Siper (Bouclier)

Siper est un pare-feu de liste noire IP haute performance basé sur XDP, construit avec Go et C (eBPF). Il vous permet de supprimer le trafic malveillant au stade le plus précoce possible de la pile réseau Linux — au niveau du pilote réseau. En exploitant XDP (Express Data Path), Siper traite les paquets avant même qu'ils n'atteignent le sous-système réseau lourd du noyau, offrant des performances extrêmes même sous des conditions DDoS intenses.

Fonctionnalités

• Performances pilotées par XDP : Le filtrage de paquets se produit au niveau du pilote NIC à l'aide de XDP_DROP, ce qui entraîne une surcharge CPU considérablement réduite par rapport à iptables ou nftables.

• LPM (Correspondance de préfixe la plus longue) : Prend en charge le blocage basé sur CIDR (par exemple, 192.168.1.0/24) en utilisant des cartes BPF LPM Trie spécialisées pour des recherches efficaces de plages IP.

• Configuration persistante : Les règles sont gérées via une liste noire locale basée sur JSON, permettant un audit et un versionnage faciles des adresses bloquées.

• Observabilité en temps réel : Métriques intégrées pour suivre les compteurs de paquets et d'octets pour le trafic rejeté et passé.

• Architecture minimaliste : Un objet BPF compilé gère le plan de données, tandis qu'une CLI basée sur Go gère le plan de contrôle.

Architecture

Siper fonctionne sur le principe de séparation du plan de contrôle (espace utilisateur) du plan de données (espace noyau).

Le flux de gestion (espace utilisateur)

1. Définition des règles : L'utilisateur ajoute/supprime des CIDR via la CLI. Ceux-ci sont stockés dans un fichier blacklist.json.
2. Chargement : Lorsque siper run est exécuté, l'application Go parse le JSON, compile/charge l'objet eBPF et remplit la carte BPF avec les préfixes IP.
3. Surveillance : La CLI communique avec le noyau via les appels système BPF pour vider les métriques et les états actuels de la carte sans interrompre le trafic.

Le flux de paquets (espace noyau)

1. Entrée : Un paquet arrive à l'interface réseau.
2. Recherche : Le programme XDP intercepte le paquet et effectue une recherche dans la carte block_list.
3. Verdict :
   • Correspondance : Le paquet est immédiatement supprimé (XDP_DROP).
   • Aucune correspondance : Le paquet est transmis à la pile réseau Linux standard (XDP_PASS).

Installation et utilisation

Prérequis

• Noyau Linux : 5.4 ou plus récent (avec support XDP).
• Go : 1.21+ installé.
• Clang/LLVM : Pour compiler le programme C eBPF en objet .o.
• Permissions : Accès root ou capacités CAP_NET_ADMIN / CAP_BPF.

1.Construire le projet

make

Déplacez-vous dans le répertoire build/

2.Gérer la liste noire

Ajoutez ou supprimez des plages IP de votre fichier de configuration local :

# Ajouter un CIDR à la liste
sudo ./siper add --cidr 1.2.3.0/24 --comment "Botnet connu"

# Supprimer une règle
sudo ./siper del --cidr 1.2.3.0/24

3.Exécuter le pare-feu

Attachez le pare-feu à une interface réseau spécifique :

# Démarrer le pare-feu
sudo ./siper run --iface eth0 --path ./blacklist.json

# Arrêter et détacher le pare-feu
sudo ./siper stop --iface eth0

4.Surveillance des métriques et des clés

Voir ce qui se passe à l'intérieur du noyau :

# Voir les clés actuellement actives dans la carte BPF
sudo ./siper dump-keys

# Surveiller les statistiques de rejet/transmission
sudo ./siper dump-metrics

Contribuer

Les pull requests sont les bienvenues. Pour les corrections de bugs et les petites améliorations, veuillez soumettre une pull request. Pour les modifications majeures, veuillez d'abord ouvrir une issue pour discuter de ce que vous souhaitez changer.

Licence

Ce projet est un logiciel libre ; vous pouvez le redistribuer et/ou le modifier selon les termes de la licence GPLv3. Voir LICENSE pour les détails.