12、BPF在网络数据包过滤中的应用与实践

BPF在网络数据包过滤中的应用与实践

1. BPF概述与网络应用场景

BPF（Berkeley Packet Filter）在网络领域主要有两个核心应用场景：数据包捕获和过滤。在Linux内核网络栈中，用户空间程序可将过滤器附加到任何套接字上，从而提取流经该套接字的数据包信息，并决定允许、丢弃或重定向特定类型的数据包。

常见的BPF程序类型包括与套接字相关的程序，以及为基于BPF的流量控制分类器编写的程序。其中，Socket Buffer结构（SKB或sk_buff）是内核中用于处理每个发送或接收数据包的关键数据结构。通过读取SKB，我们可以决定数据包的通过或丢弃，并填充BPF映射以创建当前流量的统计信息和流量指标。部分BPF程序还能对SKB进行操作，进而转换最终数据包，例如在仅支持IPv6的系统中将接收到的IPv4数据包转换为IPv6数据包。

1.1 数据包过滤的主要场景

数据包过滤是BPF在网络中的重要应用，主要可应用于以下三种高级场景：
- 实时流量丢弃 ：例如，仅允许用户数据报协议（UDP）流量，丢弃其他所有流量。
- 实时观察过滤后的数据包 ：观察流入实时系统的特定过滤数据包集。
- 回顾性分析网络流量 ：使用pcap格式捕获实时系统上的网络流量，以便后续分析。

pcap格式是一种用于数据包捕获的特定领域API，通过Packet Capture Library（libpcap）库实现。在调试场景中，该格式可将捕获的数据包集直接保存到文件中，方便后续使用支持pcap格式的工具进行分析。