Especialistas en XDP/eBPF en Chile
XDP permite revisar cada paquete en el primer punto por el que entra al servidor, antes de que el sistema gaste recursos en él. Escribimos esos filtros para tu servicio y tu protocolo, los probamos con tráfico real y te dejamos las métricas para ver qué están deteniendo.
Filtro a medida desde $349.990 + IVA · monitoreo y ajuste desde $69.990 + IVA al mes
SEC("xdp") int filtro(struct xdp_md *ctx) { /* leer cabeceras Ethernet, IP y UDP */ if (!es_udp(ctx, &udp)) return XDP_PASS; if (udp->dest != htons(PUERTO_JUEGO)) return XDP_PASS; if (supera_limite(ip->saddr)) return XDP_DROP; /* no llega al kernel */ return XDP_PASS; }
La tecnología
eBPF es una función del kernel de Linux que permite cargar pequeños programas dentro del propio sistema operativo. Antes de aceptarlos, el kernel los verifica para asegurarse de que terminan y no pueden dañarlo, así que se ejecutan con la velocidad del kernel sin poner en riesgo el servidor.
XDP (eXpress Data Path) es el punto donde se conecta uno de esos programas: justo al llegar el paquete desde la tarjeta de red, antes de que Linux cree sus estructuras internas para procesarlo. Ahí el programa decide en nanosegundos si el paquete pasa, se descarta o se redirige.
La diferencia con un firewall tradicional es dónde se toma la decisión. iptables o nftables filtran más adentro de la pila de red, cuando el sistema ya invirtió trabajo en cada paquete. Con millones de paquetes por segundo, ese trabajo es justamente lo que tumba al servidor. XDP los descarta antes.
Comparación
| Característica | En la aplicación | nftables / iptables | XDP/eBPF |
|---|---|---|---|
| Momento del filtro | Al final, con el paquete ya procesado | Dentro de la pila de red | Al llegar desde la tarjeta de red |
| Costo por paquete | Alto | Medio | Muy bajo |
| Lógica posible | Total | Reglas y estado de conexiones | Programa a medida del protocolo |
| Mejor para | Bots que se comportan como usuarios | Política de acceso y límites | Inundaciones de paquetes |
Qué detiene
Paquetes basura contra servidores de juegos, VPN, DNS o VoIP, descartados por puerto, tamaño o formato antes de llegar al servicio.
Límites por origen y validación temprana para que la tabla de conexiones no se llene con intentos falsos.
Cabeceras inválidas o fragmentos que no corresponden al protocolo, descartados sin consumir CPU.
Contadores de qué se descarta y por qué, para ajustar los filtros con datos y no a ciegas.
Para servidores de juegos tenemos una página con el detalle: anti-DDoS para Minecraft, FiveM y otros juegos.
Cómo trabajamos
Registramos el tráfico legítimo del servicio y, si existe, el del ataque.
Escribimos el filtro para ese protocolo: validaciones, listas de permitidos y límites por IP.
El filtro cuenta lo que descartaría sin descartarlo, hasta confirmar que no toca tráfico legítimo.
Pasa a bloquear, con contadores y una forma documentada de desactivarlo en segundos.
Sin letra chica
Precios
Si tu servicio es un sitio web, quizás baste con la protección base con Cloudflare. Para servicios TCP/UDP expuestos, el filtro XDP es la pieza central.
Recomendado
Servicios TCP/UDP expuestos: APIs, VPN, servidores de juegos y otros.
$349.990 + IVA · pago único
Para adaptar los filtros cuando cambian los ataques.
$69.990 + IVA · al mes
Precios en pesos chilenos más IVA. ¿Tu caso no calza con un plan? Te cotizamos a medida.
No. XDP es la primera capa: descarta lo evidente con muy poco costo. Detrás siguen nftables para las reglas de estado, el ajuste del kernel y, en sitios web, Cloudflare. Cada capa hace lo que mejor sabe hacer.
Funciona en cualquier servidor Linux con un kernel reciente y acceso root. El rendimiento máximo se logra cuando la tarjeta de red soporta XDP nativo; en muchos VPS se usa el modo genérico, que sigue siendo bastante más eficiente que filtrar en la aplicación. Lo revisamos en el diagnóstico.
Si se escribe a ciegas, sí. Por eso partimos capturando el tráfico real y lo dejamos primero en modo observación, midiendo qué bloquearía, antes de que bloquee algo.
No por sí solo. Si el ataque llena el enlace del servidor, el tráfico legítimo ya no puede entrar, filtre lo que filtre el servidor. Esos ataques se frenan antes, en la red del proveedor; por eso nuestros Planes VPS traen mitigación nativa en la red.
Es la misma familia de tecnología: varias redes de entrega y proveedores de mitigación usan XDP/eBPF para descartar ataques en sus servidores. Nosotros la aplicamos a la medida de un servidor y un protocolo concretos.
Siguiente paso
Dinos qué protocolo usa, dónde está alojado y qué ataques has recibido. Te respondemos con lo que haría falta y su precio.