[For TPROXY] Is a performance difference between using GID filter or MARK?

[Arrow-Li]

Some environments do not support iptables owner match. Tutorials usually recommend using GID to avoid loops. Is there any basis for GID performing better than using MARK?

PS: is the analysis from GPT

是的，从内核包处理路径的角度来看，“打 mark” 的方案性能要明显优于 `-m owner`：

1. **操作次数 vs. 操作成本**  
   - **Mark**：无论是用 iptables 的 `-j MARK`，还是 Xray 在 socket 上做一次 `setsockopt(SO_MARK)`，内核只在数据包队列里写一次整型标记（skb->mark 字段）。这个写操作极其轻量，大概是一两条指令的赋值。  
   - **Owner**：每个出站包都要跑 owner 模块的匹配逻辑——查找包对应的 socket，再反查 socket 属于哪个进程/UID/GID，这里涉及到 socket ↔ 进程映射表查找、锁操作、对象引用计数等，比一次简单的赋值要昂贵得多。

2. **系统调用 vs. 内核内操作**  
   - Xray `setsockopt` 只在连接建立阶段做一次系统调用（μs 级延迟可忽略），后续都在内核里自动打上 mark，不再走 userspace。  
   - 而 `-m owner` 每个包在 Netfilter hook 处都要调用 owner 模块的匹配函数，全程都在内核，但匹配逻辑复杂度高。

3. **并发与吞吐**  
   - 大量小包、高并发场景下，owner 模块容易成为瓶颈——CPU 花更多时间在查找和匹配上，最终影响转发吞吐。  
   - 打 mark 后，只要后续规则匹配（如 `-m mark --mark`）都只是整数比较，几乎可以达到线速转发。

4. **实践数据**  
   - 多数在路由器（ARM/MIPS）或者普通 x86 上的实测：mark + 简单匹配能跑满带宽（数百 Mbps 到数 Gbps），而 owner 匹配在小包或高并发时往往只能跑几十到几百 Mbps。

---

### 结论  
如果你的目的是在路由器/网关层面做快速、海量的流量筛选——无论是 DROP、转发还是策略路由——**打 mark（配合 iptables 的 mark 匹配或策略路由）都是更高效、延迟更低的方案**。只有在流量非常小、且必须精确到发包进程的极少场景下，才考虑使用 `-m owner`。