拜登宣誓一小時後,WHO的第一份賀禮是修改病毒檢測標準建議,篩除弱陽性,把確診的門檻提高:
//WHO指南SARS-CoV-2的診斷測試指出,需要對弱陽性結果進行仔細的解釋。檢測病毒所需的周期閾值(Ct)與患者的病毒載量成反比。如果測試結果與臨床表現不符,則應使用相同或不同的NAT技術採集新樣本並重新測試。
多數PCR檢測方法均被指示為診斷的輔助手段,因此,醫療保健提供者必須結合採樣時間、樣本類型、檢測方法細節、臨床觀察、患者病史、任何接觸者的確診狀態以及流行病學信息來考慮任何結果。//
福奇去年7月解釋,測得Ct高於35可能是得病毒碎片或死病毒,極低機會傳染或發病。而暫時在每次測試都報告Ct值的,得佛州這樣做。美國專家分析,如果這個判斷成立的話,美國的實際確診案例將會由2430萬減至243萬,引伸以2430萬為基數得出的死亡數字不可作準,誇大了病毒的殺傷力,「我們不能單憑從死者的鼻孔挖出了病毒碎片就認定他是死於Covid-19」。
所以,拜登很快就會被說成是有效控制疫情的英雄,主流傳媒將會歸功於他的100日口罩挑戰,追究特朗普的疫責,而大眾亦將會信以為真,看不見全拜賀禮所賜。
美國一定跟修,香港呢?
作者
「nat類型測試」的推薦目錄:
- 關於nat類型測試 在 作者 Facebook
- 關於nat類型測試 在 矽谷牛的耕田筆記 Facebook
- 關於nat類型測試 在 [心得] 租屋處NAT類型修改- 看板NSwitch - 批踢踢實業坊 的評價
- 關於nat類型測試 在 [問題] NAT問題- xbox | PTT遊戲區 的評價
- 關於nat類型測試 在 nat類型b在PTT/Dcard完整相關資訊 - 媽媽最愛你 的評價
- 關於nat類型測試 在 nat類型b在PTT/Dcard完整相關資訊 - 媽媽最愛你 的評價
- 關於nat類型測試 在 有何方法可以測試NAT下port是否被阻擋?! - Mobile01 的評價
- 關於nat類型測試 在 [討論]NAT TYPE C嚴重影響劍盾各連網機能(含交換 的評價
- 關於nat類型測試 在 [討論]NAT TYPE C嚴重影響劍盾各連網機能(含交換 的評價
- 關於nat類型測試 在 [心得] SWITCH 網路連線NAT type C to type A - 看板NSwitch 的評價
- 關於nat類型測試 在 [討論]NAT TYPE C嚴重影響劍盾各連網機能(含交換| NSwitch 看板 的評價
nat類型測試 在 矽谷牛的耕田筆記 Facebook 八卦
本文延續前篇效能校正的經驗談,上篇文章探討了關於應用程式本身可以最佳化的部分,包含了應用程式以及框架兩個部分。本篇文章將繼續剩下最佳化步驟的探討。
Speculative Execution Mitigations
接下來探討這個最佳化步驟對於效能有顯著的提升,但是本身卻是一個非常具有爭議性的步驟,因為其涉及到整個系統的安全性問題。
如果大家對前幾年非常著名的安全性漏洞 Spectre/Meltdown 還有印象的話,本次這個最佳化要做的就是關閉這類型安全性漏洞的處理方法。
標題的名稱 Speculative Execution Migitations 主要跟這漏洞的執行概念與 Pipeline 有關,有興趣理解這兩種漏洞的可以自行研究。
作者提到,大部分情況下這類型的防護能力都應該打開,不應該關閉。不過作者認為開關與否應該是一個可以討論的空間,特別是如果已經確認某些特別情境下,關閉防護能力帶來的效能如果更好,其實也是一個可以考慮的方向。
舉例來說,假設今天你運行了基於 Linux 使用者權限控管與 namespaces 等機制來建立安全防護的多使用者系統,那這類型的防護能力就不能關閉,必須要打開來防護確保整體的 Security Boundary 是完整的。 但是如果今天透過 AWS EC2 運行一個單純的 API Server,假設整個機器不會運行任何不被信任的程式碼,同時使用 AWS Nitro Enclaves 來保護任何的機密資訊,那這種情況下是否有機會可以關閉這類型的檢查?
作者根據 AWS 對於安全性的一系列說明認為 AWS 本身針對記憶體的部分有很強烈的保護,包含使用者之間沒有辦法存取 Hyperviosr 或是彼此 instance 的 Memory。
總之針對這個議題,有很多的空間去討論是否要關閉,以下就單純針對關閉防護能力帶來的效能提升。
作者總共關閉針對四種攻擊相關的處理能力,分別是
Spectre V1 + SWAPGS
Spectre V2
Spectre V3/Meltdown
MDS/Zombieload, TSX Anynchronous Abort
與此同時也保留剩下四個,如 iTLB multihit, SRBDS 等
這種設定下,整體的運作效能再次提升了 28% 左右,從 347k req/s 提升到 446k req/s。
註: 任何安全性的問題都不要盲從亂遵循,都一定要評估判斷過
Syscall Auditing/Blocking
大部分的情況下,Linux/Docker 處理關於系統呼叫 Auditing/Blocking 兩方面所帶來的效能影響幾乎微乎其微,不過當系統每秒執行數百萬個系統呼叫時,這些額外的效能負擔則不能忽視,如果仔細觀看前述的火焰圖的話就會發線 audit/seccomp 等數量也不少。
Linux Kernel Audit 子系統提供了一個機制來收集與紀錄任何跟安全性有關的事件,譬如存取敏感的機密檔案或是呼叫系統呼叫。透過這些內容可以幫助使用者去除錯任何不被預期的行為。
Audit 子系統於 Amazon Linux2 的環境下預設是開啟,但是本身並沒有被設定會去紀錄系統呼叫的資訊。
即使 Audit 子系統沒有真的去紀錄系統呼叫的資訊,該子系統還是會對每次的系統呼叫產生一點點的額外處理,所以作者透過 auditctl -a never,task 這個方式來將整體關閉。
註: 根據 Redhat bugzilla issue #1117953, Fedora 預設是關閉這個行為的
Docker/Container 透過一連串 Linux Kernel 的機制來隔離與控管 Container 的執行權限,譬如 namespace, Linux capabilities., cgroups 以及 seccomp。
Seccomp 則是用來限制這些 Container 能夠執行的系統呼叫類型
大部分的容器化應用程式即使沒有開啟 Seccomp 都能夠順利的執行,執行 docker 的時候可以透過 --security-opt seccomp=unconfined 這些參數告訴系統運行 Container 的時候不要套用任何 seccomp 的 profile.
將這兩個機制關閉後,系統帶來的效能提升了 11%,從 446k req/s 提升到 495k req/s。
從火焰圖來看,關閉這兩個設定後,syscall_trace_enter 以及 syscall_slow_exit_work 這兩個系統呼叫也從火焰圖中消失,此外作者發現 Amazon Linux2 預設似乎沒有啟動 Apparmor 的防護,因為不論有沒有關閉效能都沒有特別影響。
Disabling iptables/netfilter
再來的最佳化則是跟網路有關,大名鼎鼎的 netfilter 子系統,其中非常著名的應用 iptables 可以提供如防火牆與 NAT 相關功能。根據前述的火焰圖可以觀察到,netfilter 的進入 function nf_hook_slow 佔據了大概 18% 的時間。
將 iptables 關閉相較於安全性來說比較沒有爭議,反而是功能面會不會有應用程式因為 iptables 關閉而不能使用。預設情況下 docker 會透過 iptables 來執行 SNAT與 DNAT(有-p的話)。
作者認為現在環境大部分都將 Firewall 的功能移到外部 Cloud 來處理,譬如 AWS Security Group 了,所以 Firewall 的需求已經減少,至於 SNAT/DNAT 這類型的處理可以讓容器與節點共享網路來處理,也就是運行的時候給予 “–network=host” 的模式來避免需要 SNAT/DNAT 的情境。
作者透過修改腳本讓開機不會去預設載入相關的 Kernel Module 來達到移除的效果,測試起來整體的效能提升了 22%,從 495k req/s 提升到 603k req/s
註: 這個議題需要想清楚是否真的不需要,否則可能很多應用都會壞掉
作者還特別測試了一下如果使用 iptables 的下一代框架 nftables 的效能,發現 nftables 的效能好非常多。載入 nftables 的kernel module 並且沒有規則的情況下,效能幾乎不被影響(iptables 則相反,沒有規則也是會影響速度)。作者認為採用 nftables 似乎是個更好的選擇,能夠有效能的提升同時也保有能力的處理。
不過 nftables 的支援相較於 iptables 來說還是比較差,不論是從 OS 本身的支援到相關第三方工具的支援都還沒有這麼完善。就作者目前的認知, Debian 10, Fedora 32 以及 RHEL 8 都已經轉換到使用 nftables 做為預設的處理機制,同時使用 iptables-nft 這一個中介層的轉換者,讓所有 user-space 的規則都會偷偷的轉換為底層的 nftables。
Ubuntu 似乎要到 20.04/20.10 的正式版本才有嘗試轉移到的動作,而 Amazon Linux 2 依然使用 iptables 來處理封包。
下篇文章會繼續從剩下的五個最佳化策略繼續介紹
https://talawah.io/blog/extreme-http-performance-tuning-one-point-two-million/
nat類型測試 在 [問題] NAT問題- xbox | PTT遊戲區 的八卦
我家是hinet光世代的網路(送無線分享器的那個案子) 連線測試說您的NAT類型為完全或 ... 但我的畫面顯示的跟01截圖不同找不到NAT的標籤,只有NAT Port Forwarding,且也 ... ... <看更多>
nat類型測試 在 nat類型b在PTT/Dcard完整相關資訊 - 媽媽最愛你 的八卦
TW#p/u (註:影片無法.nat type測試-2021-04-10 | 輕鬆健身去【問題】請問NAT類型@NS / Nintendo Switch 哈啦板- 巴哈姆特今天家裡裝了網... 頻道」: ... ... <看更多>
nat類型測試 在 [心得] 租屋處NAT類型修改- 看板NSwitch - 批踢踢實業坊 的八卦
前幾天詢問關於修改NAT類型
今天終於修改成功了!跟大家分享我的例子
我的網路架構
房東的小烏龜(I-040GW)
||||||||
我房間的路由器 (D-Link DIR-822)
||||||||
兩台switch+手機+PC
一開始的設定:
路由器的連線方式是DHCP,然後不用特別設定什麼就可以連線了
那就遇到跟大部分的人遇到一樣的問題
連線類型是NAT C
之後研究了幾天,消化了一堆資料之後
我的處理方法是這樣
首先先去跟房東拿中華電信的PPPoE帳號密碼
接著這樣設定(就這個步驟最重要)
1.路由器設定PPPoE連線,輸入中華電信的帳號密碼,重新連線模式選一直打開
做到這邊基本上就會是NAT B了
因為我有兩台主機,所以我選擇設定連接埠轉發
但在這之前要先知道你的switch用的連線ip
Switch點選設定》網路,右邊表格的ip位址就是了
2.進入連接埠,打上剛剛看到的switch使用的ip ,接著在UDP的選項中輸入1-65535
儲存後,switch做連接測試
就搞定惹
懶人包:
1.一定要有PPPoE帳號密碼
2.我的路由器接線就是一般的牆壁接WAN(internet),電腦接LAN這樣,沒有特別做調整
3.DMZ跟連接埠轉發則一設定即可,因為我有兩台主機所以用後者(不知道是我沒找到還是
真的只能設定一個ip做DMZ設定)
4.不需要關閉路由器的DHCP功能,關掉之後我的手機wifi直接跑掉(應該是我沒設定好,不
過能用就無所謂了)
對了,用5G wifi的話記得要調整頻道哦
以上給大家參考
10/05更新
昨天晚上才設定第二台NS,結果要開port的時候跟我說重複了,開DMZ也無解,詢問過D-Lin
k,廠商告知無法重複設定同一組UDP連接埠
今晚可能再試試看把路由當作集線器用吧,前幾次好像是沒把路由器設定到小烏龜的網段裡
(192.168.1.x)
然後也不確定小烏龜的UPnP有沒有開,這次再調整看看
另外,小烏龜跟路由器的pppoe帳號不同應該不會有影響吧?
小烏龜的是wifi.hinet.net,房東給我的是hinet.net
--------------------------------
10/06更新
隔天要設定第二台的時候才發現不能重複設定port
而且照著上面設定,兩台連線好像會出問題 (A可以進B、B不能進A這種)
最後我把port的設定拿掉,再開啟UPnP
雖然這樣兩台都是B,但都可以正常連線惹
--
※ 發信站: 批踢踢實業坊(ptt.cc), 來自: 118.167.133.45 (臺灣)
※ 文章網址: https://www.ptt.cc/bbs/NSwitch/M.1570113906.A.721.html
※ 編輯: H1506789 (36.227.120.66 臺灣), 10/06/2019 11:43:09
... <看更多>