**Show HN:** *Netfence – eBPF フィルター用の Envoy のようなツール*

Netfence – eBPF フィルタデーモン

Envoy xDS と同様に eBPF フィルタを制御します。

• Netfence は VM／コンテナホスト上でデーモンとして動作し、cgroup やネットワークインターフェースへ自動的に eBPF フィルタプログラムを注入します。
• 許可済みドメインを解決して IP アリロール（allow‑list）を構築する DNS サーバーも備えています。
• デーモンは中央制御プレーン（gRPC）に接続し、バックエンドと allow/deny リストを同期します。

制御プレーンからは以下のようなルールがプッシュされます。

ALLOW *.pypi.org
ALLOW 10.0.0.0/16

これらはアタッチされたインターフェース／cgroup に適用され、VM／コンテナが DNS を問い合わせると Netfence が解決結果を eBPF フィルタに追加し、ホストから外部へ流れる前に未知の IP へのトラフィックをドロップします。パフォーマンスに影響はありません。

主な機能

• ネットワークインターフェース（TC）または cgroup への eBPF フィルタのアタッチ
• ポリシーモード：disabled、allowlist、denylist、block‑all
• IPv4/IPv6 CIDR を TTL のオプション付きでサポート
• アタッチごとの DNS サーバーとドメイン allow/deny リスト
• ドメインルールはサブドメインを許可し、特異度に応じてマッチ（より具体的なものが優先）
• 解決済みドメインは自動で IP フィルタへ登録
• デーモンとアタッチメントのメタデータに VM ID、テナントなどを紐付け可能
• アタッチごとの DNS クエリを制御プレーンへプロキシして判断

設計・構成図

+------------------+          +--------------------------------+
|  Control Plane   |<-------> |  デーモン（ホスト毎）           |
|  (gRPC)          |  ストリーム |                                |
+------------------+          |  +------------------------+    |
                               |  | DNS サーバー            |    |
                               |  | （アタッチごと）         |    |
                               |  +------------------------+    |
                               +--------------------------------+
                                         |
                         +---------------+-------------+
                         |                             |
                      TC フィルタ（veth, eth）     Cgroup フィルタ
                                            (コンテナ)

各アタッチメントにはデーモンが割り当てるユニークな DNS アドレス（ポート）がプロビジョニングされます。
コンテナ／VM はそのアドレスを DNS として設定します。

ホスト単位

デーモン起動

# デフォルト設定で開始
netfenced start

# カスタム設定ファイルで開始
netfenced start --config /etc/netfence/config.yaml

ステータス確認

デーモンは以下の機能を持ちます。

1. ローカル gRPC API（

   DaemonService

   ）でフィルタのアタッチ／デタッチを行う
2. 制御プレーンへ双方向ストリーム（

   ControlPlane.Connect

   ）で接続する
3. eBPF プログラムをロード・管理する

アタッチメント単位

オーケストレーションシステムはデーモンのローカル API を呼び出します。

gRPC

DaemonService.Attach(
    interface_name: "veth123",
    metadata: {vm_id: "abc"}
)
// または
DaemonService.Attach(
    cgroup_path: "/sys/fs/cgroup/…",
    metadata: {container_id: "xyz"}
)

CLI

# ネットワークインターフェース（TC）にアタッチ
netfenced attach --interface veth123 --metadata vm_id=abc

# cgroup にアタッチ
netfenced attach --cgroup /sys/fs/cgroup/... --metadata container_id=xyz

# メタデータ付きでアタッチ
netfenced attach --interface eth0 --metadata tenant=acme,env=prod

デーモンは対象に eBPF フィルタをアタッチし、制御プレーンへ

Subscribed{id, target, type, metadata}

を送信して

SubscribedAck

control_plane.subscribe_ack_timeout

Unsubscribed

CLI デタッチ & リスト

netfenced detach --id <attachment-id>
netfenced list            # 現在のページを表示
netfenced list --all      # すべてのページを取得

制御プレーン API（実装する側）

ControlPlane.Connect

デーモンから受信

SyncRequest

Subscribed

Unsubscribed

デーモンへ送信

SyncAck

SyncRequest

SubscribedAck{mode, cidrs, dns_config}

SetMode{mode}

AllowCIDR{cidr, ttl}

DenyCIDR

RemoveCIDR

SetDnsMode{mode}

AllowDomain{domain}

DenyDomain

RemoveDomain

BulkUpdate{mode, cidrs, dns_config}

デーモンが

Subscribed

SubscribedAck