1.Что такое eBPF?

eBPF (расширенный фильтр пакетов Berkeley) - это подсистема ядра Linux, которая позволяет запускать программы в песочнице внутри ядра без изменения исходного кода ядра или загрузки модулей ядра. Программы проверяются верификатором байт-кода ядра перед выполнением, обеспечивая безопасность.

Для сетевого взаимодействия программы eBPF присоединяются к в сетевом стеке ядра и может проверять, изменять, перенаправлять или сбрасывать пакеты. Ключевое преимущество над или модули ядра - это производительность и программируемость: программы eBPF компилируются в JIT с нативным кодом и могут совместно использовать состояние через (ключевые хранилища, разделенные между ядром и пользовательским пространством).

Крюк	Расположение	задержка	Используйте
XDP	Водитель NIC перед распределением sk buff	самый низкий	DDoS падение, балансировка нагрузки
tc вход/выход	После распределения sk buff	низкий	Формирование трафика, маркировка, перенаправление
фильтр розетки	Путь приема розеток	средний	фильтрация в стиле tcpdump
kprobe/tracepoint	Функция ядра вход/выход	Вариации	Наблюдение, отслеживание

2. XDP Hook Points

Программы XDP (eXpress Data Path) запускаются в самой ранней точке сетевого стека — внутри драйвера NIC, прежде чем ядро выделит Это означает:

Родной XDP
Генерированный XDPsk_buff
Скачать XDP

Программа XDP возвращает один из пяти вердиктов:

Возвратный код	Меры
`XDP_DROP`	Бросьте пакет немедленно — отбрасывание с наименьшей задержкой
`XDP_PASS`	Перейдите в обычный сетевой стек
`XDP_TX`	Передача обратно одного и того же интерфейса (отскок)
`XDP_REDIRECT`	Перенаправить на другой интерфейс или сокет AF XDP
`XDP_ABORTED`	Путь ошибки — падение со следом

3.XDP Packet Drop Пример

Следующая программа сбрасывает все UDP-пакеты с исходного IP, хранящегося на карте eBPF, позволяя плоскости управления пространством пользователя обновлять блок-список во время выполнения.

// xdp_drop_udp.c — Drop UDP from IPs in a BPF map
#include 
#include 
#include 
#include 
#include 

// BPF map: src IP → drop flag (1 = drop)
struct {
    __uint(type, BPF_MAP_TYPE_HASH);
    __uint(max_entries, 1024);
    __type(key, __u32);    // source IPv4 address
    __type(value, __u32);  // 1 = block
} blocklist SEC(".maps");

SEC("xdp")
int xdp_drop_udp(struct xdp_md *ctx) {
    void *data     = (void *)(long)ctx->data;
    void *data_end = (void *)(long)ctx->data_end;

    // Parse Ethernet header
    struct ethhdr *eth = data;
    if ((void *)(eth + 1) > data_end) return XDP_PASS;
    if (eth->h_proto != __constant_htons(ETH_P_IP)) return XDP_PASS;

    // Parse IPv4 header
    struct iphdr *ip = (void *)(eth + 1);
    if ((void *)(ip + 1) > data_end) return XDP_PASS;
    if (ip->protocol != IPPROTO_UDP) return XDP_PASS;

    // Check blocklist map
    __u32 src = ip->saddr;
    __u32 *val = bpf_map_lookup_elem(&blocklist, &src);
    if (val && *val == 1) return XDP_DROP;

    return XDP_PASS;
}

char _license[] SEC("license") = "GPL";

Проверка границ обязательна.data_end

Загрузить и прикрепить :

# Compile
clang -O2 -target bpf -c xdp_drop_udp.c -o xdp_drop_udp.o

# Attach to interface (native XDP)
ip link set eth0 xdp obj xdp_drop_udp.o sec xdp

# Add an IP to the blocklist via bpftool
bpftool map update name blocklist key 0x01 0x02 0x03 0x04 value 0x01 0x00 0x00 0x00

# Remove XDP program
ip link set eth0 xdp off

4. AF XDP: Kernel-Bypass

AF_XDPXDP_REDIRECT

Ключевые компоненты:

Мем
Кольца
Режим нулевой копии

AF XDP идеально подходит для обработки пользовательских пакетов со скоростью строки без эксплуатационной сложности DPDK (без огромных страниц, без зажима процессора, необходимого для базового использования).

5. tc BPF: Формирование трафика и фильтрация

tcclsactsk_buff

// tc_mark.c — Mark packets with DSCP EF (46) for VoIP traffic on port 5060
#include 
#include 
#include 
#include 
#include 

SEC("classifier")
int tc_mark_voip(struct __sk_buff *skb) {
    void *data     = (void *)(long)skb->data;
    void *data_end = (void *)(long)skb->data_end;

    struct ethhdr *eth = data;
    if ((void *)(eth + 1) > data_end) return TC_ACT_OK;
    if (eth->h_proto != __constant_htons(ETH_P_IP)) return TC_ACT_OK;

    struct iphdr *ip = (void *)(eth + 1);
    if ((void *)(ip + 1) > data_end) return TC_ACT_OK;
    if (ip->protocol != IPPROTO_UDP) return TC_ACT_OK;

    struct udphdr *udp = (void *)(ip + 1);
    if ((void *)(udp + 1) > data_end) return TC_ACT_OK;

    // Mark SIP traffic (port 5060) with DSCP EF (46 = 0xB8 in TOS byte)
    if (udp->dest == __constant_htons(5060) || udp->source == __constant_htons(5060)) {
        // DSCP EF = 46, shifted left 2 bits in TOS field = 184 (0xB8)
        bpf_skb_store_bytes(skb, offsetof(struct iphdr, tos) + sizeof(struct ethhdr),
                            &((__u8){184}), 1, BPF_F_RECOMPUTE_CSUM);
    }
    return TC_ACT_OK;
}

char _license[] SEC("license") = "GPL";

# Attach tc BPF program
tc qdisc add dev eth0 clsact
tc filter add dev eth0 egress bpf da obj tc_mark.o sec classifier

6. Ограничение ставок с помощью карт eBPF

Карты eBPF позволяют осуществлять государственную обработку. Следующий шаблон реализует ограничение скорости per-source-IP, используя ведро токенов, хранящееся в :

// Conceptual token bucket per source IP — checks tokens, drops if exceeded
struct ratelimit_entry {
    __u64 tokens;        // current token count
    __u64 last_update;   // nanoseconds timestamp
};

struct {
    __uint(type, BPF_MAP_TYPE_LRU_HASH);
    __uint(max_entries, 65536);
    __type(key, __u32);                     // source IP
    __type(value, struct ratelimit_entry);
} rate_map SEC(".maps");

// In XDP program:
// 1. bpf_ktime_get_ns() — get current time
// 2. Lookup entry for src IP
// 3. Refill tokens: tokens += (elapsed_ns / 1e9) * rate_pps
// 4. If tokens >= 1: decrement and XDP_PASS
// 5. Else: XDP_DROP

7. bpftool & bpftrace интроспекция

Два основных инструмента для работы с живыми программами eBPF:

# bpftool — inspect loaded programs and maps
bpftool prog list                         # list all loaded eBPF programs
bpftool prog show id 42                   # details for program ID 42
bpftool prog dump xlated id 42            # disassemble to eBPF bytecode
bpftool prog dump jited id 42            # dump JIT-compiled native code
bpftool map list                          # list all BPF maps
bpftool map dump name blocklist           # dump all entries in map "blocklist"
bpftool map update name blocklist \
    key 192 168 1 100 value 1 0 0 0       # add entry (network byte order)

# bpftrace — DTrace-style one-liners for kernel tracing
# Count XDP drops per second
bpftrace -e 'tracepoint:xdp:xdp_exception { @drops[args->action] = count(); } interval:s:1 { print(@drops); clear(@drops); }'

# Trace tcp_retransmit_skb — show retransmit events with comm name
bpftrace -e 'kprobe:tcp_retransmit_skb { printf("%s retransmit\n", comm); }'

# Histogram of packet sizes on eth0
bpftrace -e 'tracepoint:net:netif_receive_skb /args->name == "eth0"/ { @size = hist(args->len); }'

8. Сравнение: eBPF/XDP против DPDK против RDMA

Особенность	eBPF/XDP	ДПДК	РДМА
Участие ядра	Минимальный (XDP в драйвере)	Нет (полный обход)	Нет (RDMA NIC)
Модель памяти	Стандарт + AF XDP UMEM	Требуются огромные страницы	Регистрируемые области памяти
Максимальная пропускная способность	100 Гбит/с родной XDP	100 Гбит/с	200+ Гбит/с (InfiniBand)
Использование CPU	Низкий (движимый событиями)	Высокие (busy-poll cores)	Почти ноль (Offloaded)
Сложность Ops	Низкий – стандартные инструменты	High — выделенные ядра, огромные страницы	High — управление тканью
Пример использования	Смягчение DDoS, LB, наблюдаемость	Виртуальные маршрутизаторы, NFV, Packet Gen	Хранение (NVMe-oF), HPC MPI
Язык языка	Ограниченный C / Rust	C / Rust	Verbs API (C)

Правило большого пальца:

Linux eBPF и XDP Networking Primer

1.Что такое eBPF?

2. XDP Hook Points

3.XDP Packet Drop Пример

4. AF XDP: Kernel-Bypass

5. tc BPF: Формирование трафика и фильтрация

6. Ограничение ставок с помощью карт eBPF

7. bpftool & bpftrace интроспекция

8. Сравнение: eBPF/XDP против DPDK против RDMA