网络安全系列-二十二: BPF网络包过滤机制详解

1. 什么是BPF?

BPF 于 1992 年被设计出来，其设计目的主要是解决当时已存在的过滤机制效率低下的问题。

BPF 一种抓取并过滤网络数据包（capture and filter packet）的内核结构(kernel architecture)。
BPF包含2个重要的组成部分：

• 网络分流器（network tap）和包过滤器（packet filter）。
• 网络分流器负责从网络驱动拷贝数据包，而包过滤器则过滤掉不符合条件的数据包，只把符合需求的数据包上报给应用程序

详见设计细节参见论文：《The BSD Packet Filter: A New Architecture for User-level Packet Capture》
论文作者描述了他们如何在Unix内核实现网络数据包过滤器功能，过滤速度比当时的数据包过滤技术快20倍。 数据包过滤器有一个特定的目的：提供一个应用程序，该程序使用内核中的直接信息来监视系统网络的。 利用这些信息，应用程序可以决定如何处理这些数据包。

BPF的过滤功能是以BPF虚拟机机器语言的解释器的形式实现的，这种语言的程序可以抓取封包数据&#