Siper (Escudo)

Siper es un cortafuegos de listas negras IP basado en XDP de alto rendimiento, construido con Go y C (eBPF). Permite descartar tráfico malicioso en la etapa más temprana posible de la pila de red de Linux—el nivel del controlador de red. Al aprovechar XDP (Express Data Path), Siper procesa los paquetes antes de que lleguen al pesado subsistema de red del kernel, proporcionando un rendimiento extremo incluso bajo condiciones de DDoS pesado.

Características

• Rendimiento Impulsado por XDP: El filtrado de paquetes ocurre a nivel del controlador de NIC usando XDP_DROP, resultando en una sobrecarga de CPU significativamente menor en comparación con iptables o nftables.

• LPM (Coincidencia de Prefijo Más Largo): Soporta bloqueo basado en CIDR (p. ej., 192.168.1.0/24) usando mapas especializados BPF LPM Trie para búsquedas eficientes de rangos IP.

• Configuración Persistente: Las reglas se gestionan a través de una lista negra local basada en JSON, permitiendo una fácil auditoría y versionado de las direcciones bloqueadas.

• Observabilidad en Tiempo Real: Métricas integradas para rastrear contadores de paquetes y bytes tanto para tráfico descartado como para el que pasa.

• Arquitectura Minimalista: Un objeto BPF compilado maneja el plano de datos, mientras que una CLI basada en Go gestiona el plano de control.

Arquitectura

Siper opera bajo el principio de separar el Plano de Control (Espacio de Usuario) del Plano de Datos (Espacio de Kernel).

El Flujo de Gestión (Espacio de Usuario)

1. Definición de Reglas: El usuario añade/elimina CIDRs mediante la CLI. Estos se almacenan en un archivo blacklist.json.
2. Carga: Cuando se ejecuta siper run, la aplicación Go analiza el JSON, compila/carga el objeto eBPF y llena el Mapa BPF con los prefijos IP.
3. Monitoreo: La CLI se comunica con el kernel a través de llamadas al sistema BPF para volcar métricas y estados actuales del mapa sin interrumpir el tráfico.

El Flujo de Paquetes (Espacio de Kernel)

1. Ingreso: Un paquete llega a la interfaz de red.

2. Búsqueda: El programa XDP intercepta el paquete y realiza una búsqueda en el mapa block_list.

3. Veredicto:

   • Coincidencia: El paquete se descarta inmediatamente (XDP_DROP).
   • Sin Coincidencia: El paquete se pasa a la pila de red estándar de Linux (XDP_PASS).

Instalación y Uso

Requisitos Previos

• Kernel de Linux: 5.4 o más reciente (con soporte XDP).
• Go: 1.21+ instalado.
• Clang/LLVM: Para compilar el programa C de eBPF en el objeto .o.
• Permisos: Acceso root o capacidades CAP_NET_ADMIN / CAP_BPF.

1.Compilar el Proyecto

make

Mover al directorio build/

2.Gestionar la Lista Negra

Añadir o eliminar rangos IP de su archivo de configuración local:

# Añadir un CIDR a la lista
sudo ./siper add --cidr 1.2.3.0/24 --comment "Botnet conocida"

# Eliminar una regla
sudo ./siper del --cidr 1.2.3.0/24

3.Ejecutar el Cortafuegos

Adjuntar el cortafuegos a una interfaz de red específica:

# Iniciar el cortafuegos
sudo ./siper run --iface eth0 --path ./blacklist.json

# Detener y desvincular el cortafuegos
sudo ./siper stop --iface eth0

4.Monitorear Métricas y Claves

Ver lo que está sucediendo dentro del kernel:

# Ver las claves actualmente activas en el mapa BPF
sudo ./siper dump-keys

# Monitorear estadísticas de descarte/paso
sudo ./siper dump-metrics

Contribuciones

Las solicitudes de extracción son bienvenidas. Para correcciones de errores y mejoras pequeñas, envíe una solicitud de extracción. Para cambios importantes, abra primero un issue para discutir lo que le gustaría cambiar.

Licencia

Este proyecto es software libre; puede redistribuirlo y/o modificarlo bajo los términos de la licencia GPLv3. Consulte LICENSE para más detalles.