К сожалению негде проверить на 10G. Если кто-то имеет возможность, то было бы здорово.
Если я не ошибаюсь, то с nfqfilter'ом это делается путём запуска нескольких процессов(по одному на каждую очередь). Это значит расход памяти увеличивается в n-раз, где n кол-во процессов. И управлять кучей процессов не так просто, как с одним, хотя при наличии хорошего обёрточного скрипта не сложно.
Этого пока нет, но тут не вижу особых сложностей.
А какие тут проблемы? Всё делается через cgroup.
Это есть.
Это есть. Разве в nfqfilter этого нет :-\?..
Этого нет. Если кто-то добавит, то будет.
Возможно. Но прирост производительности вряд ли будет большой(в сравнению с dpdk, тем более) и думаю этот прирост не перекроет ненадёжность этого варианта. Любой segfault в модуле - kernel panic(повисшая система -> прекращение хождения трафика). В пространстве же пользователя такое приложение перезапускается супервизором и разрыв минимален и не заметен в массе.
