1. Τι είναι το eBPF;

Το eBPF (extended Berkeley Packet Filter) είναι ένα υποσύστημα πυρήνα του Linux που σας επιτρέπει να τρέχετε προγράμματα με αμμοσυσκευές μέσα στον πυρήνα χωρίς να τροποποιήσετε τον πηγαίο κώδικα του πυρήνα ή να φορτώσετε ενότητες του πυρήνα. Τα προγράμματα επαληθεύονται από ελεγκτή bytecode πυρήνα πριν από την εκτέλεση, εξασφαλίζοντας ασφάλεια.

Για δικτύωση, τα προγράμματα eBPF επισυνάπτονται σε στη στοίβα δικτύου του πυρήνα και μπορεί να επιθεωρήσει, τροποποιήσει, ανακατευθύνει, ή να ρίξει πακέτα. Το βασικό πλεονέκτημα έναντι ή τα δομοστοιχεία πυρήνα είναι η απόδοση και η προγραμματισιμότητα: τα προγράμματα eBPF είναι JIT-compiled σε εγγενή κώδικα και μπορούν να μοιραστούν την κατάσταση μέσω (αποθήκες βασικής αξίας που μοιράζονται μεταξύ πυρήνα και χώρου χρήστη).

Αγκίστρι	Τοποθεσία	Λαχανία	Χρήση περίπτωσης
XDP	Οδηγός NIC, πριν από την κατανομή sk buff	Χαμηλότερο	DDoS πτώση, εξισορρόπηση φορτίου
tc είσοδος/εξόδου	Μετά την κατανομή του sk buff	Χαμηλή	Διαμόρφωση κυκλοφορίας, σήμανση, ανακατευθύνσεις
φίλτρο υποδοχής	Διαδρομή λήψης υποδοχής	Μεσαίο	Φίλτρα τύπου tcpdump
kprobe/σημείο ανίχνευσης	Είσοδος/έξοδος λειτουργίας πυρήνα	Βάροι	Παρατηρησιμότητα, ιχνηλάτηση

2. XDP σημεία Hook

Τα προγράμματα XDP (eXpress Data Path) εκτελούνται στο νωρίτερο δυνατό σημείο της στοίβας δικτύου — μέσα στον οδηγό NIC, πριν ο πυρήνας διαθέσει ένα Αυτό σημαίνει:

• Ιθαγενής XDP
• Γενικευμένο XDPsk_buff
• Εκφόρτωση XDP

Ένα πρόγραμμα XDP επιστρέφει μία από τις πέντε ετυμηγορίες:

Κωδικός επιστροφής	Δράση
XDP_DROP	Απορρίψτε το πακέτο αμέσως — απόρριψη χαμηλότερης λανθάνουσας ισχύος
XDP_PASS	Μετάβαση στην κανονική στοίβα δικτύου
XDP_TX	Μεταδώστε πίσω έξω την ίδια διασύνδεση (αναπήδηση)
XDP_REDIRECT	Ανακατεύθυνση σε άλλη διασύνδεση ή υποδοχή AF XDP
XDP_ABORTED	Διαδρομή σφάλματος — πτώση με ιχνοστοιχείο

3. Παράδειγμα πτώσης πακέτων XDP

Το παρακάτω πρόγραμμα ρίχνει όλα τα πακέτα UDP από ένα πηγαίο IP αποθηκευμένο σε ένα χάρτη eBPF, επιτρέποντας σε ένα αεροπλάνο ελέγχου χώρου χρήστη να ενημερώσει τη λίστα μπλοκ στο χρόνο λειτουργίας.

// xdp_drop_udp.c — Drop UDP from IPs in a BPF map
#include 
#include 
#include 
#include 
#include 

// BPF map: src IP → drop flag (1 = drop)
struct {
    __uint(type, BPF_MAP_TYPE_HASH);
    __uint(max_entries, 1024);
    __type(key, __u32);    // source IPv4 address
    __type(value, __u32);  // 1 = block
} blocklist SEC(".maps");

SEC("xdp")
int xdp_drop_udp(struct xdp_md *ctx) {
    void *data     = (void *)(long)ctx->data;
    void *data_end = (void *)(long)ctx->data_end;

    // Parse Ethernet header
    struct ethhdr *eth = data;
    if ((void *)(eth + 1) > data_end) return XDP_PASS;
    if (eth->h_proto != __constant_htons(ETH_P_IP)) return XDP_PASS;

    // Parse IPv4 header
    struct iphdr *ip = (void *)(eth + 1);
    if ((void *)(ip + 1) > data_end) return XDP_PASS;
    if (ip->protocol != IPPROTO_UDP) return XDP_PASS;

    // Check blocklist map
    __u32 src = ip->saddr;
    __u32 *val = bpf_map_lookup_elem(&blocklist, &src);
    if (val && *val == 1) return XDP_DROP;

    return XDP_PASS;
}

char _license[] SEC("license") = "GPL";

Φόρτωση και σύνδεση με :

# Compile
clang -O2 -target bpf -c xdp_drop_udp.c -o xdp_drop_udp.o

# Attach to interface (native XDP)
ip link set eth0 xdp obj xdp_drop_udp.o sec xdp

# Add an IP to the blocklist via bpftool
bpftool map update name blocklist key 0x01 0x02 0x03 0x04 value 0x01 0x00 0x00 0x00

# Remove XDP program
ip link set eth0 xdp off

4. AF XDP: Kernel-απόβαση

AF_XDPXDP_REDIRECT

Βασικά συστατικά:

• UMEM
• Δαχτυλίδια
• Λειτουργία μηδενικής αντιγραφής

Το AF XDP είναι ιδανικό για την προσαρμοσμένη επεξεργασία πακέτων σε ρυθμό γραμμής χωρίς την επιχειρησιακή πολυπλοκότητα του DPDK (όχι τεράστιες σελίδες, δεν απαιτείται καρφίτσα CPU για βασική χρήση).

5. tc BPF: Shaping κυκλοφορίας & φιλτράρισμα

tcclsactsk_buff

// tc_mark.c — Mark packets with DSCP EF (46) for VoIP traffic on port 5060
#include 
#include 
#include 
#include 
#include 

SEC("classifier")
int tc_mark_voip(struct __sk_buff *skb) {
    void *data     = (void *)(long)skb->data;
    void *data_end = (void *)(long)skb->data_end;

    struct ethhdr *eth = data;
    if ((void *)(eth + 1) > data_end) return TC_ACT_OK;
    if (eth->h_proto != __constant_htons(ETH_P_IP)) return TC_ACT_OK;

    struct iphdr *ip = (void *)(eth + 1);
    if ((void *)(ip + 1) > data_end) return TC_ACT_OK;
    if (ip->protocol != IPPROTO_UDP) return TC_ACT_OK;

    struct udphdr *udp = (void *)(ip + 1);
    if ((void *)(udp + 1) > data_end) return TC_ACT_OK;

    // Mark SIP traffic (port 5060) with DSCP EF (46 = 0xB8 in TOS byte)
    if (udp->dest == __constant_htons(5060) || udp->source == __constant_htons(5060)) {
        // DSCP EF = 46, shifted left 2 bits in TOS field = 184 (0xB8)
        bpf_skb_store_bytes(skb, offsetof(struct iphdr, tos) + sizeof(struct ethhdr),
                            &((__u8){184}), 1, BPF_F_RECOMPUTE_CSUM);
    }
    return TC_ACT_OK;
}

char _license[] SEC("license") = "GPL";

# Attach tc BPF program
tc qdisc add dev eth0 clsact
tc filter add dev eth0 egress bpf da obj tc_mark.o sec classifier

6. Περιορισμός ρυθμού με χάρτες eBPF

Οι χάρτες eBPF επιτρέπουν την αποτελεσματική επεξεργασία. Το ακόλουθο μοτίβο υλοποιεί τον περιορισμό του συντελεστή ανά πηγή-IP χρησιμοποιώντας ένα δοχείο token που αποθηκεύεται σε ένα :

// Conceptual token bucket per source IP — checks tokens, drops if exceeded
struct ratelimit_entry {
    __u64 tokens;        // current token count
    __u64 last_update;   // nanoseconds timestamp
};

struct {
    __uint(type, BPF_MAP_TYPE_LRU_HASH);
    __uint(max_entries, 65536);
    __type(key, __u32);                     // source IP
    __type(value, struct ratelimit_entry);
} rate_map SEC(".maps");

// In XDP program:
// 1. bpf_ktime_get_ns() — get current time
// 2. Lookup entry for src IP
// 3. Refill tokens: tokens += (elapsed_ns / 1e9) * rate_pps
// 4. If tokens >= 1: decrement and XDP_PASS
// 5. Else: XDP_DROP

7. bpftool & bpftrace ενδοσκόπηση

Δύο βασικά εργαλεία για τη συνεργασία με ζωντανά προγράμματα eBPF:

# bpftool — inspect loaded programs and maps
bpftool prog list                         # list all loaded eBPF programs
bpftool prog show id 42                   # details for program ID 42
bpftool prog dump xlated id 42            # disassemble to eBPF bytecode
bpftool prog dump jited id 42            # dump JIT-compiled native code
bpftool map list                          # list all BPF maps
bpftool map dump name blocklist           # dump all entries in map "blocklist"
bpftool map update name blocklist \
    key 192 168 1 100 value 1 0 0 0       # add entry (network byte order)

# bpftrace — DTrace-style one-liners for kernel tracing
# Count XDP drops per second
bpftrace -e 'tracepoint:xdp:xdp_exception { @drops[args->action] = count(); } interval:s:1 { print(@drops); clear(@drops); }'

# Trace tcp_retransmit_skb — show retransmit events with comm name
bpftrace -e 'kprobe:tcp_retransmit_skb { printf("%s retransmit\n", comm); }'

# Histogram of packet sizes on eth0
bpftrace -e 'tracepoint:net:netif_receive_skb /args->name == "eth0"/ { @size = hist(args->len); }'

8. Σύγκριση: eBPF/XDP έναντι DPDK έναντι RDMA

Χαρακτηριστικό	eBPF/XDP	ΔΠΔΚ	RDMA
Συμμετοχή του πυρήνα	Ελάχιστο (XDP στον οδηγό)	Καμία (πλήρης παράκαμψη)	Καμία (RDMA NIC)
Μοντέλο μνήμης	Πρότυπο + AF XDP UMEM	Απαιτούνται τεράστιες σελίδες	Εγγεγραμμένες περιοχές μνήμης
Μέγιστη διόδου	~100 Gbps ιθαγενές XDP	> 100 Gbps	200 + Gbps (InfiniBand)
Χρήση ΚΜΕ	Χαμηλή (με γνώμονα το γεγονός)	Υψηλή (πυρήνες busy-poll)	Κοντά στο μηδέν (εκφορτώθηκε)
Πολυπλοκότητα επιχειρήσεων	Χαμηλά — τυποποιημένα εργαλεία	Υψηλοί — αφιερωμένοι πυρήνες, τεράστιες σελίδες	Υψηλή — διαχείριση υφασμάτων
Υπόθεση χρήσης	Μετριασμός DDoS, LB, παρατηρησιμότητα	Εικονικοί δρομολογητές, NFV, πακέτο gen	Αποθήκευση (NVMe-oF), HPC MPI
Γλώσσα	Περιορισμένη C/Rust	Γ / Ραστ	Ρήματα API (C)