Linux eBPF & XDP Networking Primer

// BPF map: src IP → drop flag (1 = drop) struct { __uint(type, BPF_MAP_TYPE_HASH); __uint(max_entries, 1024); __type(key, __u32); // source IPv4 address __type(value, __u32); // 1 = block } blocklist SEC(".maps"); SEC("xdp") int xdp_drop_udp(struct xdp_md *ctx) { void *data = (void *)(long)ctx->data; void *data_end = (void *)(long)ctx->data_end; // Parse Ethernet header struct ethhdr *eth = data; if ((void *)(eth + 1) > data_end) return XDP_PASS; if (eth->h_proto != __constant_htons(ETH_P_IP)) return XDP_PASS; // Parse IPv4 header struct iphdr *ip = (void *)(eth + 1); if ((void *)(ip + 1) > data_end) return XDP_PASS; if (ip->protocol != IPPROTO_UDP) return XDP_PASS; // Check blocklist map __u32 src = ip->saddr; __u32 *val = bpf_map_lookup_elem(&blocklist, &src); if (val && *val == 1) return XDP_DROP; return XDP_PASS; } char _license[] SEC("license") = "GPL";

لوڈ کریں اور اس کے ساتھ منسلک کریں۔ip:

# Compile
clang -O2 -target bpf -c xdp_drop_udp.c -o xdp_drop_udp.o

# Attach to interface (native XDP)
ip link set eth0 xdp obj xdp_drop_udp.o sec xdp

# Add an IP to the blocklist via bpftool
bpftool map update name blocklist key 0x01 0x02 0x03 0x04 value 0x01 0x00 0x00 0x00

# Remove XDP program
ip link set eth0 xdp off

4. AF_XDP: کرنل بائی پاس

AF_XDPایک ساکٹ فیملی ہے جو XDP کے ساتھ مل کر ہے۔XDP_REDIRECTفیصلہ، پیکٹوں کو براہ راست یوزر اسپیس میموری ریجن (UMEM) میں دانا کی شمولیت فی پیکٹ کے بغیر فراہم کرتا ہے۔ یہ DPDK کے کرنل بائی پاس ماڈل کا eBPF ماحولیاتی نظام کا جواب ہے۔

اہم اجزاء:

• یو ایم ای ایم: فریموں میں تقسیم شدہ یوزر اسپیس میں رجسٹرڈ میموری کا علاقہ۔ مشترکہ میموری کے ذریعے کرنل اور یوزر اسپیس کے درمیان اشتراک کیا گیا۔
• انگوٹھیاں: چار لاک فری رِنگز فی ساکٹ: فل (یوزر اسپیس → مفت فریموں کے ساتھ کرنل)، تکمیل (کرنل → یوزر اسپیس TX-ڈون فریمز کے ساتھ)، RX رنگ (کرنل → یوزر اسپیس موصول ہونے والے فریموں کے ساتھ)، TX رنگ (یوزر اسپیس → بھیجنے کے لیے فریموں کے ساتھ کرنل)۔
• زیرو کاپی موڈ: اگر ڈرائیور اس کی حمایت کرتا ہے، تو فریم بغیر کسی کاپی کے منتقل کیے جاتے ہیں - صرف ایک پوائنٹر ہینڈ آف۔

AF_XDP DPDK کی آپریشنل پیچیدگی کے بغیر لائن ریٹ پر کسٹم پیکٹ پروسیسنگ کے لیے مثالی ہے (بنیادی استعمال کے لیے کوئی بہت بڑا پیجز، کوئی CPU پننگ کی ضرورت نہیں ہے)۔

5. tc BPF: ٹریفک کی تشکیل اور فلٹرنگ

tc(ٹریفک کنٹرول) بی پی ایف پروگرام اس پر منسلک ہوتے ہیں۔clsactqdisc اور داخل یا خارج ہونے پر چل سکتا ہے۔ XDP کے برعکس، وہ مکمل دیکھتے ہیں۔sk_buffاور ساکٹ میٹا ڈیٹا، VLANs اور ٹنل ہیڈرز تک رسائی حاصل کر سکتے ہیں۔

// tc_mark.c — Mark packets with DSCP EF (46) for VoIP traffic on port 5060
#include <linux/bpf.h>
#include <linux/if_ether.h>
#include <linux/ip.h>
#include <linux/udp.h>
#include <bpf/bpf_helpers.h>

SEC("classifier")
int tc_mark_voip(struct __sk_buff *skb) {
    void *data     = (void *)(long)skb->data;
    void *data_end = (void *)(long)skb->data_end;

    struct ethhdr *eth = data;
    if ((void *)(eth + 1) > data_end) return TC_ACT_OK;
    if (eth->h_proto != __constant_htons(ETH_P_IP)) return TC_ACT_OK;

    struct iphdr *ip = (void *)(eth + 1);
    if ((void *)(ip + 1) > data_end) return TC_ACT_OK;
    if (ip->protocol != IPPROTO_UDP) return TC_ACT_OK;

    struct udphdr *udp = (void *)(ip + 1);
    if ((void *)(udp + 1) > data_end) return TC_ACT_OK;

    // Mark SIP traffic (port 5060) with DSCP EF (46 = 0xB8 in TOS byte)
    if (udp->dest == __constant_htons(5060) || udp->source == __constant_htons(5060)) {
        // DSCP EF = 46, shifted left 2 bits in TOS field = 184 (0xB8)
        bpf_skb_store_bytes(skb, offsetof(struct iphdr, tos) + sizeof(struct ethhdr),
                            &((__u8){184}), 1, BPF_F_RECOMPUTE_CSUM);
    }
    return TC_ACT_OK;
}

char _license[] SEC("license") = "GPL";

# Attach tc BPF program
tc qdisc add dev eth0 clsact
tc filter add dev eth0 egress bpf da obj tc_mark.o sec classifier

6. eBPF Maps کے ساتھ شرح کی حد بندی

eBPF نقشے ریاستی پروسیسنگ کو فعال کرتے ہیں۔ مندرجہ ذیل پیٹرن فی سورس-آئی پی کی شرح کو لاگو کرتا ہے a میں ذخیرہ شدہ ٹوکن بالٹی کا استعمال کرتے ہوئےBPF_MAP_TYPE_LRU_HASH:

// Conceptual token bucket per source IP — checks tokens, drops if exceeded
struct ratelimit_entry {
    __u64 tokens;        // current token count
    __u64 last_update;   // nanoseconds timestamp
};

struct {
    __uint(type, BPF_MAP_TYPE_LRU_HASH);
    __uint(max_entries, 65536);
    __type(key, __u32);                     // source IP
    __type(value, struct ratelimit_entry);
} rate_map SEC(".maps");

// In XDP program:
// 1. bpf_ktime_get_ns() — get current time
// 2. Lookup entry for src IP
// 3. Refill tokens: tokens += (elapsed_ns / 1e9) * rate_pps
// 4. If tokens >= 1: decrement and XDP_PASS
// 5. Else: XDP_DROP

7. bpftool & bpftrace Introspection

لائیو eBPF پروگراموں کے ساتھ کام کرنے کے لیے دو ضروری ٹولز:

# bpftool — inspect loaded programs and maps
bpftool prog list                         # list all loaded eBPF programs
bpftool prog show id 42                   # details for program ID 42
bpftool prog dump xlated id 42            # disassemble to eBPF bytecode
bpftool prog dump jited id 42            # dump JIT-compiled native code
bpftool map list                          # list all BPF maps
bpftool map dump name blocklist           # dump all entries in map "blocklist"
bpftool map update name blocklist \
    key 192 168 1 100 value 1 0 0 0       # add entry (network byte order)

# bpftrace — DTrace-style one-liners for kernel tracing
# Count XDP drops per second
bpftrace -e 'tracepoint:xdp:xdp_exception { @drops[args->action] = count(); } interval:s:1 { print(@drops); clear(@drops); }'

# Trace tcp_retransmit_skb — show retransmit events with comm name
bpftrace -e 'kprobe:tcp_retransmit_skb { printf("%s retransmit\n", comm); }'

# Histogram of packet sizes on eth0
bpftrace -e 'tracepoint:net:netif_receive_skb /args->name == "eth0"/ { @size = hist(args->len); }'

8. موازنہ: eBPF/XDP بمقابلہ DPDK بمقابلہ RDMA

فیچر	eBPF/XDP	ڈی پی ڈی کے	آر ڈی ایم اے
دانا کی شمولیت	کم سے کم (ڈرائیور میں XDP)	کوئی نہیں (مکمل بائی پاس)	کوئی نہیں (RDMA NIC)
میموری ماڈل	معیاری + AF_XDP UMEM	بڑے صفحات درکار ہیں۔	رجسٹرڈ میموری والے علاقے
زیادہ سے زیادہ تھرو پٹ	~100 Gbps مقامی XDP	>100 جی بی پی ایس	200+ Gbps (InfiniBand)
سی پی یو کا استعمال	کم (واقعہ پر مبنی)	ہائی (مصروف پول کور)	صفر کے قریب (آف لوڈ شدہ)
آپریشن کی پیچیدگی	کم — معیاری ٹولز	اعلی - سرشار کور، بڑے صفحات	اعلی - تانے بانے کا انتظام
کیس استعمال کریں۔	DDoS تخفیف، LB، مشاہدہ	ورچوئل راؤٹرز، این ایف وی، پیکٹ جنرل	اسٹوریج (NVMe-oF)، HPC MPI
زبان	محدود سی / زنگ	سی/زنگ	فعل API (C)