컨테이너 환경을 위한 eBPF(extended Berkeley Packet Filter)/XDP(Express Data Path)에 기반한 고속 네트워크 패킷 페이로드 검사 시스템

Abstract

본 명세서는 단말이 고속 네트워크 패킷 페이로드(payload)를 검사하는 방법에 있어서, 사용자로부터, 컨테이너(Container)와 관련된 L7(Layer 7) 정책(Policy)를 입력받는 단계; 패턴 컴파일러를 통해, 상기 L7 정책에 근거하여 상기 컨테이너 별로 검사할 문자열 패턴들을 추출하는 단계; 상기 패턴 컴파일러를 통해, 상기 추출된 문자열 패턴들에 근거하여, 결정적 유한 오토마톤(Deterministic finite automaton, DFA)을 생성하는 단계; 및 상기 패턴 컴파일러를 통해, 상기 결정적 유한 오토마톤의 상태 전이표를 match-action 테이블로 변환하고, 페이로드 검사 엔진을 위한 eBPF(Extended Berkeley Packet Filter) 맵(map)에 저장하는 단계;를 포함할 수 있다.