LSF-BPF-eBPF

Thank Zhihao Tao for your hard work. The document spent countless nights and weekends, using his hard work to make it convenient for everyone.
If you have any questions, please send a email to zhihao.tao@outlook.com

---

1. 概述

LSF（Linux Socket Filtering）又名BPF。BPF允许用户空间程序将过滤器附加到任意套接字上，并且允许或禁止某些类型的数据通过套接字。它在内核提供了一个虚拟机，用户态将过滤规则以虚拟机指令的形式传递到内核，由内核根据这些指令来过滤网络数据包。官方文档

BPF主要应用：

• XDP
• 流量控制
• 防火墙
• 网络包跟踪
• 内核探针
• cgroups
• bcc
• bpftools

2. 编程接口

2.1 创建选项

BPF对用户提供两种SOCKET选项：

• SO_ATTACH_FILTER。其使用cBPF代码。libpcap用的cBPF版本，其加载到内核中后会被内核自动的转变为eBPF。

• SO_ATTACH_BPF。其使用eBPF代码。最初出现在Linux 3.15。需要搭配libbpf使用。

2.2 其他选项

• SO_DETACH_FILTER。从套接字中分离过滤器(使用较少)。原因如下。

  • socket关闭时过滤器会自动删除。
  • 更换filter也会自动进行。

• SO_LOCK_FILTER。允许锁定连接到套接字的过滤器。

2.3 编程指导

• 头文件<linux/filter.h>

struct sock_filter {	/* Filter block */
	__u16	code;   /* Actual filter code */
	__u8	jt;	/* Jump true */
	__u8	jf;	/* Jump false */
	__u32	k;      /* Generic multiuse field */
};

struct sock_fprog {			/* Required for SO_ATTACH_FILTER. */
	unsigned short		   len;	/* Number of filter blocks */
	struct sock_filter __user *filter;
};

具体实现可以参考suricata。