altramayor/gatekeeperIl primo sistema di protezione DDoS open-source
Gatekeeper è il primo sistema di protezione DDoS open source. È progettato per scalare a qualsiasi larghezza di banda di picco, in modo da resistere agli attacchi DDoS sia di oggi che di domani. Nonostante l'architettura geograficamente distribuita di Gatekeeper, la politica di rete che descrive tutte le decisioni da applicare al traffico in arrivo è centralizzata. Questa politica centralizzata consente agli operatori di rete di sfruttare algoritmi distribuiti che non sarebbero praticabili con latenze molto elevate (ad esempio database distribuiti) e di contrastare più attacchi DDoS multi-vettore contemporaneamente.
Gli utenti previsti di Gatekeeper sono gli operatori di rete di istituzioni, fornitori di servizi e contenuti, reti aziendali, ecc. Non è destinato all'uso da parte di singoli utenti Internet.
Per maggiori informazioni, consulta la wiki di Gatekeeper.
DPDK richiede l'uso di hugepages; le istruzioni per montare gli hugepages sono disponibili nella documentazione dei requisiti. Su molti sistemi, la seguente configurazione di hugepages è sufficiente:
$ echo 256 | sudo tee /sys/kernel/mm/hugepages/hugepages-2048kB/nr_hugepages
vfio-pciIl modulo del kernel Linux vfio-pci è necessario per associare le NIC a DPDK/Gatekeeper. Affinché vfio-pci funzioni, sia il BIOS che il kernel devono supportarlo. I BIOS devono avere VT-d abilitato. I BIOS potrebbero identificare VT-d come "Intel (R) VT for Directed I/O", "Intel (R) VT-d Feature", "Intel VT-d", "VT-d" o variazioni simili; per ulteriori esempi, cerca "BIOS VT-d" su Google Immagini. Alcuni BIOS potrebbero richiedere l'abilitazione di un'opzione chiamata "Intel (R) Virtualization Technology" (o varianti di questa stringa) prima che VT-d possa essere abilitato.
Per verificare che VT-d sia abilitato nel BIOS, esegui il seguente comando dopo l'avvio di Linux:
$ dmesg | grep -e DMAR
Se il comando sopra restituisce alcune righe, VT-d dovrebbe essere abilitato. Altrimenti, bisogna tornare al BIOS per abilitarlo. Ulteriori informazioni su come verificare che VT-d sia abilitato nel BIOS sono disponibili su questa pagina.
Una volta che VT-d è abilitato nel BIOS, bisogna assicurarsi che il kernel supporti IOMMU. Nota che è necessaria una versione del kernel maggiore di 3.6 per supportare IOMMU. Si può verificare se il kernel in esecuzione ha IOMMU abilitato per impostazione predefinita con il seguente comando:
$ grep CONFIG_INTEL_IOMMU_DEFAULT_ON /boot/config-`uname -r`
Molto probabilmente, il comando sopra restituirà # CONFIG_INTEL_IOMMU_DEFAULT_ON is not set, ovvero il kernel in esecuzione non ha IOMMU abilitato per impostazione predefinita. Modi alternativi per verificare le opzioni di build del kernel (cioè CONFIG_INTEL_IOMMU_DEFAULT_ON) sono disponibili su questa pagina.
Se il kernel non ha IOMMU abilitato per impostazione predefinita, è necessario passare il parametro di avvio del kernel intel_iommu=on tramite GRUB. Per informazioni sul perché è necessario il parametro di avvio intel_iommu=on, consulta questa pagina. Si può verificare se il kernel in esecuzione ha ricevuto questo parametro con il comando seguente:
$ cat /proc/cmdline | grep intel_iommu=on
Se il kernel in esecuzione non ha ricevuto il parametro intel_iommu=on, aggiungilo a GRUB e riavvia la macchina. Le informazioni su come aggiungere un parametro di avvio a GRUB si trovano qui.
Una volta che VT-d è abilitato nel BIOS e il kernel supporta IOMMU, si può verificare che tutto sia a posto con uno dei seguenti comandi:
$ ls /sys/kernel/iommu_groups
OPPURE
$ dmesg | grep -ie 'IOMMU\s\+enabled'
Tutto è a posto se gli output dei comandi sopra non sono vuoti.
I pacchetti Debian di Gatekeeper sono disponibili per Ubuntu 24.04 LTS nella pagina Releases del progetto.
Una volta scaricati i pacchetti, possono essere installati con i comandi seguenti:
$ tar -zxvf gatekeeper-ubuntu-24.04-packages.tar.gz
$ cd gatekeeper-ubuntu-24.04-packages
$ sudo dpkg -i gatekeeper-bird_*_amd64.deb gatekeeper_*_amd64.deb
Quando installato tramite pacchetti Debian, i file di configurazione di Gatekeeper si trovano in /etc/gatekeeper. Dovresti modificare almeno il file net.lua e impostare le variabili front_ports, front_ips, back_ports e back_ips in base al tuo ambiente.
Gli altri file Lua configurano diversi blocchi funzionali di Gatekeeper. Consulta la wiki del progetto per ulteriori informazioni sulla necessità di modificarli nella tua configurazione.
Devi anche modificare il file /etc/gatekeeper/envvars e impostare la variabile GATEKEEPER_INTERFACES sugli indirizzi PCI degli adattatori di rete da associare a DPDK. Questi possono essere trovati usando il comando lshw. Ad esempio:
# lshw -c network -businfo
Bus info Device Class Description
=======================================================
pci@0000:08:00.0 eth0 network I350 Gigabit Network Connection
pci@0000:08:00.1 eth1 network I350 Gigabit Network Connection
...
Dato questo output, imposta GATEKEEPER_INTERFACES come segue:
GATEKEEPER_INTERFACES="08:00.0 08:00.1"
Nello stesso file, puoi opzionalmente specificare le opzioni del livello di astrazione ambientale nella variabile DPDK_ARGS e le opzioni specifiche di Gatekeeper in GATEKEEPER_ARGS.
Esegui i comandi seguenti per avviare Gatekeeper e assicurarti che si avvii automaticamente ai riavvii.
$ sudo systemctl start gatekeeper
$ sudo systemctl enable gatekeeper
Installa le seguenti dipendenze software:
$ sudo apt-get update
$ sudo apt-get -y -q install git clang devscripts doxygen libhugetlbfs-bin \
build-essential gcc-multilib linux-headers-`uname -r` libmnl0 libmnl-dev \
libkmod2 libkmod-dev libnuma-dev libelf1 libelf-dev libc6-dev-i386 \
autoconf flex bison libncurses5-dev libreadline-dev python3 \
python3-pyelftools libcap-dev libcap2 meson ninja-build pkg-config