1. eBPF کیا ہے؟

ای بی پی ایف (توسیع شدہ برکلے پیکٹ فلٹر) ایک لینکس کرنل سب سسٹم ہے جو آپ کو کرنل سورس کوڈ میں ترمیم کیے بغیر یا کرنل ماڈیول لوڈ کیے بغیر کرنل کے اندر سینڈ باکسڈ پروگرام چلانے دیتا ہے۔ پروگراموں کی حفاظت کو یقینی بناتے ہوئے عملدرآمد سے پہلے کرنل بائی کوڈ تصدیق کنندہ کے ذریعے تصدیق کی جاتی ہے۔

نیٹ ورکنگ کے لیے، eBPF پروگرام منسلک ہوتے ہیں۔ہک پوائنٹسکرنل کے نیٹ ورک اسٹیک میں ہے اور پیکٹوں کا معائنہ، ترمیم، ری ڈائریکٹ، یا چھوڑ سکتا ہے۔ اہم فائدہ ختمiptablesیا کرنل ماڈیولز کارکردگی اور پروگرام کی اہلیت ہے: ای بی پی ایف پروگرام جے آئی ٹی کے ذریعہ مقامی کوڈ پر مرتب کیے گئے ہیں اور اس کے ذریعے ریاست کا اشتراک کرسکتے ہیں۔نقشے(کرنل اور یوزر اسپیس کے درمیان مشترکہ کلیدی قدر والے اسٹورز)۔

ہک	مقام	تاخیر	کیس استعمال کریں۔
ایکس ڈی پی	NIC ڈرائیور، sk_buff مختص کرنے سے پہلے	سب سے کم	DDoS ڈراپ، لوڈ بیلنسنگ
ٹی سی داخل / نکلنا	sk_buff مختص کرنے کے بعد	کم	ٹریفک کی تشکیل، مارکنگ، ری ڈائریکٹ
ساکٹ فلٹر	ساکٹ وصول کرنے کا راستہ	درمیانہ	tcpdump طرز کی فلٹرنگ
kprobe/tracepoint	کرنل فنکشن انٹری/ایگزٹ	مختلف ہوتی ہے۔	مشاہدہ، سراغ لگانا

2. XDP ہک پوائنٹس

ایکس ڈی پی (ایکسپریس ڈیٹا پاتھ) پروگرام نیٹ ورک اسٹیک میں جلد از جلد ممکنہ نقطہ پر چلتے ہیں - این آئی سی ڈرائیور کے اندر، اس سے پہلے کہ کرنل ایک مختص کرتا ہے۔sk_buff. اس کا مطلب ہے:

مقامی XDP: ڈرائیور مقامی طور پر XDP کو سپورٹ کرتا ہے (Intel i40e، Mellanox mlx5، وغیرہ)۔ تیز ترین - ڈرائیور کے تناظر میں چلتا ہے۔
عام XDP: مقامی مدد کے بغیر ڈرائیوروں کے لیے فال بیک۔ کے پیچھے بھاگتا ہے۔sk_buffمختص - اب بھی iptables سے تیز لیکن مقامی کی طرح تیز نہیں۔
آف لوڈ شدہ XDP: پروگرام خود NIC ASIC پر چلتا ہے۔ SmartNIC ہارڈویئر کی ضرورت ہے (جیسے نیٹرونوم)۔ صفر CPU لاگت۔

ایک XDP پروگرام پانچ فیصلوں میں سے ایک کو لوٹاتا ہے:

ریٹرن کوڈ	ایکشن
`XDP_DROP`	پیکٹ کو فوری طور پر گرا دیں - سب سے کم تاخیر کا خاتمہ
`XDP_PASS`	عام نیٹ ورک اسٹیک تک منتقل کریں۔
`XDP_TX`	اسی انٹرفیس کو واپس منتقل کریں (باؤنس)
`XDP_REDIRECT`	دوسرے انٹرفیس یا AF_XDP ساکٹ پر ری ڈائریکٹ کریں۔
`XDP_ABORTED`	خرابی کا راستہ — ٹریس ایونٹ کے ساتھ ڈراپ کریں۔

3. XDP پیکٹ ڈراپ کی مثال

مندرجہ ذیل پروگرام ای بی پی ایف میپ میں ذخیرہ شدہ سورس آئی پی سے تمام UDP پیکٹ گرا دیتا ہے، جس سے یوزر اسپیس کنٹرول ہوائی جہاز رن ٹائم پر بلاک لسٹ کو اپ ڈیٹ کر سکتا ہے۔

// xdp_drop_udp.c — Drop UDP from IPs in a BPF map
#include <linux/bpf.h>
#include <linux/if_ether.h>
#include <linux/ip.h>
#include <linux/udp.h>
#include <bpf/bpf_helpers.h>

// BPF map: src IP → drop flag (1 = drop)
struct {
    __uint(type, BPF_MAP_TYPE_HASH);
    __uint(max_entries, 1024);
    __type(key, __u32);    // source IPv4 address
    __type(value, __u32);  // 1 = block
} blocklist SEC(".maps");

SEC("xdp")
int xdp_drop_udp(struct xdp_md *ctx) {
    void *data     = (void *)(long)ctx->data;
    void *data_end = (void *)(long)ctx->data_end;

    // Parse Ethernet header
    struct ethhdr *eth = data;
    if ((void *)(eth + 1) > data_end) return XDP_PASS;
    if (eth->h_proto != __constant_htons(ETH_P_IP)) return XDP_PASS;

    // Parse IPv4 header
    struct iphdr *ip = (void *)(eth + 1);
    if ((void *)(ip + 1) > data_end) return XDP_PASS;
    if (ip->protocol != IPPROTO_UDP) return XDP_PASS;

    // Check blocklist map
    __u32 src = ip->saddr;
    __u32 *val = bpf_map_lookup_elem(&blocklist, &src);
    if (val && *val == 1) return XDP_DROP;

    return XDP_PASS;
}

char _license[] SEC("license") = "GPL";

حدود کی جانچ پڑتال لازمی ہے۔eBPF تصدیق کنندہ ایسے پروگراموں کو مسترد کرتا ہے جو میموری سے آگے تک رسائی حاصل کرتے ہیں۔data_end. ہر پوائنٹر ریاضی کے آپریشن کے بعد باؤنڈ چیک ہونا چاہیے ورنہ پروگرام لوڈ نہیں ہوگا۔

لوڈ کریں اور اس کے ساتھ منسلک کریں۔ip:

# Compile
clang -O2 -target bpf -c xdp_drop_udp.c -o xdp_drop_udp.o

# Attach to interface (native XDP)
ip link set eth0 xdp obj xdp_drop_udp.o sec xdp

# Add an IP to the blocklist via bpftool
bpftool map update name blocklist key 0x01 0x02 0x03 0x04 value 0x01 0x00 0x00 0x00

# Remove XDP program
ip link set eth0 xdp off

4. AF_XDP: کرنل بائی پاس

AF_XDPایک ساکٹ فیملی ہے جو XDP کے ساتھ مل کر ہے۔XDP_REDIRECTفیصلہ، پیکٹوں کو براہ راست یوزر اسپیس میموری ریجن (UMEM) میں دانا کی شمولیت فی پیکٹ کے بغیر فراہم کرتا ہے۔ یہ DPDK کے کرنل بائی پاس ماڈل کا eBPF ماحولیاتی نظام کا جواب ہے۔

اہم اجزاء:

یو ایم ای ایم: فریموں میں تقسیم شدہ یوزر اسپیس میں رجسٹرڈ میموری کا علاقہ۔ مشترکہ میموری کے ذریعے کرنل اور یوزر اسپیس کے درمیان اشتراک کیا گیا۔
انگوٹھیاں: چار لاک فری رِنگز فی ساکٹ: فل (یوزر اسپیس → مفت فریموں کے ساتھ کرنل)، تکمیل (کرنل → یوزر اسپیس TX-ڈون فریمز کے ساتھ)، RX رنگ (کرنل → یوزر اسپیس موصول ہونے والے فریموں کے ساتھ)، TX رنگ (یوزر اسپیس → بھیجنے کے لیے فریموں کے ساتھ کرنل)۔
زیرو کاپی موڈ: اگر ڈرائیور اس کی حمایت کرتا ہے، تو فریم بغیر کسی کاپی کے منتقل کیے جاتے ہیں - صرف ایک پوائنٹر ہینڈ آف۔

AF_XDP DPDK کی آپریشنل پیچیدگی کے بغیر لائن ریٹ پر کسٹم پیکٹ پروسیسنگ کے لیے مثالی ہے (بنیادی استعمال کے لیے کوئی بہت بڑا پیجز، کوئی CPU پننگ کی ضرورت نہیں ہے)۔

5. tc BPF: ٹریفک کی تشکیل اور فلٹرنگ

tc(ٹریفک کنٹرول) بی پی ایف پروگرام اس پر منسلک ہوتے ہیں۔clsactqdisc اور داخل یا خارج ہونے پر چل سکتا ہے۔ XDP کے برعکس، وہ مکمل دیکھتے ہیں۔sk_buffاور ساکٹ میٹا ڈیٹا، VLANs اور ٹنل ہیڈرز تک رسائی حاصل کر سکتے ہیں۔

// tc_mark.c — Mark packets with DSCP EF (46) for VoIP traffic on port 5060
#include <linux/bpf.h>
#include <linux/if_ether.h>
#include <linux/ip.h>
#include <linux/udp.h>
#include <bpf/bpf_helpers.h>

SEC("classifier")
int tc_mark_voip(struct __sk_buff *skb) {
    void *data     = (void *)(long)skb->data;
    void *data_end = (void *)(long)skb->data_end;

    struct ethhdr *eth = data;
    if ((void *)(eth + 1) > data_end) return TC_ACT_OK;
    if (eth->h_proto != __constant_htons(ETH_P_IP)) return TC_ACT_OK;

    struct iphdr *ip = (void *)(eth + 1);
    if ((void *)(ip + 1) > data_end) return TC_ACT_OK;
    if (ip->protocol != IPPROTO_UDP) return TC_ACT_OK;

    struct udphdr *udp = (void *)(ip + 1);
    if ((void *)(udp + 1) > data_end) return TC_ACT_OK;

    // Mark SIP traffic (port 5060) with DSCP EF (46 = 0xB8 in TOS byte)
    if (udp->dest == __constant_htons(5060) || udp->source == __constant_htons(5060)) {
        // DSCP EF = 46, shifted left 2 bits in TOS field = 184 (0xB8)
        bpf_skb_store_bytes(skb, offsetof(struct iphdr, tos) + sizeof(struct ethhdr),
                            &((__u8){184}), 1, BPF_F_RECOMPUTE_CSUM);
    }
    return TC_ACT_OK;
}

char _license[] SEC("license") = "GPL";

# Attach tc BPF program
tc qdisc add dev eth0 clsact
tc filter add dev eth0 egress bpf da obj tc_mark.o sec classifier

6. eBPF Maps کے ساتھ شرح کی حد بندی

eBPF نقشے ریاستی پروسیسنگ کو فعال کرتے ہیں۔ مندرجہ ذیل پیٹرن فی سورس-آئی پی کی شرح کو لاگو کرتا ہے a میں ذخیرہ شدہ ٹوکن بالٹی کا استعمال کرتے ہوئےBPF_MAP_TYPE_LRU_HASH:

// Conceptual token bucket per source IP — checks tokens, drops if exceeded
struct ratelimit_entry {
    __u64 tokens;        // current token count
    __u64 last_update;   // nanoseconds timestamp
};

struct {
    __uint(type, BPF_MAP_TYPE_LRU_HASH);
    __uint(max_entries, 65536);
    __type(key, __u32);                     // source IP
    __type(value, struct ratelimit_entry);
} rate_map SEC(".maps");

// In XDP program:
// 1. bpf_ktime_get_ns() — get current time
// 2. Lookup entry for src IP
// 3. Refill tokens: tokens += (elapsed_ns / 1e9) * rate_pps
// 4. If tokens >= 1: decrement and XDP_PASS
// 5. Else: XDP_DROP

7. bpftool & bpftrace Introspection

لائیو eBPF پروگراموں کے ساتھ کام کرنے کے لیے دو ضروری ٹولز:

# bpftool — inspect loaded programs and maps
bpftool prog list                         # list all loaded eBPF programs
bpftool prog show id 42                   # details for program ID 42
bpftool prog dump xlated id 42            # disassemble to eBPF bytecode
bpftool prog dump jited id 42            # dump JIT-compiled native code
bpftool map list                          # list all BPF maps
bpftool map dump name blocklist           # dump all entries in map "blocklist"
bpftool map update name blocklist \
    key 192 168 1 100 value 1 0 0 0       # add entry (network byte order)

# bpftrace — DTrace-style one-liners for kernel tracing
# Count XDP drops per second
bpftrace -e 'tracepoint:xdp:xdp_exception { @drops[args->action] = count(); } interval:s:1 { print(@drops); clear(@drops); }'

# Trace tcp_retransmit_skb — show retransmit events with comm name
bpftrace -e 'kprobe:tcp_retransmit_skb { printf("%s retransmit\n", comm); }'

# Histogram of packet sizes on eth0
bpftrace -e 'tracepoint:net:netif_receive_skb /args->name == "eth0"/ { @size = hist(args->len); }'

8. موازنہ: eBPF/XDP بمقابلہ DPDK بمقابلہ RDMA

فیچر	eBPF/XDP	ڈی پی ڈی کے	آر ڈی ایم اے
دانا کی شمولیت	کم سے کم (ڈرائیور میں XDP)	کوئی نہیں (مکمل بائی پاس)	کوئی نہیں (RDMA NIC)
میموری ماڈل	معیاری + AF_XDP UMEM	بڑے صفحات درکار ہیں۔	رجسٹرڈ میموری والے علاقے
زیادہ سے زیادہ تھرو پٹ	~100 Gbps مقامی XDP	>100 جی بی پی ایس	200+ Gbps (InfiniBand)
سی پی یو کا استعمال	کم (واقعہ پر مبنی)	ہائی (مصروف پول کور)	صفر کے قریب (آف لوڈ شدہ)
آپریشن کی پیچیدگی	کم — معیاری ٹولز	اعلی - سرشار کور، بڑے صفحات	اعلی - تانے بانے کا انتظام
کیس استعمال کریں۔	DDoS تخفیف، LB، مشاہدہ	ورچوئل راؤٹرز، این ایف وی، پیکٹ جنرل	اسٹوریج (NVMe-oF)، HPC MPI
زبان	محدود سی / زنگ	سی/زنگ	فعل API (C)

انگوٹھے کا اصول:eBPF/XDP کے ساتھ شروع کریں - یہ موجودہ کرنل ٹولز کے ساتھ مربوط ہے، کسی خاص ہارڈ ویئر یا بڑے صفحات کی ضرورت نہیں ہے، اور 100 Gbps سے کم اعلی کارکردگی والے نیٹ ورکنگ استعمال کے معاملات کو ہینڈل کرتا ہے۔ DPDK میں تبھی جائیں جب آپ کو سرشار CPU کور کی ضرورت ہو اور آپ کسی بھی کرنل شیڈولنگ اوور ہیڈ کو برداشت نہیں کر سکتے۔

لینکس ای بی پی ایف اور ایکس ڈی پی نیٹ ورکنگ پرائمر

1. eBPF کیا ہے؟

2. XDP ہک پوائنٹس

3. XDP پیکٹ ڈراپ کی مثال

4. AF_XDP: کرنل بائی پاس

5. tc BPF: ٹریفک کی تشکیل اور فلٹرنگ

6. eBPF Maps کے ساتھ شرح کی حد بندی

7. bpftool & bpftrace Introspection

8. موازنہ: eBPF/XDP بمقابلہ DPDK بمقابلہ RDMA