有哪些开源的eBPF防火墙项目？

原创于 2025-05-15 00:08:41 发布 · 843 阅读

18 ·

CC 4.0 BY-SA版权

文章标签：

#开源 #防火墙 #eBPF

安全同时被 3 个专栏收录

60 篇文章

订阅专栏

加固

22 篇文章

订阅专栏

防火墙

3 篇文章

订阅专栏

开源eBPF防火墙项目全景盘点

以下是当前活跃的主要开源eBPF防火墙项目，按照应用场景和技术特点分类：

一、云原生/Kubernetes防火墙

1. Cilium

GitHub: https://github.com/cilium/cilium

核心能力：

// 示例：K8s NetworkPolicy的eBPF实现
type PolicyRule struct {
    SourceLabels map[string]string
    DestinationPort int
    Protocol string // "TCP"|"UDP"
    Action string   // "ALLOW"|"DENY"
}

func compileToBPF(rules []PolicyRule) []bpf.Instruction {
    // 将K8s策略编译为eBPF字节码
}

技术亮点：
- 替代kube-proxy实现服务发现
- 支持L3-L7网络策略
- 与Envoy集成实现API网关功能

2. Calico eBPF模式

项目地址: https://projectcalico.docs.tigera.io/about/about-ebpf

架构创新：

传统iptables规则 → eBPF编译器 → 优化的eBPF程序
                  ↓
内核中执行的高性能策略匹配

性能对比：
操作 iptables模式 eBPF模式
策略更新延迟 500-1000ms <10ms
连接追踪内存 1.5MB/连接 0.3MB/连接

操作	iptables模式	eBPF模式
策略更新延迟	500-1000ms	<10ms
连接追踪内存	1.5MB/连接	0.3MB/连接

二、主机级防火墙

3. OpenSnitch

GitHub: https://github.com/evilsocket/opensnitch

独特功能：

# 基于应用行为的规则示例
rule = {
    "name": "Block可疑Python",
    "condition": {
        "binary": "/usr/bin/python*",
        "dst_port": ">1024",
        "dst_ip": "!192.168.1.0/24"
    },
    "action": "deny"
}

特色：
- 图形化实时连接监控
- 支持进程树跟踪
- 类似Little Snitch的交互式弹窗

4. bpfilter

内核文档: https://www.kernel.org/doc/html/latest/networking/bpfilter.html

技术实现：

// 内核模块将iptables规则转译为eBPF
static struct nf_hook_ops bpfilter_ops = {
    .hook = bpfilter_nf_hook,
    .pf = NFPROTO_IPV4,
    .hooknum = NF_INET_LOCAL_IN,
    .priority = NF_IP_PRI_FILTER - 1,
};

优势：
- 兼容现有iptables规则集
- 内核内置，无需额外依赖

三、网络层防火墙

5. Merbridge

GitHub: https://github.com/merbridge/merbridge
服务网格加速：
性能提升：
- 减少服务网格延迟达90%
- 降低CPU使用率70%

6. L3AF

项目地址: https://github.com/l3af-project

架构设计：

控制平面 ──┬─ eBPF程序管理
          ├─ 规则分发
          └─ 监控指标收集

特色功能：
- 支持eBPF程序热加载
- 提供REST API管理接口

四、开发框架类

7. libbpf-bootstrap

GitHub: https://github.com/libbpf/libbpf-bootstrap

防火墙模板包含：

// 示例防火墙骨架代码
SEC("xdp")
int firewall(struct xdp_md *ctx) {
    struct cursor c;
    struct pkt_ctx pkt;
    
    if (!parse_packet(&c, &pkt, ctx))
        return XDP_PASS;

    return apply_rules(&pkt); // 规则匹配核心逻辑
}

优势：
- 提供完整构建系统
- 包含CO-RE(Compile Once-Run Everywhere)支持

8. redbpf

GitHub: https://github.com/foniod/redbpf

Rust实现示例：

#[xdp]
fn firewall(ctx: XdpContext) -> XdpResult {
    let eth = ctx.eth()?;
    if eth.ether_type != EtherType::Ipv4 {
        return Ok(XdpAction::Pass);
    }
    
    let ip = ctx.ip()?;
    if is_blocked(ip.src_addr, ip.dst_addr) {
        Ok(XdpAction::Drop)
    } else {
        Ok(XdpAction::Pass)
    }
}

特点：
- 内存安全保证
- 异步监控接口

五、特殊场景方案

9. eBPF for Windows

GitHub: https://github.com/microsoft/ebpf-for-windows

防火墙扩展：

// Windows过滤驱动集成
NTSTATUS FilterAttach(
    _Inout_ PFLT_FILTER Filter,
    _In_ PFLT_INSTANCE Instance,
    _In_ FLT_CONTEXT_TYPE ContextType,
    _In_ ULONG Size)
{
    return EbpfProgramAttach(Filter, Instance);
}

应用场景：
- Windows容器网络策略
- 主机入侵防御

10. Polycube

GitHub: https://github.com/polycube-network/polycube

模块化架构：

防火墙模块 ──┬─ 状态检测
           ├─ NAT转换
           └─ 负载均衡

特色：
- 支持DSL定义网络功能
- 可组合的服务链

技术对比表

项目	主要语言	核心优势	适用场景	生产就绪度
Cilium	Go/C	K8s深度集成，全栈可观测性	云原生环境	★★★★★
Calico eBPF	Go	从iptables平滑迁移	混合云部署	★★★★☆
OpenSnitch	Python	应用级精细控制，GUI管理	开发工作站	★★★☆☆
Merbridge	Go	服务网格零侵入加速	Istio/Linkerd环境	★★★★☆
Polycube	C++	模块化网络功能链	网络功能虚拟化	★★★☆☆

部署建议

Kubernetes环境

# Cilium安装示例
helm install cilium cilium/cilium \
  --namespace kube-system \
  --set ebpffirewall.enabled=true \
  --set kubeProxyReplacement=strict

主机防护

# OpenSnitch安装
sudo apt install opensnitch
sudo systemctl enable opensnitchd

开发测试

# 使用libbpf-bootstrap创建防火墙项目
git clone https://github.com/libbpf/libbpf-bootstrap
cd libbpf-bootstrap/examples/c
make firewall
sudo ./firewall -i eth0

未来发展方向

硬件卸载：将eBPF防火墙规则编译为SmartNIC可执行代码
- 如NVIDIA BlueField DPU支持

AI集成：

# 动态规则生成示例
model = load_anomaly_detection_model()
while True:
    flows = get_flow_stats(bpf_map)
    new_rules = model.generate_rules(flows)
    update_bpf_firewall(new_rules)