Linux eBPF & XDP Networking Primer

// BPF map: src IP → drop flag (1 = drop) struct { __uint(type, BPF_MAP_TYPE_HASH); __uint(max_entries, 1024); __type(key, __u32); // source IPv4 address __type(value, __u32); // 1 = block } blocklist SEC(".maps"); SEC("xdp") int xdp_drop_udp(struct xdp_md *ctx) { void *data = (void *)(long)ctx->data; void *data_end = (void *)(long)ctx->data_end; // Parse Ethernet header struct ethhdr *eth = data; if ((void *)(eth + 1) > data_end) return XDP_PASS; if (eth->h_proto != __constant_htons(ETH_P_IP)) return XDP_PASS; // Parse IPv4 header struct iphdr *ip = (void *)(eth + 1); if ((void *)(ip + 1) > data_end) return XDP_PASS; if (ip->protocol != IPPROTO_UDP) return XDP_PASS; // Check blocklist map __u32 src = ip->saddr; __u32 *val = bpf_map_lookup_elem(&blocklist, &src); if (val && *val == 1) return XDP_DROP; return XDP_PASS; } char _license[] SEC("license") = "GPL";

Tải và đính kèm vớiip:

# Compile
clang -O2 -target bpf -c xdp_drop_udp.c -o xdp_drop_udp.o

# Attach to interface (native XDP)
ip link set eth0 xdp obj xdp_drop_udp.o sec xdp

# Add an IP to the blocklist via bpftool
bpftool map update name blocklist key 0x01 0x02 0x03 0x04 value 0x01 0x00 0x00 0x00

# Remove XDP program
ip link set eth0 xdp off

4. AF_XDP: Bỏ qua hạt nhân

AF_XDPlà một họ socket, được kết hợp với XDPXDP_REDIRECTphán quyết, phân phối các gói trực tiếp đến vùng bộ nhớ không gian người dùng (UMEM) mà không có sự tham gia của kernel trên mỗi gói. Đây là câu trả lời của hệ sinh thái eBPF cho mô hình bỏ qua hạt nhân của DPDK.

Các thành phần chính:

• UMEM: Vùng bộ nhớ đăng ký không gian người dùng được chia thành các khung. Được chia sẻ giữa kernel và không gian người dùng thông qua bộ nhớ dùng chung.
• Nhẫn: Bốn vòng không khóa trên mỗi ổ cắm: Lấp đầy (không gian người dùng → hạt nhân có khung miễn phí), Hoàn thành (hạt nhân → không gian người dùng với khung được thực hiện TX), vòng RX (hạt nhân → không gian người dùng có khung đã nhận), vòng TX (không gian người dùng → hạt nhân có khung để gửi).
• Chế độ không sao chép: Nếu trình điều khiển hỗ trợ nó, các khung sẽ được truyền mà không có bất kỳ bản sao nào — chỉ là một thao tác chuyển giao con trỏ.

AF_XDP lý tưởng để xử lý gói tùy chỉnh ở tốc độ đường truyền mà không có sự phức tạp trong hoạt động của DPDK (không có trang lớn, không cần ghim CPU để sử dụng cơ bản).

5. tc BPF: Lọc và định hình lưu lượng truy cập

tc(kiểm soát giao thông) Các chương trình BPF đính kèm tạiclsactqdisc và có thể chạy khi vào hoặc ra. Không giống như XDP, họ nhìn thấy đầy đủsk_buffvà có thể truy cập siêu dữ liệu ổ cắm, Vlan và tiêu đề đường hầm.

// tc_mark.c — Mark packets with DSCP EF (46) for VoIP traffic on port 5060
#include <linux/bpf.h>
#include <linux/if_ether.h>
#include <linux/ip.h>
#include <linux/udp.h>
#include <bpf/bpf_helpers.h>

SEC("classifier")
int tc_mark_voip(struct __sk_buff *skb) {
    void *data     = (void *)(long)skb->data;
    void *data_end = (void *)(long)skb->data_end;

    struct ethhdr *eth = data;
    if ((void *)(eth + 1) > data_end) return TC_ACT_OK;
    if (eth->h_proto != __constant_htons(ETH_P_IP)) return TC_ACT_OK;

    struct iphdr *ip = (void *)(eth + 1);
    if ((void *)(ip + 1) > data_end) return TC_ACT_OK;
    if (ip->protocol != IPPROTO_UDP) return TC_ACT_OK;

    struct udphdr *udp = (void *)(ip + 1);
    if ((void *)(udp + 1) > data_end) return TC_ACT_OK;

    // Mark SIP traffic (port 5060) with DSCP EF (46 = 0xB8 in TOS byte)
    if (udp->dest == __constant_htons(5060) || udp->source == __constant_htons(5060)) {
        // DSCP EF = 46, shifted left 2 bits in TOS field = 184 (0xB8)
        bpf_skb_store_bytes(skb, offsetof(struct iphdr, tos) + sizeof(struct ethhdr),
                            &((__u8){184}), 1, BPF_F_RECOMPUTE_CSUM);
    }
    return TC_ACT_OK;
}

char _license[] SEC("license") = "GPL";

# Attach tc BPF program
tc qdisc add dev eth0 clsact
tc filter add dev eth0 egress bpf da obj tc_mark.o sec classifier

6. Giới hạn tỷ lệ với Bản đồ eBPF

Bản đồ eBPF cho phép xử lý trạng thái. Mẫu sau đây triển khai giới hạn tốc độ IP trên mỗi nguồn bằng cách sử dụng nhóm mã thông báo được lưu trữ trongBPF_MAP_TYPE_LRU_HASH:

// Conceptual token bucket per source IP — checks tokens, drops if exceeded
struct ratelimit_entry {
    __u64 tokens;        // current token count
    __u64 last_update;   // nanoseconds timestamp
};

struct {
    __uint(type, BPF_MAP_TYPE_LRU_HASH);
    __uint(max_entries, 65536);
    __type(key, __u32);                     // source IP
    __type(value, struct ratelimit_entry);
} rate_map SEC(".maps");

// In XDP program:
// 1. bpf_ktime_get_ns() — get current time
// 2. Lookup entry for src IP
// 3. Refill tokens: tokens += (elapsed_ns / 1e9) * rate_pps
// 4. If tokens >= 1: decrement and XDP_PASS
// 5. Else: XDP_DROP

7. Nội tâm bpftool & bpftrace

Hai công cụ cần thiết để làm việc với các chương trình eBPF trực tiếp:

# bpftool — inspect loaded programs and maps
bpftool prog list                         # list all loaded eBPF programs
bpftool prog show id 42                   # details for program ID 42
bpftool prog dump xlated id 42            # disassemble to eBPF bytecode
bpftool prog dump jited id 42            # dump JIT-compiled native code
bpftool map list                          # list all BPF maps
bpftool map dump name blocklist           # dump all entries in map "blocklist"
bpftool map update name blocklist \
    key 192 168 1 100 value 1 0 0 0       # add entry (network byte order)

# bpftrace — DTrace-style one-liners for kernel tracing
# Count XDP drops per second
bpftrace -e 'tracepoint:xdp:xdp_exception { @drops[args->action] = count(); } interval:s:1 { print(@drops); clear(@drops); }'

# Trace tcp_retransmit_skb — show retransmit events with comm name
bpftrace -e 'kprobe:tcp_retransmit_skb { printf("%s retransmit\n", comm); }'

# Histogram of packet sizes on eth0
bpftrace -e 'tracepoint:net:netif_receive_skb /args->name == "eth0"/ { @size = hist(args->len); }'

8. So sánh: eBPF/XDP với DPDK và RDMA

Tính năng	eBPF/XDP	DPDK	RDMA
Sự tham gia của hạt nhân	Tối thiểu (XDP trong trình điều khiển)	Không có (bỏ qua hoàn toàn)	Không có (RDMA NIC)
Mô hình bộ nhớ	Tiêu chuẩn + AF_XDP UMEM	Cần có trang lớn	Vùng nhớ đã đăng ký
Thông lượng tối đa	~100 Gbps XDP gốc	>100Gbps	Hơn 200 Gbps (InfiniBand)
mức sử dụng CPU	Thấp (theo hướng sự kiện)	Cao (lõi thăm dò bận rộn)	Gần bằng không (giảm tải)
Độ phức tạp của hoạt động	Công cụ tiêu chuẩn thấp	Cao - lõi chuyên dụng, trang lớn	Quản lý vải cao
Trường hợp sử dụng	Giảm thiểu DDoS, LB, khả năng quan sát	Bộ định tuyến ảo, NFV, gen gói	Lưu trữ (NVMe-oF), HPC MPI
Ngôn ngữ	Hạn chế C/Rỉ Sét	C/ Rỉ Sét	API động từ (C)