Документация

Bcloud Catalyst — гибридный файрвол с ядром на eBPF/XDP. Эта документация описывает установку, модель политик, работу с 5 зонами доступности и API.

Введение

Catalyst работает на двух уровнях: локальном (ядро на узле — XDP-программа, конвертирует YAML-политики в BPF-байткод) и облачном (контроллер, агрегирует телеметрию, распространяет политики и обновления Threat Intelligence).

Даже при полной потере связи с контроллером каждый узел продолжает фильтровать трафик по последней применённой версии политики — это fail-static, а не fail-open.

Быстрый старт

Установка за 60 секунд на чистом Ubuntu 24.04:

bash# 1. Добавляем репозиторий
curl -fsSL https://repo.b-cloud.xyz/catalyst.gpg | sudo gpg --dearmor -o /etc/apt/keyrings/catalyst.gpg
echo "deb [signed-by=/etc/apt/keyrings/catalyst.gpg] https://repo.b-cloud.xyz/apt stable main" | sudo tee /etc/apt/sources.list.d/catalyst.list

# 2. Устанавливаем
sudo apt update && sudo apt install -y catalyst

# 3. Регистрируем узел и вводим токен из панели
sudo catalyst init --token="cat_live_xxxxxxxxxxxxxxxxxxxxxxxx"

# 4. Проверяем состояние
sudo catalyst status

INFO Первый узел автоматически попадает в зону eu-central-1 (Frankfurt). Сменить зону можно в панели или флагом --zone при catalyst init.

Требования

Компонент	Минимум	Рекомендуется
CPU	4 vCPU	8+ vCPU (XDP native)
RAM	4 GB	16 GB
Диск	20 GB SSD	NVMe, RAID1
Ядро Linux	5.15	6.1+ (полная поддержка XDP)
ОС	Ubuntu 22.04 / Debian 12	Ubuntu 24.04
Сеть	1 Gbps	10 Gbps

Установка

Из репозитория (рекомендуется)

bashsudo apt install -y catalyst
sudo systemctl enable --now catalyst

Бинарник вручную

bashcurl -fsSL https://repo.b-cloud.xyz/catalyst/v4.1.0/catalyst-linux-amd64 -o /usr/local/bin/catalyst
sudo chmod +x /usr/local/bin/catalyst
catalyst version

Docker

bashdocker run -d --name catalyst \
  --privileged --network host \
  -v /etc/catalyst:/etc/catalyst \
  ghcr.io/bcloud/catalyst:4.1.0

WARN Для XDP-native режима нужен флаг --privileged и сетевой интерфейс в host-режиме. В generic-режиме (без XDP-native) privileged не требуется, но задержка вырастает с ~18 µs до ~200 µs.

Узлы

Узел (node) — это один сервер или VM, на котором запущен демон Catalyst. Каждый узел имеет уникальный идентификатор вида Pl-1_FH, привязан к зоне доступности и обменивается с контроллером по mTLS.

Команды управления узлом:

bashcatalyst status                # статус локального узла
catalyst node info             # детали: зона, версия, BPF-программы
catalyst node drain            # дренаж соединений перед обслуживанием
catalyst node leave            # отключить от кластера

Правила

Правило (rule) — минимальная единица фильтрации: одно условие, одно действие, один приоритет. Правила компилируются в BPF-байткод и хранятся в кольцевом буфере ядра.

yaml- name: "block-known-bad-ips"
  priority: 5
  action: deny
  source:
    feed: threat-intel:high-confidence
  log: true

Доступные действия:

Действие	Описание	Задержка
`allow`	Пропустить пакет	~2 µs
`deny`	Отбросить (XDP_DROP)	~18 µs
`rate_limit`	Ограничить по pps	~22 µs
`redirect`	Перенаправить в другой CPU / интерфейс	~15 µs
`log_only`	Пропустить + залогировать	~35 µs

Политики

Политика (policy) — набор правил + дефолты + метаданные, применяемый атомарно. Политики хранятся в Git-совместимом репозитории, применение требует явного подтверждения (или включённого auto-apply в CI).

yamlversion: 1
node: Pl-1_FH
defaults:
  ingress: deny
  egress: allow
rules:
  - name: "allow-ssh-admin"
    priority: 10
    action: allow
    source: ["10.0.0.0/24"]
    destination: { port: [22] }

Жизненный цикл политики:

draft — черновик, ещё не влияет на трафик
staged — скомпилирована в BPF, ждёт применения
applied — активна на узлах
archived — откатили, хранится для истории

Зоны доступности

Catalyst работает в 5 зонах. Узел привязан к одной зоне, контроллер — глобальный; между зонами политики синхронизируются через gossip-протокол.

eu-central-1

Frankfurt