基于ebpf的防火墙--bpf-iptables

1. iptables

iptables应用广泛，但是存在一些问题：

1. 规则更新，需要重新创建所有规则
2. 规则匹配效率O(n)

2. nftables

nftables于2014年提出，目标是替代iptables，它仍然基于netfilter。

1. nftables集成了{ip,ip6,arp,eb}tables
2. 在用户空间代码改进了规则匹配算法

但是nftables/ufw/nf-hipac都没有成功，主要是因为iptables规则语法已经被普遍使用，切换新的规则语法代价太大。

3. bpf-iptables

eBPF(extended Berkeley Packet Filter)是针对于 BPF 的扩展增强，丰富了 BPF 指令集，提供了 Map 的 KV 存储结构。

我们可以利用 bpf()系统调用，初始化 eBPF 的 Program 和 Map，利用 netlink 消息或者 setsockopt()系统调用，将 eBPF 字节码注入到特定的内核处理流程中（如 XDP 等）。

bpf-iptables基于ebpf和xdp重新实现了iptables.

3.1 基于ebpf实现现有iptables的规则语义

由于iptables在内核中的hook点和ebpf不通，基于ebpf实现iptables的规则语义是有很大挑战的。

比如netfilter在内核的hook点分为：INPUT/FORWARD/OUTPUT/PREROUTING/POSTROUTING，iptables -A INPUT -j DROP只丢弃INPUT流量，不丢弃FORWARD流量。

ebpf的hook，位于trafiic control（TC） hook的前面，无法识别INPUT和FORWARD。

这就需要基于ebpf仿照iptables实现一个Chain Selector。

3.2 选择一个快速的匹配算法

bpf-iptables基于Linear Bit Vector Search算法实现数据包匹配。算法基于divide-and-conquer的思路，将一条条规则分隔，重新组织成表格。

3.3 支持会话跟踪

netfilter跟踪TCP/UDP/ICMP会话的状态，并把会话存到一个会话表中。

ebpf-iptables实现了一个简单的会话跟踪机制（不包含关联会话、IP分片重组等复杂机制），并基于一个LRU map实现了会话表，自动回收旧会话。

4. 参考

https://github.com/mbertrone/bpf-iptables
eBPF技术实践：高性能ACL