Elastic Compute Service:Menggunakan Shared Memory Communication (SMC)

Konversi tingkat namespace jaringan

Aktifkan konversi soket transparan untuk namespace jaringan saat ini:

sudo sysctl net.smc.tcp2smc=1

Soket TCP baru dalam namespace tersebut akan dikonversi menjadi soket SMC. Soket TCP yang sudah ada tidak terpengaruh.

Jalankan aplikasi Anda secara normal:

./redis-server

Untuk menonaktifkan konversi (soket SMC yang sudah ada akan terpengaruh):

sudo sysctl net.smc.tcp2smc=0

Konversi tingkat proses

Tambahkan awalan smc_run pada aplikasi apa pun untuk mengonversi hanya soket TCP proses tersebut:

smc_run ./redis-server

smc_run menggunakan LD_PRELOAD untuk memuat libsmc-preload.so, yang mencegat pembuatan soket di glibc. Aplikasi yang tidak ditautkan ke glibc atau dikompilasi secara statis tidak dapat menggunakan metode ini.

Muat tool smc-ebpf

sudo smc-ebpf policy load

Output sukses:

Registered smc_sock_negotiator_ops anolis_smc id xxx

Jika perintah gagal:

• Verifikasi versi kernel adalah ANCK 5.10.134-016 atau lebih baru: uname -r

• Pastikan Anda memiliki izin untuk memuat program BPF. Penyebab umum adalah kontainer pod tidak memiliki kemampuan memuat program BPF, atau tingkat hak istimewa Anda tidak mencukupi. Anda dapat berkonsultasi dengan penyedia lingkungan Anda untuk informasi lebih lanjut.

Konfigurasi kebijakan port

Setelah memuat smc-ebpf, setiap port tanpa kebijakan yang cocok secara default diblokir dari penggunaan SMC. Atur port 0 ke enable untuk membalikkan default ini sehingga port yang tidak cocok diizinkan:

sudo smc-ebpf policy config --port 0 --mode enable

Atur kembali port 0 ke disable untuk mengembalikan default:

sudo smc-ebpf policy config --port 0 --mode disable

Contoh 1: Izinkan hanya port 80, blokir semua port lainnya

sudo smc-ebpf policy config --port 80 --mode enable

Verifikasi kebijakan:

sudo smc-ebpf policy dump

Contoh output ("mode": 2 = diizinkan, "mode": 0 = diblokir):

[{
    "key": 80,
    "value": {
        "mode": 2,
        ...
    }
}]

Hapus kebijakan jika tidak lagi diperlukan:

sudo smc-ebpf policy delete --port 80

Contoh 2: Blokir hanya port 80, izinkan semua port lainnya

sudo smc-ebpf policy config --port 0 --mode enable
sudo smc-ebpf policy config --port 80 --mode disable

Konfigurasi kebijakan alamat IPv4

Kebijakan alamat IPv4 mengontrol apakah klien menggunakan negosiasi SMC saat terhubung ke IP server tertentu. Perilaku soket server tidak terpengaruh.

Setelah memuat smc-ebpf, setiap IP server tanpa kebijakan yang cocok secara default diizinkan menggunakan SMC (berlawanan dengan default kebijakan port).

Atur 0.0.0.0/32 ke disable untuk membalikkan default ini:

sudo smc-ebpf policy config --ip 0.0.0.0 --mask 32 --mode disable

Atur kembali ke enable untuk mengembalikan default:

sudo smc-ebpf policy config --ip 0.0.0.0 --mask 32 --mode enable

Contoh 1: Izinkan SMC hanya untuk 192.168.2.0/24, blokir semua IP server lainnya

sudo smc-ebpf policy config --ip 0.0.0.0 --mask 32 --mode disable
sudo smc-ebpf policy config --ip 192.168.2.0 --mask 24 --mode enable

Verifikasi:

sudo smc-ebpf policy dump

Contoh output:

key:     0.0.0.0/32           value:   "denied"
key:     192.168.2.0/24       value:   "pass"

Hapus kebijakan jika tidak lagi diperlukan:

sudo smc-ebpf policy delete --ip 192.168.2.0 --mask 24
sudo smc-ebpf policy delete --ip 0.0.0.0 --mask 32

Contoh 2: Blokir SMC hanya untuk 192.168.2.0/24, izinkan semua IP server lainnya

sudo smc-ebpf policy config --ip 192.168.2.0 --mask 24 --mode disable

Tidak diperlukan perintah tambahan. IP yang tidak cocok diizinkan secara default.

Bersihkan semua kebijakan

sudo smc-ebpf policy clear

Perintah ini menghapus semua kebijakan dan mengembalikan default: semua port diblokir, semua IP diizinkan. Karena kebijakan port dan IP dievaluasi dengan logika AND, semua koneksi diblokir dari penggunaan SMC.

Cegah komunikasi SMC-R lintas zona dengan EID

Untuk performa terbaik, gunakan SMC-R dalam zona tunggal dan TCP lintas zona. Menambahkan ID zona sebagai EID menerapkan aturan ini secara otomatis.

Metode 1: Konfigurasi langkah demi langkah

# Dapatkan ID zona dari metadata instans
ZONE_ID=$(curl -s -m 1 100.100.100.200/latest/meta-data/zone-id | tr "[:lower:]" "[:upper:]")

# Tambahkan ID zona sebagai EID
sudo smcr ueid add $ZONE_ID

# Hapus EID default
smcr ueid | grep SMCV2-DEFAULT-UEID > /dev/null && sudo smcr ueid del SMCV2-DEFAULT-UEID

Metode 2: Gunakan layanan aliyunsmc-ueid (satu perintah)

sudo systemctl start aliyunsmc-ueid

Layanan ini secara otomatis menambahkan ID zona sebagai EID dan menghapus EID default.

Karena konfigurasi EID tidak persisten setelah reboot, aktifkan layanan agar berjalan otomatis:

sudo systemctl enable aliyunsmc-ueid

Asosiasikan antarmuka veth Pod dengan ERI host

Pada pengaturan kontainer mandiri di mana beberapa Pod berbagi ERI host, tetapkan PNET ID yang sama untuk antarmuka Ethernet virtual Pod (veth) dan ERI host. Stack kernel SMC-R kemudian dapat mendeteksi ERI host dan mempercepat trafik jaringan kontainer.

1. Tetapkan PNET ID untuk antarmuka veth (eth0 dalam contoh ini) di dalam namespace jaringan kontainer:

   sudo ip netns exec <pod netns> smc_pnet -a <PNET ID> -I eth0

2. Tetapkan PNET ID yang sama untuk ERI host (erdma_0 dalam contoh ini):

   sudo smc_pnet -a <PNET ID> -D erdma_0