Linux BPF技术深度解析（1）：BPF程序类型和案例

原创 已于 2025-07-10 11:31:54 修改 · 1k 阅读 · 27 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#linux #服务器 #运维 #嵌入式硬件 #系统架构

于 2025-07-08 10:56:10 首次发布

一、介绍

1.1 BPF程序分类

BPF（Berkeley Packet Filter）程序通过动态加载到内核或用户态，实现高效的事件处理和数据观测，根据其核心功能可分为跟踪类和网络类两大类。以下是具体描述：

（1）跟踪类 BPF 程序（Tracing BPF）

跟踪类 BPF 程序的核心功能是监控系统事件、收集运行时数据，用于性能分析、调试、安全审计等场景。它们通过挂载到内核或用户态的 “钩子点”，捕获事件发生时的上下文信息（如函数参数、返回值、内存状态等）。

  1. kprobe/kretprobe

    • 挂载到内核函数的入口（kprobe）或返回处（kretprobe），用于跟踪内核函数的调用情况。
    • 应用：分析系统调用耗时（如sys_read）、定位内核漏洞（如空指针引用）、监控进程创建（do_fork）等。

  2. uprobe/uretprobe

    • 类似 kprobe，但作用于用户态程序的函数（如动态链接库函数、自定义程序函数）。
    • 应用：调试用户态程序逻辑（如跟踪malloc内存分配）、监控应用性能瓶颈（如数据库查询函数耗时）。

  3. tracepoint

    • 内核预先定义的静态跟踪点（由内核开发者在关键逻辑处埋点），比 kprobe 更稳定（无内核版本兼容问题），但覆盖范围有限。
    • 应用：跟踪进程调度（sched_switch）、文件系统操作（sys_enter_open）、网络包收发（net_dev_xmit）等。

  4. perf event

    • 与性能计数器（PMU，Performance Monitoring Unit）结合，跟踪硬件事件（如 CPU 缓存命中 / 失效）或软件事件（如进程切换）。
    • 应用：分析 CPU 使用率、缓存命中率、指令执行效率等底层性能指标。

  5. raw tracepoint

    • 比 tracepoint 更轻量，直接访问内核内部数据结构，不经过内核事件过滤逻辑，适合需要更高性能的场景，但兼容性较差（依赖内核内部实现）。

  6. cgroup 跟踪

    • 监控 cgroup（控制组）相关事件，如进程加入 / 退出 cgroup、资源限制触发（如内存阈值）。
    • 应用：容器资源监控（如 Docker 容器的 CPU / 内存使用趋势）。

（2）网络类 BPF 程序（Networking BPF）

网络类 BPF 程序专注于网络数据包的处理，包括过滤、转发、修改、监控等，运行在内核网络栈的关键节点，替代传统的 iptables、tc（流量控制）等工具，提供更高性能和灵活性。

  1. XDP（eXpress Data Path）

    • 运行在网络设备驱动的最早阶段（数据包刚进入内核时），是性能最高的网络 BPF 程序。
    • 功能：在数据包到达协议栈前进行过滤（丢弃恶意包）、转发（实现高性能负载均衡）、修改（如修改源 IP）。
    • 优势：绕过大部分内核网络栈，处理速率可达 100Gbps 以上，适合 DDoS 防护、高性能网关等场景。

  2. tc BPF（Traffic Control BPF）

    • 挂载到 tc（Linux 流量控制子系统）的钩子点（如cls_bpf用于分类，act_bpf用于动作），在网络栈的不同阶段处理数据包。
    • 应用：流量整形（限速）、基于数据包内容的路由（如根据 HTTP 头部转发）、流量统计（按端口 / 协议计数）。

  3. Socket Filter BPF

    • 作用于用户态 socket，过滤进入 socket 的数据包（仅保留感兴趣的包），替代传统的recvfrom+ 用户态过滤逻辑。
    • 应用：抓包工具（如tcpdump底层基于 BPF 过滤）、减少用户态与内核态的数据传输量（只传匹配的包）。

  4. LSM BPF（Linux Security Module BPF）

    • 虽属于安全类，但常涉及网络行为控制（如限制进程的网络连接），通过 LSM 钩子监控系统调用（如connect、bind）。
    • 应用：防火墙规则（允许 / 禁止特定进程访问特定 IP）、网络访问审计（记录所有出站连接）。

（3）两类程序的核心区别

维度跟踪类 BPF网络类 BPF
核心目标事件监控与数据收集网络数据包处理与控制
钩子点位置内核 / 用户态函数、跟踪点网络栈（驱动、协议栈、socket）
典型工具bpftrace、bcc（分析工具）xdp-tools、tc-bpf（网络工具）
输出内容事件日志、性能指标处理后的数据包、流量统计

1.2 BPF程序类

序号名称关键字说明
1套接字过滤器程序NPF_PROG_TYPE_SOCKET_FILTER用于过滤套接字上的网络数据包，通常用于数据包捕获（如 libpcap）。
2kprobe 程序kprobe/kretprobe用于动态跟踪内核函数调用，kprobe 跟踪函数入口，kretprobe 跟踪函数返回。
3跟踪点程序BPF_PROG_TPYE_TRACEPOINT基于内核预定义的静态跟踪点，用于性能分析或调试，无需修改内核代码。
4XDP 程序BPF_PROG_TPYE_XDP在网络驱动层早期处理数据包（eXpress Data Path），用于高性能数据包过滤、转发或流量控制。
5Perf 事件程序BPF_PROG_TPYE_PERF_EVENT用于监控内核或用户态的性能事件（如 CPU 周期、缓存命中率等），支持自定义计数器。
6cgroup 套接字程序BPF_PROG_TPYE_CGROUP_SKB在 cgroup 层级过滤套接字数据包，用于网络流量控制或安全策略。
7cgroup 打开套接字程序BPF_PROG_TPYE_CGROUP_SOCK在套接字创建时（socket() 系统调用）应用 cgroup 策略，用于限制或监控套接字行为。
8套接字选项程序BPF_PROG_TPYE_CGROUP_OPS拦截并修改套接字选项（如 setsockopt()/getsockopt()），用于自定义套接字行为。
9套接字映射程序BPF_PROG_TPYE_SK_SKB处理从套接字发送或接收的数据包（SKB），用于数据包修改或负载均衡。
10cgroup 设备程序BPF_PROG_TPYE_CGROUP_DEVICE控制 cgroup 内设备的访问权限（如允许/禁止读写特定设备文件）。
11套接字消息传递程序BPF_PROG_TPYE_SK_MSG处理套接字上的消息（如 sendmsg()/recvmsg()），用于消息过滤或修改。
12原始跟踪点程序BPF_PROG_TPYE_RAW_TRACE提供对原始跟踪点数据的低级访问，适用于需要精细控制跟踪数据的场景。
13cgroup 套接字地址程序BPF_PROG_TPYE_CGROUP_SOCK_ADDR过滤或修改套接字地址（如 bind()/connect() 的目标地址），用于网络地址控制。
14套接字重用端口程序SO_REUSEPORT允许多个套接字绑定到同一端口，结合 BPF 实现负载均衡或高并发服务（如 Web 服务器）。
15流量解析程序BPF_PROG_TPYE_FLOW_DISSECTOR解析网络流量中的协议字段（如 HTTP 头、DNS 查询），用于深度包检测（DPI）或流量分类。

 二、常用BPF程序类型案例

2.1 套接字过滤器程序

功能：过滤 TCP 数据包，仅打印目的端口为 80 的包。

代码 (sock_filter.c):

#include <linux/bpf.h>
#include <bpf/bpf_helpers.h>
#include <linux/if_ether.h>
#include <linux/ip.h>
#include <linux/tcp.h>

SEC("socket")
int socket_filter(struct __sk_buff *skb) {
    void *data = (void *)(long)skb->data;
    void *data_end = (void *)(long)skb->data_end;

    struct ethhdr *eth = data;
    if (data + sizeof(*eth) > data_end) return 0;

    struct iphdr *ip = data + sizeof(*eth);
    if (data + sizeof(*eth) + sizeof(*ip) > data_end) return 0;

    if (ip->protocol != IPPROTO_TCP) return 0;

    struct tcphdr *tcp = data + sizeof(*eth) + sizeof(*ip);
    if (data + sizeof(*eth) + sizeof(*ip) + sizeof(*tcp) > data_end) return 0;

    if (tcp->dest == htons(80)) {
        bpf_printk("TCP packet to port 80\n");
    }

    return 0;
}

char _license[] SEC("license") = "GPL";

 编译 & 运行:

clang -O2 -target bpf -c sock_filter.c -o sock_filter.o
sudo bpftool prog load sock_filter.o /sys/fs/bpf/sock_filter
sudo bpftool net attach socket_filter id <prog_id>

 输出:

TCP packet to port 80

2.2 kprobe 程序

功能：跟踪 do_sys_open 系统调用。
代码 (kprobe_demo.c):

#include <linux/bpf.h>
#include <bpf/bpf_helpers.h>

SEC("kprobe/do_sys_open")
int kprobe__do_sys_open(struct pt_regs *ctx) {
    const char *filename = (const char *)PT_REGS_PARM1(ctx);
    bpf_printk("File opened: %s\n", filename);
    return 0;
}

char _license[] SEC("license") = "GPL";

编译 & 运行:

clang -O2 -target bpf -c kprobe_demo.c -o kprobe_demo.o
sudo bpftool prog load kprobe_demo.o /sys/fs/bpf/kprobe_demo
sudo bpftool perf attach pinned /sys/fs/bpf/kprobe_demo

输出:

File opened: /etc/passwd

2.3 跟踪点程序

功能：跟踪 syscalls:sys_enter_openat 跟踪点。
代码 (tracepoint_demo.c):

#include <linux/bpf.h>
#include <bpf/bpf_helpers.h>

SEC("tracepoint/syscalls/sys_enter_openat")
int tracepoint__sys_enter_openat(struct trace_event_raw_sys_enter *ctx) {
    const char *filename = (const char *)ctx->args[1];
    bpf_printk("openat called: %s\n", filename);
    return 0;
}

char _license[] SEC("license") = "GPL";

 编译 & 运行:

clang -O2 -target bpf -c tracepoint_demo.c -o tracepoint_demo.o
sudo bpftool prog load tracepoint_demo.o /sys/fs/bpf/tracepoint_demo
sudo bpftool perf attach pinned /sys/fs/bpf/tracepoint_demo

输出:

openat called: /proc/cpuinfo

2.4 XDP 程序

功能：丢弃所有 ICMP 数据包。
代码 (xdp_drop_icmp.c):

#include <linux/bpf.h>
#include <bpf/bpf_helpers.h>
#include <linux/if_ether.h>
#include <linux/ip.h>
#include <linux/icmp.h>

SEC("xdp")
int xdp_drop_icmp(struct xdp_md *ctx) {
    void *data = (void *)(long)ctx->data;
    void *data_end = (void *)(long)ctx->data_end;

    struct ethhdr *eth = data;
    if (data + sizeof(*eth) > data_end) return XDP_PASS;

    struct iphdr *ip = data + sizeof(*eth);
    if (data + sizeof(*eth) + sizeof(*ip) > data_end) return XDP_PASS;

    if (ip->protocol == IPPROTO_ICMP) {
        bpf_printk("Dropped ICMP packet\n");
        return XDP_DROP;
    }

    return XDP_PASS;
}

char _license[] SEC("license") = "GPL";

 编译 & 运行:

clang -O2 -target bpf -c xdp_drop_icmp.c -o xdp_drop_icmp.o
sudo bpftool net attach xdp id <prog_id> dev eth0

输出:

Dropped ICMP packet

2.5 Perf 事件程序

功能：统计 CPU 周期。
代码 (perf_event.c):

#include <linux/bpf.h>
#include <bpf/bpf_helpers.h>

SEC("perf_event")
int perf_event_handler(struct bpf_perf_event_data *ctx) {
    bpf_printk("CPU cycle event\n");
    return 0;
}

char _license[] SEC("license") = "GPL";

 编译 & 运行:

clang -O2 -target bpf -c perf_event.c -o perf_event.o
sudo bpftool prog load perf_event.o /sys/fs/bpf/perf_event
sudo bpftool perf attach pinned /sys/fs/bpf/perf_event

输出:

CPU cycle event

2.6 cgroup 套接字程序

功能：禁止 cgroup 内所有 TCP 流量。
代码 (cgroup_skb.c):

#include <linux/bpf.h>
#include <bpf/bpf_helpers.h>
#include <linux/if_ether.h>
#include <linux/ip.h>
#include <linux/tcp.h>

SEC("cgroup_skb/egress")
int cgroup_skb_egress(struct __sk_buff *skb) {
    void *data = (void *)(long)skb->data;
    void *data_end = (void *)(long)skb->data_end;

    struct ethhdr *eth = data;
    if (data + sizeof(*eth) > data_end) return 1;

    struct iphdr *ip = data + sizeof(*eth);
    if (data + sizeof(*eth) + sizeof(*ip) > data_end) return 1;

    if (ip->protocol == IPPROTO_TCP) {
        bpf_printk("Blocking TCP packet\n");
        return 0; // DROP
    }

    return 1; // PASS
}

char _license[] SEC("license") = "GPL";

 编译 & 运行:

clang -O2 -target bpf -c cgroup_skb.c -o cgroup_skb.o
sudo bpftool prog load cgroup_skb.o /sys/fs/bpf/cgroup_skb
sudo bpftool cgroup attach /sys/fs/cgroup/unified/ id <prog_id>

输出:

Blocking TCP packet

2.7 cgroup 打开套接字程序

功能：禁止 cgroup 内创建新套接字。
代码 (cgroup_sock.c):

#include <linux/bpf.h>
#include <bpf/bpf_helpers.h>

SEC("cgroup/sock_create")
int cgroup_sock_create(struct bpf_sock *sk) {
    bpf_printk("Socket creation blocked\n");
    return 0; // BLOCK
}

char _license[] SEC("license") = "GPL";

 编译 & 运行:

clang -O2 -target bpf -c cgroup_sock.c -o cgroup_sock.o
sudo bpftool prog load cgroup_sock.o /sys/fs/bpf/cgroup_sock
sudo bpftool cgroup attach /sys/fs/cgroup/unified/ id <prog_id>

 输出:

Socket creation blocked

2.8 套接字选项程序

功能：修改 SO_REUSEADDR 选项。
代码 (cgroup_sockopt.c):

#include <linux/bpf.h>
#include <bpf/bpf_helpers.h>

SEC("cgroup/setsockopt")
int cgroup_setsockopt(struct bpf_sockopt *ctx) {
    if (ctx->level == SOL_SOCKET && ctx->optname == SO_REUSEADDR) {
        bpf_printk("Setting SO_REUSEADDR=1\n");
        *(int *)ctx->optval = 1;
    }
    return 0;
}

char _license[] SEC("license") = "GPL";

 编译 & 运行:

clang -O2 -target bpf -c cgroup_sockopt.c -o cgroup_sockopt.o
sudo bpftool prog load cgroup_sockopt.o /sys/fs/bpf/cgroup_sockopt
sudo bpftool cgroup attach /sys/fs/cgroup/unified/ id <prog_id>

 输出:

Setting SO_REUSEADDR=1

2.9 套接字映射程序

功能：修改套接字数据包。
代码 (sk_skb.c):

#include <linux/bpf.h>
#include <bpf/bpf_helpers.h>

SEC("sk_skb/stream_parser")
int sk_skb_parser(struct __sk_buff *skb) {
    bpf_printk("Processing socket data\n");
    return 0;
}

char _license[] SEC("license") = "GPL";

 编译 & 运行:

clang -O2 -target bpf -c sk_skb.c -o sk_skb.o
sudo bpftool prog load sk_skb.o /sys/fs/bpf/sk_skb
sudo bpftool net attach sk_skb id <prog_id>

 输出:

Processing socket data

2.10 cgroup 设备程序

功能：禁止访问 /dev/sda。
代码 (cgroup_device.c):

#include <linux/bpf.h>
#include <bpf/bpf_helpers.h>

SEC("cgroup/device")
int cgroup_device(struct bpf_cgroup_dev_ctx *ctx) {
    if (ctx->major == 8 && ctx->minor == 0) { // /dev/sda
        bpf_printk("Blocking access to /dev/sda\n");
        return 0; // BLOCK
    }
    return 1; // ALLOW
}

char _license[] SEC("license") = "GPL";

 编译 & 运行:

clang -O2 -target bpf -c cgroup_device.c -o cgroup_device.o
sudo bpftool prog load cgroup_device.o /sys/fs/bpf/cgroup_device
sudo bpftool cgroup attach /sys/fs/cgroup/unified/ id <prog_id>

 输出:

Blocking access to /dev/sda

2.11 套接字消息传递程序

功能：过滤 sendmsg() 消息。
代码 (sk_msg.c):

#include <linux/bpf.h>
#include <bpf/bpf_helpers.h>

SEC("sk_msg")
int sk_msg_handler(struct sk_msg_md *msg) {
    bpf_printk("Intercepted sendmsg\n");
    return 0;
}

char _license[] SEC("license") = "GPL";

编译 & 运行:

clang -O2 -target bpf -c sk_msg.c -o sk_msg.o
sudo bpftool prog load sk_msg.o /sys/fs/bpf/sk_msg
sudo bpftool net attach sk_msg id <prog_id>

 输出:

Intercepted sendmsg

2.12 原始跟踪点程序

功能：跟踪 sys_enter 事件。
代码 (raw_tracepoint.c):

#include <linux/bpf.h>
#include <bpf/bpf_helpers.h>

SEC("raw_tracepoint/sys_enter")
int raw_tracepoint_handler(struct bpf_raw_tracepoint_args *ctx) {
    bpf_printk("Raw tracepoint triggered\n");
    return 0;
}

char _license[] SEC("license") = "GPL";

编译 & 运行:

clang -O2 -target bpf -c raw_tracepoint.c -o raw_tracepoint.o
sudo bpftool prog load raw_tracepoint.o /sys/fs/bpf/raw_tracepoint
sudo bpftool perf attach pinned /sys/fs/bpf/raw_tracepoint

输出:

 Raw tracepoint triggered

2.13 cgroup 套接字地址程序

功能：阻止绑定到 0.0.0.0:80。
代码 (cgroup_sock_addr.c):

#include <linux/bpf.h>
#include <bpf/bpf_helpers.h>
#include <linux/in.h>

SEC("cgroup/bind4")
int cgroup_bind4(struct bpf_sock_addr *ctx) {
    if (ctx->user_port == htons(80) && ctx->user_ip4 == 0) {
        bpf_printk("Blocking bind to 0.0.0.0:80\n");
        return 0; // BLOCK
    }
    return 1; // ALLOW
}

char _license[] SEC("license") = "GPL";

 编译 & 运行:

clang -O2 -target bpf -c cgroup_sock_addr.c -o cgroup_sock_addr.o
sudo bpftool prog load cgroup_sock_addr.o /sys/fs/bpf/cgroup_sock_addr
sudo bpftool cgroup attach /sys/fs/cgroup/unified/ id <prog_id>

 输出:

Blocking bind to 0.0.0.0:80

2.14 套接字重用端口程序

功能：自定义 SO_REUSEPORT 负载均衡。
代码 (reuseport.c):

#include <linux/bpf.h>
#include <bpf/bpf_helpers.h>

SEC("sockops")
int sockops_handler(struct bpf_sock_ops *ctx) {
    if (ctx->op == BPF_SOCK_OPS_REUSEPORT_SELECT) {
        ctx->reuseport_index = 0; // Always select first socket
        bpf_printk("Reuseport selection\n");
    }
    return 0;
}

char _license[] SEC("license") = "GPL";

 编译 & 运行:

clang -O2 -target bpf -c reuseport.c -o reuseport.o
sudo bpftool prog load reuseport.o /sys/fs/bpf/reuseport
sudo bpftool net attach sockops id <prog_id>

 输出:

Reuseport selection

2.15 流量解析程序

功能：解析 HTTP 流量。
代码 (flow_dissector.c):

#include <linux/bpf.h>
#include <bpf/bpf_helpers.h>

SEC("flow_dissector")
int flow_dissector_handler(struct __sk_buff *skb) {
    bpf_printk("Parsing network flow\n");
    return 0;
}

char _license[] SEC("license") = "GPL";

 编译 & 运行:

clang -O2 -target bpf -c flow_dissector.c -o flow_dissector.o
sudo bpftool prog load flow_dissector.o /sys/fs/bpf/flow_dissector
sudo bpftool net attach flow_dissector id <prog_id>

输出:

Parsing network flow

bpf原理与入门
qq_29044159的博客
03-26 4642
一、bpf架构 如上图所示，bpf由六部分构成，以下为其在bpf中的作用： bpf工具：该部分涉及bpf用户态程序、bpf的编译工具，通过bpf编译工具如Clang、LLVM将bpf用户态程序编译成bpf字节码； 加载器：可以简单理解为bpf系统调用，将bpf字节码加载到内核； 验证器：对bpf程序的合法性进行检查； bpf虚拟机：实现将bpf字节码转化成机器码并运行，使用内核解释器的话需要根据字节码执行对应的机器码，使用JIT可以直接将字节码编码生成机器码； 静态跟踪：为内核为bpf程
初识 BPF：从 Hello World 开始的内核编程之旅
m0_67544708的博客
05-22 1016
BPF 在 Linux 内核中，被实现为一个非常精简的虚拟机，具有几乎性能无损的执行效率。我们可以用类似 C 语言的语法，编写代码，编译成可以在 BPF 虚拟机中运行的汇编代码，实现其强大的逻辑处理能力。
BPF编译运行实例
sf_jiang的博客
07-14 1139
本文目标是运行一个bpf实例，实现系统运行时，每执行一次系统调用execve的调用监控
非常神奇的Linux技术：BPF
msbjy的博客
04-27 3942
近两年BPF技术跃然成为了一项热门技术，在KubeCon 2020 Europe会议上有7个关于BPF的技术分享， 而在KubeCon 2020 China会议上也已有了3个关于BPF技术的中文分享，分别来自腾讯和PingCAP，涉足网络优化和系统追踪等领域。在中文社区里，包括阿里巴巴、网易、字节跳动等国内第一梯队IT公司也越来越关注BPF这项新技术。 一、前言 作为一个coder，时不时会遇到性能问题，有时候明明看资源，cpu，io都占用不高，程序的性能就是上不去，真有一种想进入到计算机里面看看到底发
Linux超能力BPF技术介绍及学习分享
Docker的专栏
09-15 5965
近两年BPF技术跃然成为了一项热门技术，在刚刚结束的KubeCon 2020 Europe会议上有7个关于BPF的技术分享， 而在KubeCon 2020 China会议上也已有了3个关...
探索BPF：一种强大的Linux内核技术
gitblog_00074的博客
04-10 553
探索BPF：一种强大的Linux内核技术 是一种由Linux内核提供的低级编程框架，最初设计用于网络包过滤。然而，随着时间的发展，BPF已经成为一个多功能、高性能的技术平台，为各种系统监控、性能分析、安全审计和内核扩展提供了无限可能。 项目简介 bpf-docs是.iovisor维护的一个项目，旨在提供详细的BPF文档和教程，帮助开发者理解并利用这项技术。它包含了BPF的概述、编译器工具链、核心数...
【BPF程序调试深度解析】：揭秘性能瓶颈的隐藏因素
[【BPF程序调试深度解析】：揭秘性能瓶颈的隐藏因素](https://opengraph.githubassets.com/c1432bce8370e1df5df5785c13cf6af8f5747ac4a557d5ee2920d92ffb500f87/mechpen/bpf-examples) # 摘要 BPF（Berkeley Packet...
4、BPF技术：程序验证、类型格式、尾调用及映射操作详解
gin88的博客
07-30 42
本文深入解析了BPF技术的核心内容，包括保障BPF程序安全运行的验证器机制，增强调试信息的BTF格式，扩展程序功能的尾调用特性，以及实现内核与用户空间通信的BPF映射操作。同时详细介绍了BPF映射的创建、更新、读取和删除操作，以及常见错误处理方式，并探讨了BPF技术在网络监控、性能分析和安全审计等领域的广泛应用。
Linux中间件技术深度解析：从原理到高并发实战
资深全栈架构师，乐于在 优快云 分享技术见解，与大家携手共进，共攀技术巅峰！
04-20 1458
中间件是一类位于操作系统和应用程序之间的软件，它抽象了底层操作系统的复杂性，为应用程序提供统一的编程接口和服务。类型代表产品主要功能典型应用场景Web服务器HTTP请求处理、静态资源服务网站托管、API网关应用服务器运行业务逻辑、动态内容生成Java Web应用消息中间件异步消息传递、系统解耦微服务通信、日志收集缓存中间件高速数据存取、减轻数据库压力会话管理、热点数据缓存数据库中间件数据库分片、读写分离大数据量OLTP系统表1-1：主流中间件分类及特点对比。
Linux bpf机制介绍：
最新发布
10-10
其核心设计平衡了性能、安全性和灵活性，已成为现代 Linux 系统的关键技术[^1]。 --- ### 一、BPF 架构与核心模块 #### 1. BPF 程序生命周期 ```mermaid graph LR A[用户编写C/BPF程序] --> B[LLVM编译为BPF字节码...
bpf数据包过滤用例
12-24
bpf过滤相关实现，实现pcap文件的数据包过滤，该例子只使用与过滤，不做包分析
Linux内核网络栈深度解析：数据包的接收与发送过程详解
[Linux内核网络栈深度解析：数据包的接收与发送过程详解](https://opengraph.githubassets.com/b26a3a346629930c50be3c098b79e0a1b1ee7959486bbd352523e366ba65595e/seppzer0/zero_kernel) # 1. Linux内核网络栈概述...
Linux BPF技术深度解析（1）：Hello World实现
芳
07-03 1204
BPF（Berkeley Packet Filter）是Linux内核中的高效技术，最初用于网络数据包过滤，现已扩展到系统监控、安全等领域。它通过在内核态运行虚拟机实现高性能的数据处理，核心优势包括：避免内核态/用户态切换、通过验证器保证安全性、支持动态加载。文章详细介绍了BPF的工作原理（程序加载、数据包过滤、数据交互）、环境搭建方法（Ubuntu系统部署、内核源码获取）以及一个监控execve系统调用的示例程序。该示例展示了如何编写BPF程序（C语言编译为BPF字节码）、加载到内核跟踪点。
Linux 内核观测技术BPF
0 error(s)
03-12 3039
BPF允许任何人在Linux内核之中执行任意的代码，这听起来的十分危险，但是由于有着使得这一过程变的相当的安全。BPF时内核的一个模块，所有的BPF程序都必须经过它的审查才能够被加载到内核之中去运行。验证器执行的就是对BPF虚拟机加载的代码进行。这一步的目的是保证程序可以按照预期去结束，而不会产生死循环拜拜浪费系统资源。验证器会创建一个DAG（有向无环图），将BPF程序的每个执行首位相连之后去执行DFS（深度优先遍历），当且仅当每个路径都能达到DAG的底部才会通过验证。之后其会执行。
Linux网络编程：原始套接字--包过滤器BPF
jin787730090的博客
06-17 4161
目录参考文章一、BPF介绍二、BPF的结构三、BPF Socket 实例三、BPF Code 生成方法 参考文章 linux网络和BPF linux 下的 包过滤器 BPF Linux bpf 3.1、Berkeley Packet Filter (BPF) (Kernel Document) 一、BPF介绍 BPF（Berkeley Packet Filter）伯克利包过滤器。 BPF允许用户空间程序将一个过滤(filter)附加到任何的套接字(socket)上面用来允许或不允许某些类型的数据通过
Linux中的BPF安全
weixin_59688955的博客
10-21 1866
​ LSM（linux Security Module）中文翻译就是内核安全模块，从名字上来看是安全模块，其实LSM是一个在内核各个安全模块的基础上抽象出的，轻量级安全访问控制框架。该框架只是提供一个支持安全模块的接口，本身并不具备增加系统安全性的功能，具体的工作还是交给各个安全模块来做。​通俗一点来说，LSM只是搭建了一个舞台，具体的表演还是要具体实现的模块。​ LSM在内核中主要体现为一组安全相关的函数，是提供实施强制访问控制（MAC）模块的必要组件。可实现策略与内核源代码解耦，
Linux bpf 1.1、BPF内核实现
热门推荐
pwl999的博客
09-28 1万+
BPF的字面上意思Berkeley Packet Filter意味着它是从包过滤而来。如果在开始前对BPF缺乏感性的认识建议先看一下参考文档：“3.1、Berkeley Packet Filter (BPF) (Kernel Document)”、“3.2、BPF and XDP Reference Guide”。 本质上它是一种内核代码注入的技术： 内核中实现了一个cBPF/eBPF虚拟机； ...
BPF程序
process的博客
12-27 857
bpf程序能够在一些内核事件触发时运行。bpf程序需要被bpf虚机机进行加载，加载的时候需要知道具体的程序类型。 1. hello word！ 一般常见使用C语言子集编写BPF程序，使用LLVM编译器进行编译。LLVM能够编译出加载到内核中执行的汇编代码。bpf程序编译后，内核通过bpf系统调用将程序字节码加载到bpf虚拟机中。 #include <linux/bpf.h> #define SEC(NAME) __attribute__((section(NAME), used)) s
【Linux】BPF学习笔记 - 性能分析方法论[5]
Linoy
03-02 969
【BPF】学习笔记 - 性能分析方法论[5] 本学习笔记来自于阅读 Brendan Gregg的《BPF Performance Tools》 一、工作负载 建议执行工作负载特征的步骤: 谁造成了负载： PID，进程名称，UID，IP地址… 为什么称负载： 代码路径，堆栈跟踪，火焰图 负载是多少： IOPS，吞吐量，类型 负载如何随时间变化： 每个时间间隔的摘要 示例： 这表明在跟踪时，名为"...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

坏一点

您的鼓励是我最大的动力

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值