XDP-armor v1.5
自封防护:别把正在操作的会话封出去
封禁自己所在的网段前,先读内核 socket 表(/proc/net/tcp{,6}),锁定此刻正连着本机管理端口(Web 监听口 + SSH 22)、处于 ESTABLISHED 的对端地址 —— 那正是 XDP 封禁会切掉的源地址。这是 L3/L4 事实:伪造不了 X-Forwarded-For,也不会被反代抹平成环回。
命中当前会话时默认拦一次,给出"我确认能从别处回退"复选框才放行,并记入审计(含来源地址)。提示明确:失联后这些规则不进 iptables/nft/firewalld,只能在物理控制台用 xdp-ban status / xdp-ban why <ip> 定位。
xdp-ban demo:三十秒看清值不值得装
一条命令自造 veth 冒充攻击者,挂上 XDP、凭空按下封禁、从对端发包 —— 当场展示 iptables 一片空白而内核计数器却在涨。需要一台 Linux 与 root。
产物
xdp-ban-linux-amd64/xdp-ban-linux-arm64:纯 Go 静态二进制(CGO_ENABLED=0),eBPF bytecode 已内嵌,拷过去就能跑。SHA256SUMS:校验和。