15、高速InfiniBand网络安全与SELinux网络访问控制

高速InfiniBand网络安全与SELinux网络访问控制

1. bpfilter的使用

要使用bpfilter，需要以适当的设置构建Linux内核，包括 CONFIG_BPFILTER 和 CONFIG_BPFILTER_UMH 。后者是bpfilter用户模式助手，它会捕获iptables生成的防火墙规则，并将其转换为eBPF应用程序。操作步骤如下：
1. 在SELinux中允许 execmem 权限：

# setsebool allow_execmem on

2. 加载bpfilter模块：

# modprobe bpfilter
# dmesg | tail
...
bpfilter: Loaded bpfilter_umh pid 2109

3. 使用之前列出的命令加载iptables防火墙，规则会被转换为eBPF程序，可通过 bpftool 查看：

# bpftool p
1: xdp  tag 8ec94a061de28c09 dev ens3
        loaded_at Apr 25/23:19  uid:0
        xlated 533B  jited 943B  me