eBPF 网络技术深度实战：从 XDP 到 TC 的内核可编程网络栈

一、为什么 eBPF 正在重塑 Linux 网络栈

Linux 内核网络栈长期以来面临着性能与灵活性的两难困境：用户态网络方案（如 DPDK）性能卓越但开发复杂且需要独占内核；内核模块方案灵活但开发门槛高、稳定性风险大。eBPF 的出现彻底改变了这一格局，它让开发者能够在不修改内核源码、不加载内核模块的前提下，在内核空间中安全地运行自定义程序。

从 Linux 3.18 引入 eBPF 到现在的 6.x 内核，eBPF 网络生态已经形成了一个完整的技术矩阵：XDP（eXpress Data Path）在网卡驱动层实现纳秒级包处理、TC（Traffic Control）在协议栈层面提供细粒度流量整形、Socket Filter 在 socket 层完成高效的包过滤、Sockmap/Sockops 实现 socket 层短路加速。据 Cloudflare、Meta、Google 等公司的生产数据显示，基于 eBPF 的方案能够处理数千万 PPS（每秒数据包），同时保持微秒级的延迟抖动。

二、eBPF 网络程序的核心挂载点

理解 eBPF 网络编程，首先需要厘清程序在内核网络栈中的挂载位置。整个数据包的生命周期中，有五个关键的 eBPF 挂载点：

• XDP (eXpress Data Path)：挂载在网卡驱动层的 early hook，数据包到达网卡后、尚未分配 sk_buff 即可被处理。这是内核中执行最早的 eBPF 程序，具有最低的延迟。
• TC Ingress/Egress：挂载在流量控制层的 hook，此时数据包已完成 sk_buff 分配，进入 Linux 协议栈处理流程。能够访问完整的协议头信息。
• Socket Filter：挂套接字层的 filter，主要用于 pcap/tcpdump 等抓包工具，以及 BPF 原始套接字过滤。
• Sockops / Sockmap：socket 层的操作 hook，支持在 socket 建立/关闭等事件上触发 eBPF 程序，实现 socket 层流量短路。
• Cgroup Hook：在 cgroup 层面控制网络行为，实现容器级别的网络策略。

每个挂载点都有其特定的使用场景，实际项目中往往是多个挂载点的组合使用。

三、XDP 深度实战：DDoS 防护与负载均衡

XDP 是当前 eBPF 网络生态中性能最强的挂载点。它的核心优势在于：数据包到达网卡 DMA 环形缓冲区后，在 sk_buff 分配之前就完成了处理决策，对于可以直接丢弃或转发的数据包，完全绕过了内核协议栈的开销。

3.1 XDP 程序的基本结构

一个典型的 XDP 程序结构如下（C 语言）：

#include