‌های ۱۴۶۰ بایتی در لایه سوکت:

  1. پشته انتقال یک ساختار بافر sk_buff می‌سازد که داده‌ای هم‌اندازه با ۴۵ فریم استاندارد را دربرمی‌گیرد.
  2. این ابربسته مسیر فایروال، قواعد کنترل تراکم و صف‌های کنترل کیفیت را یکجا می‌پیماید.
  3. موتور زمان‌بندی دقیق TCP فاصله زمانی استاندارد میان قطعات را حفظ می‌کند؛ همان‌گونه که در بررسی /news/bufferbloat-active-queue-management-vpn-fq-codel-cake تشریح شد.
  4. مدیریت شماره‌های ترتیب و بررسی پنجره لغزان تنها یک‌بار برای کل بسته ۶۴ کیلوبایتی انجام می‌گیرد.

از آنجا که بهره‌گیری از TSO نیازمند کدهای پردازشی اختصاصی در سخت‌افزار کارت شبکه است، هسته لینوکس قابلیت Generic Segmentation Offload (GSO) را تعریف کرد تا همین بهینه‌سازی را به شکل نرم‌افزاری برای تمام رابط‌ها، از جمله تونل‌های مجازی، فراهم آورد.

تحلیل اجرای skb_gso_segment(): قطعه‌بندی دیرهنگام در درایور شبکه

هنگامی که یک ابربسته به انتهای صف ارسال شبکه می‌رسد، هسته قابلیت‌های کارت شبکه (netdev->features) را می‌سنجد. اگر درایور یا سخت‌افزار از پرچم‌های NETIF_F_TSO یا NETIF_F_GSO پشتیبانی کند، بافر تجمیع‌شده مستقیماً به حافظه حلقوی ارسال سخت‌افزاری فرستاده می‌شود.

چنانچه رابط مقصد از قطعه‌بندی سخت‌افزاری پشتیبانی نکند، هسته تابع skb_gso_segment() را در تابع dev_hard_start_xmit() فراخوانی می‌کند تا تکه‌تکه کردن داده‌ها در آخرین گام به اجرا درآید:

struct sk_buff *skb_gso_segment(struct sk_buff *skb, netdev_features_t features)
{
    if (skb_needs_check(skb, true))
        return ERR_PTR(-EINVAL);

    /* تقسیم بار داده skb به بخش‌های هم‌اندازه MTU و تکثیر هدرها */
    return skb_mac_gso_segment(skb, features);
}

با موکول کردن تقسیم بسته‌ها به آخرین میلی‌ثانیه پیش از ارسال، ۹۵ درصد مسیر اجرایی هسته تنها یک ساختار داده را مدیریت می‌کند و بار تبادل داده بر روی گذرگاه حافظه به‌طور چشمگیری کاهش می‌یابد.

تجمیع در دریافت: عملکرد Generic Receive Offload (GRO) در چرخه NAPI

درحالی‌که GSO مسیر ارسال داده را شتاب می‌بخشد، ترافیک ورودی به سامانه‌ای قرینه نیاز دارد. یک درگاه پرسرعت شبکه، هزاران فریم مجزای ۱۵۰۰ بایتی را پذیرا می‌شود که پیش از انتقال به لایه‌های IP و TCP باید با یکدیگر ترکیب شوند.

ارزیابی دقیق پروتکل: ادغام داده‌های پیاپی و دارای ترتیب زمانی

فناوری Generic Receive Offload (GRO) در درون حلقه پردازش وقفه‌های نرم‌افزاری NAPI لینوکس عمل می‌کند. هنگامی که درایور داده‌ها را از بافر حلقوی استخراج می‌کند، تابع napi_gro_receive() هدر بسته‌ها را بررسی می‌کند تا از تعلق بسته‌های متوالی به یک نشست اطمینان یابد.

پیش از ادغام بسته‌ها، سازوکار GRO چند ویژگی حیاتی را با دقت می‌سنجد:

  • یکسانی کامل نشانی‌های مبدا و مقصد، پورت‌های دو سو و پروتکل ارتباطی.
  • پیوستگی کامل شماره‌های ترتیب بسته TCP بدون هیچ‌گونه جاافتادگی یا هم‌پوشانی.
  • یکنواختی و صحت برچسب‌های زمانی TCP Timestamps (مطابق استاندارد RFC 7323).
  • یکسانی مقادیر اعلان صریح تراکم (ECN) در تمامی فریم‌های تشکیل‌دهنده.

در صورت مشاهده کوچک‌ترین مغایرت در هدرها یا بروز بی‌نظمی در ترتیب دریافت، فرایند تجمیع متوقف شده و بافر فوراً به لایه‌های بالاتر تحویل می‌شود. این ارزیابی دقیق، درستی کارکرد الگوریتم‌های بازیابی داده نظیر /news/tcp-sack-rfc-6675-loss-recovery-pipe-algorithm-vpn و /news/tcp-rack-tlp-rfc-8985-time-based-loss-recovery-vpn را تضمین می‌کند.

کاهش پیمایش پشته شبکه: تحویل داده‌های تجمیعی ۶۴ کیلوبایتی به سوکت‌ها

پس از فرآیند تجمیع، یک بافر یکپارچه با حداکثر ۶۴ کیلوبایت داده تحویل پشته شبکه می‌شود. به جای اجرای ۴۰ باره قوانین فایروال و جداول مسیر برای ۶۰ کیلوبایت داده، هسته تمام محاسبات را در یک نوبت به پایان می‌رساند. برنامه دریافت‌کننده تنها با یک دستور read() داده‌ها را برمی‌دارد و مصرف پردازنده تا مرز ۷۰ درصد کاهش می‌یابد.

یکپارچه‌سازی رابط TUN: پرچم IFF_VNET_HDR و شتاب‌بخشی به UDP در VPN

در شبکه‌های رمزگذاری‌شده، مهم‌ترین گلوگاه سرعت در نقطه تماس میان پشته شبکه هسته و ماژول بسته‌بندی تونل قرار دارد.

انتقال فراداده‌های Virtio Net از مرز رابط کاربری /dev/net/tun

در گذشته، رابط /dev/net/tun لینوکس فراداده‌های آفلودینگ را نادیده می‌گرفت و کارت‌های شبکه مجازی را وادار به کار با قطعات کوچک MTU می‌کرد. برای رفع این ضعف، پرچم IFF_VNET_HDR به ساختار TUN/TAP افزوده شد.

با فعال‌سازی IFF_VNET_HDR توسط کلاینت یا سرور، هر بسته ارسالی به /dev/net/tun با ساختار struct virtio_net_hdr همراه می‌شود:

struct virtio_net_hdr {
    uint8_t  flags;       /* صحت چکسام یا الزام به محاسبه مجدد */
    uint8_t  gso_type;    /* نوع قطعه‌بندی VIRTIO_NET_HDR_GSO_TCPV4, UDP */
    uint16_t hdr_len;     /* مجموع طول هدرهای اترنت، آی‌پی و تی‌سی‌پی */
    uint16_t gso_size;    /* اندازه قطعات هدف در تقسیم‌بندی نهایی */
    uint16_t csum_start;  /* نقطه آغاز بازه محاسبه چکسام */
    uint16_t csum_offset; /* آفست جهت ثبت مقدار چکسام */
};

این هدر شیوه قطعه‌بندی را از مرز هسته به برنامه اطلاع می‌دهد. دیمن فضای کاربری کل ابربسته ۶۴ کیلوبایتی را با یک فرمان دریافت کرده و فراداده‌های GSO را نگه‌می‌دارد. سپس رمزنگاری داده‌ها را در حجم گسترده انجام داده و آن را بدون قطعه‌بندی واسط به کارت شبکه تحویل می‌دهد.

قطعه‌بندی UDP و سازوکار GRO در تونل‌های WireGuard و IPsec

امروزه بیشتر پروتکل‌های شبکه اختصاصی مجازی بسته‌ها را درون UDP جای می‌دهند. هسته لینوکس از نسخه ۴.۱۸ سازوکارهای UDP GSO (UDP_SEGMENT) و UDP GRO (UDP_GRO) را در دسترس قرار داد:

  1. ارسال دسته‌ای UDP GSO: به برنامه امکان می‌دهد بسته‌ای ۶۴ کیلوبایتی بسازد و اندازه بخش‌ها را از طریق ویژگی سوکت UDP_SEGMENT به هسته گزارش دهد.
  2. رمزنگاری برداری: پروتکل‌های تونل حجم‌های ۶۴ کیلوبایتی را با دستورات برداری پردازنده (مانند AVX-512 یا ARM NEON) رمز می‌کنند و نیاز به بارگذاری مکرر کلیدها برای بسته‌های خرد را از میان برمی‌دارند.
  3. توزیع سخت‌افزاری در خط: کارت شبکه عملیات جداسازی بسته‌ها را در لحظه ورود به بستر فیزیکی پیاده می‌کند و بهره‌وری کانال را بدون تکه‌تکه شدن بسته‌ها حفظ می‌نماید.

این معماری مانع از افت پهنای باند ناشی از اشباع بافر در فازهای آغازین اتصال می‌شود؛ چالشی که در پژوهش پیرامون /news/tcp-hystart-plus-rfc-9406-bufferbloat-slow-start-vpn به تفصیل تبیین شده است.

بهینه‌سازی معماری سامانه: موتور پردازش جریان با توان خروجی بالای RiceGuard

سامانه VPNRice این پیشرفت‌های ساختاری هسته را در قالب موتور بهینه‌سازی RiceGuard مستقیماً در پشته اتصالات خود به کار می‌بندد:

  • معماری TUN چندصفی: ایجاد صف‌های مجازی جداگانه برای هر هسته پردازشی به منظور حذف رقابت بر سر قفل‌های چرخشی در توزیع ترافیک.
  • بهره‌گیری کامل از هدر Vnet: سازگاری فراگیر با IFF_VNET_HDR و TUNSETOFFLOAD برای تبادل مستقیم ابربسته‌های ۶۴ کیلوبایتی میان ماژول رمزگذاری و هسته شبکه.
  • تجمیع هوشمند UDP GRO: تشخیص خودکار ظرفیت سوکت‌های گیرنده و تجمیع بسته‌های رمزنگاری‌شده پیش از تایید اعتبار امضاها.
  • حافظه حلقوی بدون کپی: اختصاص فضای حافظه هم‌راستا با خطوط کش پردازنده جهت به حداقل رساندن خطاهای TLB در جریان‌های سنگین چندگیگابیتی.

این بهینه‌سازی‌ها به VPNRice امکان می‌دهد بالاترین ظرفیت خطوط فیبر نوری و بسترهای 5G را فراهم سازد، بدون آنکه موجب گرمای نامتعارف سخت‌افزار یا اتلاف باتری دستگاه‌های همراه شود.

سنجش تجربی در لینوکس: پیکربندی و بررسی فعال‌بودن GSO و GRO

کارشناسان شبکه می‌توانند وضعیت آفلودینگ را در گیت‌وی‌های مبتنی بر لینوکس به کمک دستورات سیستمی ارزیابی و تنظیم کنند.

بررسی قابلیت‌های آفلودینگ کارت شبکه با استفاده از ابزار ethtool

ابزار ethtool وضعیت امکانات سخت‌افزاری را به نمایش گذاشته و امکان تغییر آن‌ها را فراهم می‌سازد:

# بررسی گزینه‌های فعال قطعه‌بندی بر روی رابط فیزیکی eth0
ethtool -k eth0 | grep -E "segmentation|receive-offload"

# نمونه خروجی:
# tcp-segmentation-offload: on
# generic-segmentation-offload: on
# generic-receive-offload: on
# large-receive-offload: off [fixed]

جهت فعال‌سازی این قابلیت‌ها بر روی کارت شبکه:

# اطمینان از فعال بودن GSO، GRO و TSO بر روی کارت شبکه خارجی
sudo ethtool -K eth0 gso on gro on tso on

# مشاهده آمار تجمیع بسته‌ها در سطح درایور
ethtool -S eth0 | grep -E "gro|gso|tso"

برای بهره‌مندی کامل از مزایای GSO و GRO، بافرهای شبکه سیستم باید گنجایش نگهداری بسته‌های ۶۴ کیلوبایتی را بدون سرریز شدن داشته باشند:

# ارتقای سقف حافظه بافرهای پایه هسته
sudo sysctl -w net.core.rmem_max=16777216
sudo sysctl -w net.core.wmem_max=16777216

# تنظیم آستانه‌های حافظه پشته TCP (حداقل، پیش‌فرض، حداکثر بر حسب صفحه)
sudo sysctl -w net.ipv4.tcp_rmem="4096 87380 16777216"
sudo sysctl -w net.ipv4.tcp_wmem="4096 65536 16777216"

# بررسی حدود ارسال بسته‌های GSO در رابط مجازی تونل
ip -d link show dev tun0

هماهنگ‌سازی توانمندی‌های کارت شبکه فیزیکی، رابط‌های مجازی TUN و بافرهای حافظه هسته، محدودیت‌های پردازش پیاپی را رفع کرده و پایداری پهنای باند سازمانی چندگیگابیتی را در بسترهای حفاظت‌شده تضمین می‌نماید.

دریافت VPNRice.