ebpf sockops 功能分析

ebpf sockops 实现原理

大家肯定好奇为什么通过ebpf sockops可以提取我们想要的数据 ？

正常来说实现方式有两种，第一种是关键路径上埋钩子函数；第二种是kprobe的粘贴插入。

ebpf sockops 是通过第一种实现的，在关键路径上埋钩子函数了，所以想要扩展功能难哦，一般在内核版本升级时可以提前规划埋好钩子函数。

ebpf sockops 支持那些功能

ebpf sockops支持那些功能(关键看在什么路径上埋了钩子函数)，看 下面代码吧

enum {
        BPF_SOCK_OPS_VOID,
        BPF_SOCK_OPS_TIMEOUT_INIT,      /* Should return SYN-RTO value to use or
                                         * -1 if default value should be used
                                         */
        BPF_SOCK_OPS_RWND_INIT,         /* Should return initial advertized
                                         * window (in packets) or -1 if default
                                         * value should be used
                                         */
        BPF_SOCK_OPS_TCP_CONNECT_CB,    /* Calls BPF program right before an
                                         * active connection is initialized
                                         */
        BPF_SOCK_OPS_ACTIVE_ESTABLISHED_CB,     /* Calls BPF program when an