Fast iACL
Fast iACL это аббревиатура к ingressACL и представляет собой возможность фильтрации входящего трафика на самой ранней стадии и без учета состояния. Fast iACL основан на имеющейся в ядре Линукс подсистеме XDP и не использует eBPF. Больше информации о XDP можно получить тут.
На стадии, когда образ кадра/пакета перенесен из сетевого адаптера в кольцевой буфер драйвера (т.е. до выделения структуры sk_buff и копирования туда образа кадра), проводится анализ заголовков по отношению к набору правил. При достижении запрещающего правила, дальнейшая обработка прекращается, кадр отбрасывается (XDP_DROP). В противном случае, обработка образа продолжается в сетевом стеке (XDP_PASS). Например, далее может быть применен механизм FastRouting.
Такой подход часто позволяет получить выигрыш в производительности.
Прирост производительности в тестах зависит от типа трафика и сценария использования и составляет до 1000% в PPS.