Mastodawn

LibreQoS Backend Architecture and Queueing Design - This is for all the nerds who want to delve into how #LibreQoS works on the backend:

https://libreqos.readthedocs.io/en/latest/docs/v2.0/libreqos-backend-architecture.html

#bufferbloat #FQ_CoDel #sch_CAKE #RFC8290 #latency #jitter #QoE #QoS #broadband #Kernel #QualityOfExperience #QualityOfService #Linux #XDP #eBPF #AQM #Espanol #ActiveQueueManagement #HierarchicalTokenBucket #LinuxKernel

Habr Feb 10

XDP + Jenkins: высокоскоростной фильтр по TLS-отпечаткам

В период массового импортозамещения средств защиты от DDoS один из провайдеров перевёл свои центры очистки трафика на отечественное решение. Помимо стандартной защиты на уровне L4, провайдер позиционировал его нам как эффективную защиту от L7-атак за счёт механизма фильтрации по TLS-отпечаткам (тогда это был ещё JA3). Однако на практике мы показали, что рандомизация параметров отпечатка (cipher suites, extensions, порядок) позволяет обойти этот механизм и существенно снижает его эффективность против L7-атак. Стоит ли использовать механизмы защиты по отпечаткам JA3/JA4, зная о возможности обхода? Да, стоит. Процесс обхода требует от атакующего значительных ресурсов — кастомного TLS-клиента для генерации уникальных отпечатков. При дополнительной настройке, например, добавлении счётчика с разными лимитами для новых и известных отпечатков (более высокие лимиты для «белых» отпечатков), можно добиться высокой эффективности против ботовых L7-атак (флуд от ботов с повторяющимися отпечатками). В этой статье мы реализуем защиту на основе фильтрации TLS-отпечатков, вдохновлённую подходом JA4, но в упрощённой версии FST1 (по отсортированным cipher suites с использованием Jenkins-хэша). Почему не полноценный JA4? Из-за жёстких ограничений eBPF (ограниченный стек, запрет на сложные циклы, отсутствие динамической памяти и строгие правила верификатора ядра) реализация полного JA4 (с учётом всех расширений, ALPN и других параметров) становится крайне сложной.

https://habr.com/ru/articles/994962/

#xdp #ebpf #ddos #linux

XDP + Jenkins: высокоскоростной фильтр по TLS-отпечаткам

Хабр

Zdroják Nov 26

Cloudflare chrání miliony webů po celém světě před DDoS útoky a dalšími hrozbami. Díky obrovské síti datacenter, vlastnímu softwaru a inteligentní automatizaci dokáže zachytit i ty nejmasivnější útoky, často během několika sekund, aniž by ohrozila přístup legitimních návštěvníků.

https://zdrojak.cz/clanky/proc-ma-cloudflare-spickovou-ddos-ochranu-a-jak-funguje/

Habr Nov 16

Реализация гео-блокировки на основе eBPF/XDP

В 2022 году финансовый сектор, в частности банки, столкнулся с волной продолжительных и достаточно мощных DDoS-атак разных векторов. Среди них были и банальные L7 HTTP-флуды, не представлявшие собой ничего сложного в техническом плане, но для организаций с несколькими сотнями пользовательских сервисов и защитой от L7-атак только критичных из них, это стало серьезным вызовом. Типичная L4-защита не давала необходимой эффективности, а количество атакующих устройств было достаточно, чтобы забить каналы пропускной способностью в десятки гигабит. Тогда на помощь пришла фильтрация трафика по географическому признаку, поскольку основная часть атакующего трафика шла из-за границы. Применение гео-фильтрации оказалось достаточным, чтобы в критический момент восстановить доступность сервисов и выиграть время для настройки более точной защиты на основе детального анализа трафика. Этот опыт наглядно показал, что иногда простые решения оказываются наиболее эффективными в критических ситуациях. Гео-фильтрация, будучи грубым инструментом, в условиях DDoS-атаки может стать тем самым «спасательным кругом», который позволяет локализовать проблему и выиграть время для более тонкой настройки. Технология XDP (eXpress Data Path) идеально подходит для таких сценариев — она позволяет обрабатывать пакеты на самом раннем этапе, еще до того, как они попадут в сетевой стек ядра, что обеспечивает беспрецедентную производительность. Данной статьей хочется продемонстрировать, как с помощью XDP можно достаточно легко реализовать собственный гео-фильтр. Эту защиту можно реализовать, например, модулями nginx, но в таком случае все нежелательные запросы будут проходить полный сетевой стек операционной системы и потреблять ресурсы веб-сервера, прежде чем быть отклоненными. В нашем же случае защита отрабатывает до того, как пакеты поступят в сетевой стек ядра.

https://habr.com/ru/articles/966938/

#xdp #ebpf #ddos #linux

Реализация гео-блокировки на основе eBPF/XDP

Хабр

N-gated Hacker News Nov 5

🎉 Wow, someone discovered that #XDP can handle #egress traffic! 🚀 Meanwhile, the rest of us are just trying to figure out why we should care about packet processing speeds when our network is already down. 😂 #KubeConBooth1752
https://loopholelabs.io/blog/xdp-for-egress-traffic #traffic #packetprocessing #KubeCon #networkperformance #technews #HackerNews #ngated

Using XDP for Egress Traffic

XDP only works for ingress. We found a loophole that lets it work for egress. Here's how we did the impossible.

Hacker News Nov 5

An eBPF Loophole: Using XDP for Egress Traffic

https://loopholelabs.io/blog/xdp-for-egress-traffic

#HackerNews #eBPF #XDP #EgressTraffic #Networking #TechInnovation

Using XDP for Egress Traffic

XDP only works for ingress. We found a loophole that lets it work for egress. Here's how we did the impossible.

GripNews Nov 5

🌗 eBPF 的漏洞：利用 XDP 處理出口流量
➤ 突破 XDP 僅限入口流量的限制，實現十倍速的出口封包處理
✤ https://loopholelabs.io/blog/xdp-for-egress-traffic
本文揭示一種利用 Linux 核心在封包方向判斷上的漏洞，實現透過 eBPF 的 XDP（eXpress Data Path）框架處理出口（egress）流量的創新方法。傳統上 XDP 僅支援入口（ingress）流量，作者團隊透過深入研究 Linux 核心封包處理機制，發現可透過虛擬乙太網路（veth）介面，將原本被視為出口的封包「偽裝」成入口流量，進而讓 XDP 在不修改核心程式碼的情況下，大幅提升封包處理效能。此技術預期能提供比現有解決方案高出 10 倍的效能，並無縫整合至現有的 Docker/Kubernetes 容器環境，為大規模工作負載的即時遷移與網路處理帶來革命性的突破。
+ 太棒了！一直覺得 XDP 只能處理入口流量是個遺憾，這篇技術文提供了絕佳的解決方案。
+ 這篇技術分享真的很有深度，深入探
#網路安全 #eBPF #XDP #Linux 核心

Using XDP for Egress Traffic

XDP only works for ingress. We found a loophole that lets it work for egress. Here's how we did the impossible.

GripNews Oct 3

🌗 我如何阻擋所有你傳送的 2600 萬次 Curl 請求
➤ 利用 XDP 和 eBPF 打造高效能封包過濾器，阻擋惡意流量
✤ https://foxmoss.com/blog/packet-filtering/
本文作者分享瞭如何利用 Linux 的 XDP (Express Data Path) 技術，配合 eBPF 程式，實時過濾並阻擋惡意或不必要的網路請求，特別是針對 Curl 工具產生的請求。作者深入探討了 eBPF 的工作原理、封包解析、TLS 指紋識別技術 JA4 的簡化版 FST1，以及如何在資源受限的 eBPF 環境中實現高效的哈希與排序演算法，以達到每秒處理數千萬個封包的目標，有效保護伺服器免受流量攻擊。
+ 太強大了！XDP 和 eBPF 的組合聽起來非常有潛力，尤其是在應對 DDoS 攻擊和爬蟲方面。
+ eBPF 的限制和如何繞過它們，像是用 Jenkins hash 和自訂排序，這部分寫得真詳細，受益良多。
#網路安全 #eBPF #XDP #流量控制 #伺服器管理

NLnet Labs Sep 3, 2025

NSD 4.13.0 is now available. The most prominent new feature of our authoritative #DNS server is support for AF_XDP sockets.

With zero-copy disabled, we see a 1.7x improvement in handled queries per second compared to UDP through the network stack. We expect the improvement to be higher with a driver that fully supports AF_XDP zero-copy mode.

Release notes:
https://github.com/NLnetLabs/nsd/releases/tag/NSD_4_13_0_REL

Blog post:
https://blog.nlnetlabs.nl/experimental-support-for-af_xdp-sockets-in-nsd/

#XDP #EBPF

Release NSD 4.13.0 · NLnetLabs/nsd

This release enables some commonly used features by default, and introduces experimental support for AF_XDP sockets that can be enabled with the --enable-xdp feature flag (see https://nsd.docs.nlne...

GitHub