Компанията Cloudflare публикува xdpcap, анализатор на трафик, базиран на подсистемата XDP.

Компания Cloudflare представи отворен проект xdpcap, в който се развива анализатор на мрежови пакети, подобен на tcpdump, основан на подсистемата XDP (eXpress Data Path). Кодът на проекта е написан на Go и се разпространява е с лиценз BSD. Проектът включва също така е подготвена библиотека за свързване на eBPF обработчици на трафик от приложения на Go.

Утилитата xdpcap е съвместима с изразите за филтриране на tcpdump/libpcap и позволява да се обработват значително по-големи обеми трафик на същото оборудване. Xdpcap може да се използва и за отстраняване на проблеми в условия, при които обичайният tcpdump не е приложим, например, когато се използват филтриращи системи, защита от DoS атаки и системи за натоварване, които използват подсистемата XDP на ядрото на Linux, обработваща пакетите преди тяхното преминаване през мрежовия стек на ядрото (tcpdump не вижда пакетите, отхвърлени от обработчика XDP).

Високата производителност се постига благодарение на използването на подсистемите eBPF и XDP. eBPF е вграден интерпретатор на байткод в ядрото на Linux, позволяващ създаването на високо производителни обработчици на входящи/изходящи пакети с решения за пренасочване или отхвърляне. С помощта на JIT компилатора байткодът eBPF се трансформира в машинни инструкции на летището и се изпълнява с производителността на нативен код. Подсистемата XDP (eXpress Data Path) допълва eBPF с възможността да изпълнява BPF програми на нивото на мрежовия драйвер, като поддържа директен достъп до DMA буферите на пакетите и работи на етапа преди разпределянето на буфера skbuff от мрежовия стек.

Подобно на tcpdump, утилитата xdpcap първоначално трансформира високопрофилни правила за филтриране на трафик в класическото представление на BPF (cBPF) с помощта на стандартната библиотека libpcap, след което ги преобразува в подпрограми eBPF, използвайки компилатора cbpfc, използващ разработки на LLVM/Clang. На изхода информацията за трафика се съхранява в стандартен формат pcap, което позволява да се използва подготвеният в xdpcap дамп на трафика за последващо проучване в tcpdump и други съществуващи анализатори на трафик. Например, за захващане на информация за DNS трафик вместо командата «tcpdump ip and udp port 53» може да стартирате «xdpcap /path/to/hook capture.pcap ‘ip and udp port 53’», след което да използвате файла capture.pcap, например с командата «tcpdump -r» или в Wireshark.

Източник: opennet.ru