blocker_kern.c

Go to the documentation of this file.

/// \file blocker_kern.c
/// \brief XDP BPF-программа фильтрации пакетов по whitelist/blacklist.
///
/// Компилируется clang -target bpf и встраивается в userspace-бинарник
/// в виде C-массива байткода (через xxd).
///
/// Обработка пакета:
/// 1. Парсинг Ethernet + IPv4 заголовков.
/// 2. Поиск source IP в whitelist_map (LPM trie) -> XDP_PASS если найден.
/// 3. Поиск source IP в blacklist_map (LPM trie) -> XDP_DROP если найден,
///    атомарный инкремент drop_counter для source IP.
/// 4. Иначе -> XDP_PASS.
 
#include <bpf/bpf_endian.h>
#include <bpf/bpf_helpers.h>
#include <linux/bpf.h>
#include <linux/if_ether.h>
#include <linux/ip.h>
 
/// Ключ для LPM trie-карт: длина префикса + IP в network byte order.
struct lpm_key {
  __u32 prefixlen; ///< Количество значащих битов (0-32).
  __u32 ip;        ///< IP-адрес в network byte order (с маской).
};
 
/// LPM trie белого списка: IP-адреса источников, пропускаемые без проверки
/// чёрного списка.
struct {
  __uint(type, BPF_MAP_TYPE_LPM_TRIE);
  __uint(max_entries, 65536);
  __type(key, struct lpm_key);
  __type(value, __u32);
  __uint(map_flags, BPF_F_NO_PREALLOC);
} whitelist_map SEC(".maps");
 
/// LPM trie чёрного списка: IP-адреса источников для немедленного сброса.
struct {
  __uint(type, BPF_MAP_TYPE_LPM_TRIE);
  __uint(max_entries, 65536);
  __type(key, struct lpm_key);
  __type(value, __u32);
  __uint(map_flags, BPF_F_NO_PREALLOC);
} blacklist_map SEC(".maps");
 
/// Хэш-карта счётчиков дропов: количество отброшенных пакетов по source IP.
struct {
  __uint(type, BPF_MAP_TYPE_HASH);
  __uint(max_entries, 65536);
  __type(key, __u32);
  __type(value, __u64);
  __uint(map_flags, BPF_F_NO_PREALLOC);
} drop_counter SEC(".maps");
 
/// Точка входа XDP: фильтрует пакеты по картам whitelist и blacklist.
/// @param[in] ctx  Метаданные XDP (указатели на данные пакета).
/// @return XDP_PASS или XDP_DROP.
SEC("xdp")
int xdp_blocker_func(struct xdp_md *ctx) {
  void *data_end = (void *)(unsigned long long)ctx->data_end;
  void *data = (void *)(unsigned long long)ctx->data;
 
  struct ethhdr *eth = data;
  if ((void *)(eth + 1) > data_end)
    return XDP_PASS;
 
  if (bpf_ntohs(eth->h_proto) != ETH_P_IP)
    return XDP_PASS;
 
  struct iphdr *ip = (struct iphdr *)(eth + 1);
  if ((void *)(ip + 1) > data_end)
    return XDP_PASS;
 
  struct lpm_key key = {};
  key.prefixlen = 32;
  key.ip = ip->saddr;
 
  if (bpf_map_lookup_elem(&whitelist_map, &key))
    return XDP_PASS;
 
  if (bpf_map_lookup_elem(&blacklist_map, &key)) {
    __u64 *count = bpf_map_lookup_elem(&drop_counter, &ip->saddr);
    if (count)
      __sync_fetch_and_add(count, 1);
    else {
      __u64 one = 1;
      bpf_map_update_elem(&drop_counter, &ip->saddr, &one, BPF_NOEXIST);
    }
    return XDP_DROP;
  }
 
  return XDP_PASS;
}
 
/// Лицензия BPF-программы (требуется верификатором ядра).
char _license[] SEC("license") = "GPL";