eBPF 网络流量分析与安全监控实战：从 XDP 到 Socket Filter 的全栈观测体系

传统 Linux 网络观测工具（tcpdump、iptables、Wireshark）长期面临一个核心矛盾：要么内核态高性能但缺乏灵活性，要么用户态灵活但性能损耗巨大。eBPF（Extended Berkeley Packet Filter）的出现彻底改变了这一格局——它允许在 Linux 内核中安全地运行沙盒程序，无需修改内核源码或加载内核模块，就能实现从数据包过滤到系统调用的全栈观测。

本文将从 eBPF 的底层机制出发，逐步构建一个完整的网络流量分析与安全监控技术栈，涵盖 XDP、tc、Socket Filter、BPF Map、连接追踪与生产级异常检测方案。

1. eBPF 核心架构

1.1 从 BPF 到 eBPF 的演进

经典 BPF（cBPF）由 Steven McCanne 和 Van Jacobson 于 1992 年提出，其极简设计（仅 32 位指令、1 个累加器、1 个数据地址寄存器）专为数据包过滤而生。2014 年，Alexei Starovoitov 将 BPF 扩展为 eBPF：64 位寄存器（r0-r10）、512 字节栈空间、BPF Map 键值存储、以及丰富的辅助函数（helper functions）。

// eBPF 程序的基本执行模型
用户空间：编译字节码 → bpf() 系统调用加载 → 内核验证器检查 → JIT 编译 → 挂载到 Hook 点
                                                                      ↓
内核空间：Hook 触发 → eBPF 程序执行 → 读写 BPF Map → 通过 perf_event/ring_buffer 上报

1.2 内核验证器：安全沙盒的守门人

eBPF 验证器在加载时静态分析程序，确保：无越界内存访问、无无限循环（有界循环最大迭代次数由内核版本决定，5.3 支持有限循环）、无不可达指令、寄存器状态正确（PTR_TO_CTX 等类型标记）、栈使用不超过 512 字节。这一机制是 eBPF "不可 crash 内核" 承诺的根本保障。

1.3 BPF Map：内核与用户空间的共享状态

BPF Map 是 eBPF 程序与用户空间、以及 eBPF 程序之间交换数据的核心机制。网络场景中最常用的类型：

• BPF_MAP_TYPE_HASH：连接追踪表、指标计数器
• BPF_MAP_TYPE_PERCPU_HASH：高并发下的无锁计数
• BPF_MAP_TYPE_LRU_HASH：适合连接追踪的 LRU 淘汰
• BPF_MAP_TYPE_RINGBUF：5.8 引入的高效事件上报机制，替代 perf_event_array
• BPF_MAP_TYPE_ARRAY_OF_MAPS / HASH_OF_MAPS：动态 Map 管理，适合多租户/多接口场景

2. XDP：网络栈最前线的包处理

2.1 XDP 执行位置与性能优势

XDP（eXpress Data Path）在网卡驱动层（NIC driver level）执行 eBPF 程序，位置甚至早于 sk_buff 分配，这意味着每个数据包在消耗任何内核内存之前就已经被决策。对于 DDoS 过滤、负载均衡等场景，XDP 可达到接近线速的处理能力。

// XDP 程序返回值语义
XDP_DROP    → 立即丢弃（在驱动层，最高性能）
XDP_PASS    → 交给内核网络栈继续处理
XDP_TX      → 从同一网卡发回去（反弹）
XDP_REDIRECT → 转发到另一个网卡或 CPU（AF_XDP）

2.2 实战：SYN Flood 防御

// xdp_syn_protect.c
SEC("xdp")
int xdp_syn_flood_protect(struct xdp_md *ctx) {
    void *data_end = (void *)(long)ctx->data_end;
    void *data = (void *)(long)ctx->data;
    
    struct ethhdr *eth = data;
    if ((void *)(eth   1) > data_end) return XDP_PASS;
    if (eth->h_proto != bpf_htons(ETH_P_IP)) return XDP_PASS;
    
    struct iphdr *ip = data   sizeof(*eth);
    if ((void *)(ip   1) > data_end) return XDP_PASS;
    if (ip->protocol != IPPROTO_TCP) return XDP_PASS;
    
    struct tcphdr *tcp = (void *)ip   (ip->ihl * 4);
    if ((void *)(tcp   1) > data_end) return XDP_PASS;
    
    // 只处理 SYN 包
    if (!tcp->syn || tcp->ack) return XDP_PASS;
    
    __u64 key = ip->saddr;
    __u64 *count = bpf_map_lookup_elem(