[분석] DDoS 환경에서 OVS kernel datapath 성능 붕괴

문제 상황

• 무작위 소스 IP·포트를 이용한 SYN 플러딩으로 OVS 플로우 지역성 상실
• 처리량 급감과 정상 트래픽 처리 불능 가능성

구조와 흐름

• 플로우 미스마다 Generic Netlink 기반 ovs-vswitchd 업콜 발생
• CPU별 mask_cache 실패 후 mask_array 선형 순회와 TSS 조회 수행
• RCU와 CPU별 자료구조 기반의 락 없는 병렬 조회 구조

원인 분석

• 업콜 스톰에 따른 문맥 전환·넷링크 직렬화·유저스페이스 처리 비용 증가
• 완화 규칙 증가에 따른 마스크 수 증가와 TSS O(N) 조회 비용 확대
• 무작위 skb_hash에 따른 캐시 스래싱과 리밸런서·RCU 동기화 오버헤드

해결 방법

• NIC 드라이버 단계 eBPF/XDP 사전 필터링으로 OVS 인그레스 이전 악성 패킷 드롭
• XDP 미지원 환경의 TC ingress cls_bpf 적용과 NIC 하드웨어 오프로드 활용
• mask_hits/lookups, masks, missed, n_cache_hit 기반 데이터패스 고갈 모니터링