eBPF通过XDP、TC和Socket Filters等钩子实现高效网络监控与过滤，支持在不修改内核的情况下进行数据包处理；1. XDP在网卡驱动层快速执行丢包或放行决策，适用于DDoS防护；2. TC-BPF在协议栈中进行细粒度流量控制，支持入站出站策略并可统计流量信息；3. 用户态工具如BCC、libbpf和bpftool协同完成程序加载与结果展示，结合perf buffer实现实时分析；4. 利用C或Python编写程序，可灵活构建高性能IDS、带宽监控等安全与观测工具。
在Linux系统中，eBPF（extended Berkeley Packet Filter）是一种强大的内核技术，允许用户在不修改内核源码的前提下，安全地运行沙箱程序来监控和操控网络、系统调用、跟踪点等。利用eBPF实现内核级的网络流量监控与过滤，具有高性能、低开销和高灵活性的优势。
1. eBPF在网络中的作用机制
eBPF程序可以附加到多种网络相关的钩子点上，例如：
- XDP（eXpress Data Path）：在数据包刚进入网卡驱动时就执行处理，适用于高速过滤和丢包决策。
- TC（Traffic Control）：在协议栈更上层处理，支持分类、限速、重定向等复杂策略。
- Socket Filters：绑定到特定socket，用于进程级别的流量控制。
这些钩子允许eBPF程序直接访问skb（sk_buff）结构，提取IP地址、端口、协议等信息，并决定是放行、丢弃还是修改数据包。
2. 使用XDP实现高效流量过滤
XDP是最接近硬件的处理层，适合做DDoS防护或黑名单过滤。以下是一个基本流程：
步骤示例：- 编写C语言编写的eBPF程序，加载到XDP钩子上。
- 程序检查每个数据包的源IP，若匹配黑名单则返回
XDP_DROP。 - 使用ip命令将程序加载到指定网卡：
ip link set dev eth0 xdp obj filter.bpf.o
该方式可在微秒级完成判断，避免进入协议栈造成资源浪费。
3. 利用TC-BPF进行细粒度流量监控
当需要基于应用层特征或复杂规则进行监控时，TC更适合。它支持ingress（入站）和egress（出站）方向的控制。
- 通过
tc filter add命令将eBPF程序挂载到网络接口。 - eBPF程序可统计各IP的流量体积、记录连接行为，或将数据推送到用户态perf buffer。
- 结合Go或Python程序读取perf事件，实现实时可视化。
这种方式常用于构建轻量级IDS或带宽分析工具。
4. 用户态与内核态协同工作
eBPF程序运行在内核中，但配置和结果展示通常由用户态程序完成。常用工具链包括：
- libbpf + CO-RE（Compile Once – Run Everywhere）：用C编写eBPF程序，通过bpftool生成头文件，提升兼容性。
- BCC（BPF Compiler Collection）：提供Python/Lua接口，快速原型开发，适合调试。
- BPFTOOL：用于加载、查看、持久化eBPF程序和map。
例如，使用BCC的Python脚本可实时打印TCP连接建立事件：
from bcc import BPF
bpf_code = """
int trace_tcp_connect(struct pt_regs *ctx, struct sock *sk) {
u32 pid = bpf_get_current_pid_tgid();
// 记录PID、源/目的地址等
return 0;
}
"""
b = BPF(text=bpf_code)
b.attach_kprobe(event="tcp_connect", fn_name="trace_tcp_connect")
基本上就这些。通过合理选择钩子点和工具链，eBPF能以极小性能代价实现精准的网络监控与过滤，是现代Linux系统可观测性和安全防护的核心技术之一。
