rho-aias基于eBPF/XDP的高性能网络防火墙

在网络驱动层（L3）拦截和过滤数据包，比传统 netfilter/iptables 拥有更优的性能表现

🛡️

XDP 包过滤

基于 eBPF XDP 程序实现 L3 层数据包拦截，支持 IPv4/IPv6 精确匹配和 CIDR 范围匹配，性能远超传统 iptables，单核可处理数百万 PPS。

📋

支持手动规则、IPSum/Spamhaus 威胁情报订阅、GeoIP 地域封禁、WAF 联动、Rate Limit 独立模块、异常检测等多源规则，通过位掩码实现多源聚合。

🔗

监控 Caddy + Coraza WAF 日志，自动提取恶意 IP 并联动防火墙进行封禁。Rate Limit 已独立为单独模块，两者配置分离互不干扰。

📊

基于 IQR（四分位距）统计基线自动识别 SYN Flood、UDP Flood、ICMP Flood、ACK Flood 等攻击流量，相比传统 3σ 算法抗干扰能力更强，实时告警并自动响应封禁。

🔐

基于 eBPF probes 内核级实时检测 SSH 暴力破解攻击。通过 inet_csk_accept、pam_authenticate 等探针在内核态捕获认证事件，无需依赖日志文件，零延迟且不可绕过。

🚦

基于 TC eBPF 令牌桶算法实现出口流量控制，per-flow 维度按目标 IP 限速。可选丢包日志记录与统计分析，有效防止带宽滥用和数据外泄。

🌍

集成 MaxMind GeoIP 数据库，支持白名单/黑名单两种模式，按国家/地区自动封禁或放行流量，灵活应对地域性攻击。

🔒

内置 JWT/API Key/Casbin RBAC 认证体系，支持验证码防暴力破解，RESTful API 接口支持细粒度权限控制，保障管理安全。

📝

实时记录 XDP 层拦截事件，支持 GeoEnrich IP 归属地自动补全、内存缓存快速查询和文件持久化，提供多维度统计分析。

⚡

XDP/TC eBPF 程序在网卡驱动层执行，数据包在进入内核协议栈前即被处理，入站出站双向防护均实现极低延迟和高吞吐量，CPU 开销极小。

🔄

支持 8 大模块运行时动态配置热更新，通过 API 即可调整 FailGuard、异常检测、Egress 限速等核心参数，无需重启服务即可生效。