1. Kaj je eBPF?

EBPF (razširjeni Berkeley Packet Filter) je podsistem Linux jedra, ki vam omogoča zaganjanje sandbox programov znotraj jedra, ne da bi spremenili izvorno kodo jedra ali nalaganje modulov jedra. Programe pred izvedbo preveri preveritelj biokode jedra, kar zagotavlja varnost.

Za mreženje se programi eBPF priložijo v jedru mrežnega sklada in lahko pregleda, spremeni, preusmeri ali spusti pakete. Ključna prednost pred ali moduli jedra je zmogljivost in programirljivost: eBPF programi so JIT-komponirani z naravno kodo in lahko delijo stanje preko (trgovine s ključno vrednostjo, ki se delijo med jedrom in uporabniškim prostorom).

Kljuka	Lokacija	latenca	Uporabi primer
XDP	NIC gonilnik, pred dodelitvijo sk buff	Najnižja	Padec DDoS, izravnava obremenitve
tc ingres/egres	Po dodelitvi sk buff	Nizka	Oblikovanje prometa, označevanje, preusmeritev
filter z vtičnico	Vtičnica sprejema pot	Srednja	tcpdump-tyle filtering
kprob/tracepoint	Vstop/izstop funkcije jedra	Varies	Opazovanje, sledenje

2. XDP Kljuke točke

XDP (eXpress Data Path) programi tečejo na najzgodnejši možni točki v omrežnem nizu – znotraj NIC gonilnika, preden jedro dodeli To pomeni:

Krajevni XDP
Splošno XDPsk_buff
Odložen XDP

XDP program vrne eno od petih razsodb:

Oznaka vrnitve	Ukrepanje
`XDP_DROP`	Takoj spustni paket – najmanjši zavržki latence
`XDP_PASS`	Prenesi do običajnega omrežnega sklada
`XDP_TX`	Oddaj nazaj ven isti vmesnik (boun)
`XDP_REDIRECT`	Preusmeri na drug vmesnik ali AF XDP vtičnico
`XDP_ABORTED`	Pot napake – spust z dogodkom v sledovih

3. XDP Packet Spust Primer

Naslednji program izpusti vse pakete UDP iz izvornega IP, shranjenega na zemljevidu eBPF, kar omogoča nadzorno ravnino uporabniškega prostora za posodobitev seznama blokov ob času delovanja.

// xdp_drop_udp.c — Drop UDP from IPs in a BPF map
#include 
#include 
#include 
#include 
#include 

// BPF map: src IP → drop flag (1 = drop)
struct {
    __uint(type, BPF_MAP_TYPE_HASH);
    __uint(max_entries, 1024);
    __type(key, __u32);    // source IPv4 address
    __type(value, __u32);  // 1 = block
} blocklist SEC(".maps");

SEC("xdp")
int xdp_drop_udp(struct xdp_md *ctx) {
    void *data     = (void *)(long)ctx->data;
    void *data_end = (void *)(long)ctx->data_end;

    // Parse Ethernet header
    struct ethhdr *eth = data;
    if ((void *)(eth + 1) > data_end) return XDP_PASS;
    if (eth->h_proto != __constant_htons(ETH_P_IP)) return XDP_PASS;

    // Parse IPv4 header
    struct iphdr *ip = (void *)(eth + 1);
    if ((void *)(ip + 1) > data_end) return XDP_PASS;
    if (ip->protocol != IPPROTO_UDP) return XDP_PASS;

    // Check blocklist map
    __u32 src = ip->saddr;
    __u32 *val = bpf_map_lookup_elem(&blocklist, &src);
    if (val && *val == 1) return XDP_DROP;

    return XDP_PASS;
}

char _license[] SEC("license") = "GPL";

Preverjanje mej je obvezno.data_end

Naloži in pritrdi z :

# Compile
clang -O2 -target bpf -c xdp_drop_udp.c -o xdp_drop_udp.o

# Attach to interface (native XDP)
ip link set eth0 xdp obj xdp_drop_udp.o sec xdp

# Add an IP to the blocklist via bpftool
bpftool map update name blocklist key 0x01 0x02 0x03 0x04 value 0x01 0x00 0x00 0x00

# Remove XDP program
ip link set eth0 xdp off

4. AF XDP: Kernel-bypass

AF_XDPXDP_REDIRECT

Ključne komponente:

UMEM
Obroči
Način brez kopiranja

AF XDP je idealen za obdelavo paketa po meri po stopnji linije brez operativne kompleksnosti DPDK (ni velikih strani, ni CPU pinning potrebna za osnovno uporabo).

5. tc BPF: Oblikovanje in filtriranje prometa

tcclsactsk_buff

// tc_mark.c — Mark packets with DSCP EF (46) for VoIP traffic on port 5060
#include 
#include 
#include 
#include 
#include 

SEC("classifier")
int tc_mark_voip(struct __sk_buff *skb) {
    void *data     = (void *)(long)skb->data;
    void *data_end = (void *)(long)skb->data_end;

    struct ethhdr *eth = data;
    if ((void *)(eth + 1) > data_end) return TC_ACT_OK;
    if (eth->h_proto != __constant_htons(ETH_P_IP)) return TC_ACT_OK;

    struct iphdr *ip = (void *)(eth + 1);
    if ((void *)(ip + 1) > data_end) return TC_ACT_OK;
    if (ip->protocol != IPPROTO_UDP) return TC_ACT_OK;

    struct udphdr *udp = (void *)(ip + 1);
    if ((void *)(udp + 1) > data_end) return TC_ACT_OK;

    // Mark SIP traffic (port 5060) with DSCP EF (46 = 0xB8 in TOS byte)
    if (udp->dest == __constant_htons(5060) || udp->source == __constant_htons(5060)) {
        // DSCP EF = 46, shifted left 2 bits in TOS field = 184 (0xB8)
        bpf_skb_store_bytes(skb, offsetof(struct iphdr, tos) + sizeof(struct ethhdr),
                            &((__u8){184}), 1, BPF_F_RECOMPUTE_CSUM);
    }
    return TC_ACT_OK;
}

char _license[] SEC("license") = "GPL";

# Attach tc BPF program
tc qdisc add dev eth0 clsact
tc filter add dev eth0 egress bpf da obj tc_mark.o sec classifier

6. Omejevanje hitrosti z zemljevidi eBPF

Zemljevidi eBPF omogočajo temeljito obdelavo. Naslednji vzorec uvaja stopnjo per-vir-IP, ki omejuje uporabo žeton vedra, shranjenega v a :

// Conceptual token bucket per source IP — checks tokens, drops if exceeded
struct ratelimit_entry {
    __u64 tokens;        // current token count
    __u64 last_update;   // nanoseconds timestamp
};

struct {
    __uint(type, BPF_MAP_TYPE_LRU_HASH);
    __uint(max_entries, 65536);
    __type(key, __u32);                     // source IP
    __type(value, struct ratelimit_entry);
} rate_map SEC(".maps");

// In XDP program:
// 1. bpf_ktime_get_ns() — get current time
// 2. Lookup entry for src IP
// 3. Refill tokens: tokens += (elapsed_ns / 1e9) * rate_pps
// 4. If tokens >= 1: decrement and XDP_PASS
// 5. Else: XDP_DROP

7. bpftool & bpftrace introspection

Dve osnovni orodji za delo s programi eBPF v živo:

# bpftool — inspect loaded programs and maps
bpftool prog list                         # list all loaded eBPF programs
bpftool prog show id 42                   # details for program ID 42
bpftool prog dump xlated id 42            # disassemble to eBPF bytecode
bpftool prog dump jited id 42            # dump JIT-compiled native code
bpftool map list                          # list all BPF maps
bpftool map dump name blocklist           # dump all entries in map "blocklist"
bpftool map update name blocklist \
    key 192 168 1 100 value 1 0 0 0       # add entry (network byte order)

# bpftrace — DTrace-style one-liners for kernel tracing
# Count XDP drops per second
bpftrace -e 'tracepoint:xdp:xdp_exception { @drops[args->action] = count(); } interval:s:1 { print(@drops); clear(@drops); }'

# Trace tcp_retransmit_skb — show retransmit events with comm name
bpftrace -e 'kprobe:tcp_retransmit_skb { printf("%s retransmit\n", comm); }'

# Histogram of packet sizes on eth0
bpftrace -e 'tracepoint:net:netif_receive_skb /args->name == "eth0"/ { @size = hist(args->len); }'

8. Primerjava: eBPF/XDP z DPDK v primerjavi z RDMA

Lastnosti	eBPF/XDP	DPDK	RDMA
Vključenost kerelov	Minimalni (XDP v gonilniku)	Brez (polna obvodna širina)	Brez (RDMA NIC)
Model pomnilnika	Standard + AF XDP UMEM	Potrebne velike strani	Registrirane regije pomnilnika
Največji pretok	~ 100 Gbps domači XDP	> 100 Gb/s	200+ Gbps (InfiniBand)
Uporaba CPE	Nizka (prihodki)	visoko (jedra z delovno površino)	Skoraj nič (odloženo)
Zapletenost operacij	Nizko – standardna orodja	Visoka – posvečena jedra, velike strani	Visoko – upravljanje tkanin
Uporabi primer	DDoS blažitev, LB, opaznost	Virtualni usmerjevalniki, NFV, paketni gen	Skladiščenje (NVMe-oF), HPC MPI
Jezik	Omejen C / Rust	C / Rust	Verbs API (C)

Pravilo palca:

Linux eBPF & XDP omrežni primer

1. Kaj je eBPF?

2. XDP Kljuke točke

3. XDP Packet Spust Primer

4. AF XDP: Kernel-bypass

5. tc BPF: Oblikovanje in filtriranje prometa

6. Omejevanje hitrosti z zemljevidi eBPF

7. bpftool & bpftrace introspection

8. Primerjava: eBPF/XDP z DPDK v primerjavi z RDMA