eBPF 网络数据面：XDP、tc 与可编程转发

eBPF 相对内核模块的优势：
  安全性：验证器静态检查，禁止越界与死循环
  可热插拔：无需重启内核，attach/detach 即时生效
  可观测：配合 map 与 perf ring buffer 导出数据
  可移植：CO-RE 让同一字节码适配不同内核版本

代价：
  指令集受限（无浮点、栈 512 字节）
  不能直接调用任意内核函数（只能用 helper）

# 用 clang 把 C 编译成 eBPF 字节码
clang -O2 -g -target bpf -c xdp_drop.c -o xdp_drop.o

# 用 iproute2 加载并挂到网卡（XDP 模式）
ip link set dev eth0 xdp obj xdp_drop.o sec xdp

# 查看已加载的程序
bpftool prog show

# 卸载
ip link set dev eth0 xdp off

验证器会拒绝的典型情况：
  1. 越界访问：指针未做范围检查就解引用
  2. 无限循环：循环上界无法静态确定（新内核支持有界循环）
  3. 未初始化读取：读栈上未赋值的内存
  4. 非法 helper 调用：在不允许的挂载点调用
  5. 栈溢出：局部变量超过 512 字节

排错手段：
  bpftool prog load ... type xdp   # 看验证器报错行号
  bpftool prog dump xlated id <id> # 看翻译后的指令

/* XDP 程序骨架：丢弃所有 UDP 端口 53 之外的报文（示意） */
#include <linux/bpf.h>
#include <linux/if_ether.h>
#include <linux/ip.h>

SEC("xdp")
int xdp_filter(struct xdp_md *ctx) {
    void *data = (void *)(long)ctx->data;
    void *data_end = (void *)(long)ctx->data_end;
    struct ethhdr *eth = data;
    if ((void *)(eth + 1) > data_end)
        return XDP_PASS;          /* 边界检查，验证器要求 */
    if (eth->h_proto != __constant_htons(ETH_P_IP))
        return XDP_PASS;
    return XDP_PASS;
}

# 指定 XDP 模式加载
ip link set dev eth0 xdpdrv obj prog.o sec xdp   # native
ip link set dev eth0 xdpgeneric obj prog.o sec xdp # generic
ip link set dev eth0 xdpoffload obj prog.o sec xdp # offload

# 查看当前模式
ip link show dev eth0 | grep xdp

# 在 eth0 的 ingress 挂 eBPF 分类器
tc qdisc add dev eth0 clsact
tc filter add dev eth0 ingress bpf da obj tc_prog.o sec ingress

# 在 egress 挂
tc filter add dev eth0 egress bpf da obj tc_prog.o sec egress

# 查看
tc filter show dev eth0 ingress

分层协作的典型架构：
  XDP（最早）：
    - DDoS 清洗：识别并丢弃攻击流量
    - 四层负载均衡：改写目的地址并 XDP_TX 转发
    - 快速 ACL：按源 IP/端口黑名单丢弃

  tc ingress/egress：
    - NAT / 连接跟踪
    - 封装（VXLAN、Geneve）
    - 限速与流量整形
    - 配合 kube-proxy 替代方案做 Service 转发

/* 定义并查表（内核侧，示意） */
struct bpf_map_def SEC("maps") conn_map = {
    .type = BPF_MAP_TYPE_LRU_HASH,
    .key_size = sizeof(struct flow_key),
    .value_size = sizeof(struct flow_stat),
    .max_entries = 65536,
};

/* 查找；未命中则插入 */
struct flow_stat *s = bpf_map_lookup_elem(&conn_map, &key);
if (!s) {
    struct flow_stat init = {0};
    bpf_map_update_elem(&conn_map, &key, &init, BPF_NOEXIST);
}

# 用户态查看 map 内容
bpftool map show
bpftool map dump id 12

XDP 四层转发的处理步骤：
  1. 解析以太头、IP 头、TCP/UDP 头（每步做边界检查）
  2. 用五元组查 map，得到后端 VIP/后端地址
  3. 改写目的 MAC、目的 IP、目的端口
  4. 重算 IP 与传输层校验和
  5. 交换源/目的，返回 XDP_TX 发回

注意：
  - 校验和增量更新（bpf_csum_diff）比全量重算快
  - 回程流量需要反向映射，通常在另一张 map
  - 需处理分片与 ICMP 错误报文

# 查看 attach 情况
bpftool net show

# 统计 XDP 各返回值的计数（若程序写了统计 map）
bpftool map dump name xdp_stats

# 用 bpftrace 观察丢包点
bpftrace -e 'tracepoint:xdp:xdp_exception { @[args->act] = count(); }'

# 用 perf 看每包周期
perf stat -e cycles,instructions -a sleep 5

性能参考（数量级，随硬件与程序复杂度变化）：
  XDP_DROP（最简单）：单核 10+ Mpps
  XDP 四层转发：单核 1~5 Mpps（含校验和与查表）
  tc eBPF：单核 1~3 Mpps（已有 skb 开销）
  对比：内核 iptables 转发 单核 0.3~1 Mpps

影响因素：
  程序指令数（验证器上限 100 万条，但越短越快）
  map 查找次数与类型
  是否命中 per-CPU cache
  是否触发 tail call 链