1. eBPF nədir?

eBPF (genişləndirilmiş Berkeley Paket Filtri) nüvə mənbə kodunu dəyişdirmədən və ya nüvə modullarını yükləmədən kernel daxilində sandboxed proqramları işə salmağa imkan verən Linux nüvə alt sistemidir. Proqramlar təhlükəsizliyi təmin etmək üçün icradan əvvəl kernel bayt kodu yoxlayıcısı tərəfindən yoxlanılır.

Şəbəkə üçün eBPF proqramları əlavə olunurqarmaq nöqtələrinüvənin şəbəkə yığınındadır və paketləri yoxlaya, dəyişdirə, yönləndirə və ya buraxa bilər. Üzərində əsas üstünlükiptablesvə ya kernel modulları performans və proqramlaşdırıla bilir: eBPF proqramları yerli koda JIT tərəfindən tərtib edilir və vəziyyəti paylaşa bilərxəritələr(kernel və istifadəçi sahəsi arasında paylaşılan açar-dəyər anbarları).

Qarmaq	Məkan	Gecikmə	İstifadə Case
XDP	NIC sürücüsü, sk_buff ayrılmasından əvvəl	Ən aşağı	DDoS düşməsi, yük balansı
tc giriş/çıxış	sk_buff ayrıldıqdan sonra	Aşağı	Trafikin formalaşdırılması, işarələnməsi, yönləndirilməsi
yuva filtri	Soket qəbul yolu	Orta	tcpdump üslubunda filtrləmə
kprobe/tracepoint	Kernel funksiyasının giriş/çıxışı	Fərqli olur	Müşahidə, izləmə

2. XDP çəngəl nöqtələri

XDP (eXpress Data Path) proqramları şəbəkə yığınının mümkün olan ən erkən nöqtəsində - NIC sürücüsünün daxilində, nüvə bir məlumat ayırmadan əvvəl işləyir.sk_buff. Bu o deməkdir:

Doğma XDP: Sürücü yerli olaraq XDP-ni dəstəkləyir (Intel i40e, Mellanox mlx5 və s.). Ən sürətli — sürücü kontekstində işləyir.
Ümumi XDP: Doğma dəstəyi olmayan sürücülər üçün geri qaytarma. Arxasınca qaçırsk_buffayırma - hələ də iptables-dən daha sürətli, lakin yerli kimi sürətli deyil.
XDP yükləndi: Proqram NIC ASIC-in özündə işləyir. SmartNIC avadanlığı tələb olunur (məsələn, Netronome). Sıfır CPU dəyəri.

XDP proqramı beş hökmdən birini qaytarır:

Qayıdış Kodu	Fəaliyyət
`XDP_DROP`	Paketi dərhal buraxın - ən aşağı gecikmə müddəti
`XDP_PASS`	Normal şəbəkə yığınına keçin
`XDP_TX`	Eyni interfeysi geri ötür (sıçrayış)
`XDP_REDIRECT`	Başqa interfeysə və ya AF_XDP yuvasına yönləndirin
`XDP_ABORTED`	Səhv yolu - iz hadisəsi ilə buraxın

3. XDP Paket Düşürmə Nümunəsi

Aşağıdakı proqram eBPF xəritəsində saxlanılan mənbə İP-dən bütün UDP paketlərini buraxır və istifadəçi sahəsinə nəzarət müstəvisinə iş vaxtı blok siyahısını yeniləməyə imkan verir.

// xdp_drop_udp.c — Drop UDP from IPs in a BPF map
#include <linux/bpf.h>
#include <linux/if_ether.h>
#include <linux/ip.h>
#include <linux/udp.h>
#include <bpf/bpf_helpers.h>

// BPF map: src IP → drop flag (1 = drop)
struct {
    __uint(type, BPF_MAP_TYPE_HASH);
    __uint(max_entries, 1024);
    __type(key, __u32);    // source IPv4 address
    __type(value, __u32);  // 1 = block
} blocklist SEC(".maps");

SEC("xdp")
int xdp_drop_udp(struct xdp_md *ctx) {
    void *data     = (void *)(long)ctx->data;
    void *data_end = (void *)(long)ctx->data_end;

    // Parse Ethernet header
    struct ethhdr *eth = data;
    if ((void *)(eth + 1) > data_end) return XDP_PASS;
    if (eth->h_proto != __constant_htons(ETH_P_IP)) return XDP_PASS;

    // Parse IPv4 header
    struct iphdr *ip = (void *)(eth + 1);
    if ((void *)(ip + 1) > data_end) return XDP_PASS;
    if (ip->protocol != IPPROTO_UDP) return XDP_PASS;

    // Check blocklist map
    __u32 src = ip->saddr;
    __u32 *val = bpf_map_lookup_elem(&blocklist, &src);
    if (val && *val == 1) return XDP_DROP;

    return XDP_PASS;
}

char _license[] SEC("license") = "GPL";

Sərhədlərin yoxlanılması məcburidir.eBPF yoxlayıcısı yaddaşdan kənara çıxan proqramları rədd edirdata_end. Hər bir göstərici arifmetik əməliyyatından sonra sərhəd yoxlaması aparılmalıdır, əks halda proqram yüklənməyəcək.

ilə yükləyin və əlavə edinip:

# Compile
clang -O2 -target bpf -c xdp_drop_udp.c -o xdp_drop_udp.o

# Attach to interface (native XDP)
ip link set eth0 xdp obj xdp_drop_udp.o sec xdp

# Add an IP to the blocklist via bpftool
bpftool map update name blocklist key 0x01 0x02 0x03 0x04 value 0x01 0x00 0x00 0x00

# Remove XDP program
ip link set eth0 xdp off

4. AF_XDP: Kernel-Bypass

AF_XDPXDP ilə birləşən bir rozetka ailəsidirXDP_REDIRECThökm, paketləri hər paketə nüvənin iştirakı olmadan birbaşa istifadəçi yaddaşı bölgəsinə (UMEM) çatdırır. Bu, eBPF ekosisteminin DPDK-nın kernel-bypass modelinə cavabıdır.

Əsas komponentlər:

UMEM: Çərçivələrə bölünmüş istifadəçi məkanında qeydə alınmış yaddaş bölgəsi. Paylaşılan yaddaş vasitəsilə nüvə və istifadəçi sahəsi arasında paylaşılır.
Üzüklər: Hər rozetka üçün dörd kilidsiz halqa: Doldurun (istifadəçi sahəsi → pulsuz çərçivələrlə nüvə), Tamamlama (kernel → TX-də hazırlanmış çərçivələrlə istifadəçi sahəsi), RX halqası (kernel → qəbul edilmiş çərçivələrlə istifadəçi sahəsi), TX halqası (göndərmək üçün istifadəçi sahəsi → kernel).
Sıfır surət rejimi: Sürücü bunu dəstəkləyirsə, çərçivələr heç bir surət olmadan ötürülür — sadəcə göstərici ötürülməsi.

AF_XDP, DPDK-nın əməliyyat mürəkkəbliyi (nəhəng səhifələr, əsas istifadə üçün CPU sancması tələb olunmur) olmadan xətt sürətində xüsusi paket emalı üçün idealdır.

5. tc BPF: Traffic Shaping & Filtering

tc(trafik nəzarəti) BPF proqramları əlavə olunurclsactqdisc və giriş və ya çıxışda işləyə bilər. XDP-dən fərqli olaraq, tam olaraq görürlərsk_buffvə soket metadatasına, VLAN-lara və tunel başlıqlarına daxil ola bilər.

// tc_mark.c — Mark packets with DSCP EF (46) for VoIP traffic on port 5060
#include <linux/bpf.h>
#include <linux/if_ether.h>
#include <linux/ip.h>
#include <linux/udp.h>
#include <bpf/bpf_helpers.h>

SEC("classifier")
int tc_mark_voip(struct __sk_buff *skb) {
    void *data     = (void *)(long)skb->data;
    void *data_end = (void *)(long)skb->data_end;

    struct ethhdr *eth = data;
    if ((void *)(eth + 1) > data_end) return TC_ACT_OK;
    if (eth->h_proto != __constant_htons(ETH_P_IP)) return TC_ACT_OK;

    struct iphdr *ip = (void *)(eth + 1);
    if ((void *)(ip + 1) > data_end) return TC_ACT_OK;
    if (ip->protocol != IPPROTO_UDP) return TC_ACT_OK;

    struct udphdr *udp = (void *)(ip + 1);
    if ((void *)(udp + 1) > data_end) return TC_ACT_OK;

    // Mark SIP traffic (port 5060) with DSCP EF (46 = 0xB8 in TOS byte)
    if (udp->dest == __constant_htons(5060) || udp->source == __constant_htons(5060)) {
        // DSCP EF = 46, shifted left 2 bits in TOS field = 184 (0xB8)
        bpf_skb_store_bytes(skb, offsetof(struct iphdr, tos) + sizeof(struct ethhdr),
                            &((__u8){184}), 1, BPF_F_RECOMPUTE_CSUM);
    }
    return TC_ACT_OK;
}

char _license[] SEC("license") = "GPL";

# Attach tc BPF program
tc qdisc add dev eth0 clsact
tc filter add dev eth0 egress bpf da obj tc_mark.o sec classifier

6. eBPF Xəritələri ilə Rate Limiting

eBPF xəritələri vəziyyətlə bağlı emal etməyə imkan verir. Aşağıdakı nümunə, a-da saxlanılan işarə qutusundan istifadə edərək mənbəyə görə IP dərəcəsini məhdudlaşdırırBPF_MAP_TYPE_LRU_HASH:

// Conceptual token bucket per source IP — checks tokens, drops if exceeded
struct ratelimit_entry {
    __u64 tokens;        // current token count
    __u64 last_update;   // nanoseconds timestamp
};

struct {
    __uint(type, BPF_MAP_TYPE_LRU_HASH);
    __uint(max_entries, 65536);
    __type(key, __u32);                     // source IP
    __type(value, struct ratelimit_entry);
} rate_map SEC(".maps");

// In XDP program:
// 1. bpf_ktime_get_ns() — get current time
// 2. Lookup entry for src IP
// 3. Refill tokens: tokens += (elapsed_ns / 1e9) * rate_pps
// 4. If tokens >= 1: decrement and XDP_PASS
// 5. Else: XDP_DROP

7. bpftool & bpftrace Introspection

Canlı eBPF proqramları ilə işləmək üçün iki əsas alət:

# bpftool — inspect loaded programs and maps
bpftool prog list                         # list all loaded eBPF programs
bpftool prog show id 42                   # details for program ID 42
bpftool prog dump xlated id 42            # disassemble to eBPF bytecode
bpftool prog dump jited id 42            # dump JIT-compiled native code
bpftool map list                          # list all BPF maps
bpftool map dump name blocklist           # dump all entries in map "blocklist"
bpftool map update name blocklist \
    key 192 168 1 100 value 1 0 0 0       # add entry (network byte order)

# bpftrace — DTrace-style one-liners for kernel tracing
# Count XDP drops per second
bpftrace -e 'tracepoint:xdp:xdp_exception { @drops[args->action] = count(); } interval:s:1 { print(@drops); clear(@drops); }'

# Trace tcp_retransmit_skb — show retransmit events with comm name
bpftrace -e 'kprobe:tcp_retransmit_skb { printf("%s retransmit\n", comm); }'

# Histogram of packet sizes on eth0
bpftrace -e 'tracepoint:net:netif_receive_skb /args->name == "eth0"/ { @size = hist(args->len); }'

8. Müqayisə: eBPF/XDP vs DPDK vs RDMA

Xüsusiyyət	eBPF/XDP	DPDK	RDMA
Kernel iştirakı	Minimal (sürücüdə XDP)	Yoxdur (tam bypass)	Yoxdur (RDMA NIC)
Yaddaş modeli	Standart + AF_XDP UMEM	Böyük səhifələr tələb olunur	Qeydə alınmış yaddaş bölgələri
Maksimum ötürmə qabiliyyəti	~100 Gbps yerli XDP	>100 Gbps	200+ Gbps (InfiniBand)
CPU istifadəsi	Aşağı (hadisə əsasında)	Yüksək (məşğul sorğu nüvələri)	Sıfıra yaxın (boşaldı)
Əməliyyatın mürəkkəbliyi	Aşağı - standart alətlər	Yüksək - xüsusi nüvələr, nəhəng səhifələr	Yüksək - parça idarə edilməsi
İstifadə işi	DDoS azaldılması, LB, müşahidə qabiliyyəti	Virtual marşrutlaşdırıcılar, NFV, paket gen	Yaddaş (NVMe-oF), HPC MPI
Dil	Məhdudlaşdırılmış C / Rust	C / Rust	Verbs API (C)

Əsas qayda:eBPF/XDP ilə başlayın – o, mövcud kernel alətləri ilə inteqrasiya edir, heç bir xüsusi aparat və ya böyük səhifələr tələb etmir və 100 Gbit/s-dən aşağı olan yüksək performanslı şəbəkə istifadə hallarının əksəriyyətini idarə edir. DPDK-ya yalnız xüsusi CPU nüvələrinə ehtiyacınız olduqda və nüvənin planlaşdırılmasının heç bir yükünə dözə bilməyəndə keçin.

Linux eBPF və XDP Şəbəkə Astarı

1. eBPF nədir?

2. XDP çəngəl nöqtələri

3. XDP Paket Düşürmə Nümunəsi

4. AF_XDP: Kernel-Bypass

5. tc BPF: Traffic Shaping & Filtering

6. eBPF Xəritələri ilə Rate Limiting

7. bpftool & bpftrace Introspection

8. Müqayisə: eBPF/XDP vs DPDK vs RDMA