3. XDP 核心概念：挂载点、动作与内核协议栈关系
XDP（eXpress Data Path）是 Linux 内核中提供的高性能、可编程的网络数据包处理框架。它在网络驱动层（即网卡驱动接收到数据包后、内核协议栈处理之前）注入了一个 BPF 程序执行点。本章将深入剖析 XDP 的三个核心维度：程序挂载点、XDP 动作语义以及 XDP 与内核协议栈的协作与隔离关系。
3.1 XDP 程序挂载点
XDP 程序并非挂载在传统的套接字或 netfilter 钩子上，而是直接附着在网络设备（net_device）的早期接收路径上。根据内核版本与驱动支持程度，挂载点分为两种模式：
| 模式 | 挂载位置 | 特点 | 内核版本要求 |
|---|---|---|---|
| Native XDP | 网卡驱动的 ndo_xdp_xmit / NAPI poll 循环内，skb 分配之前 |
性能最高，零拷贝；需要网卡驱动原生支持 XDP | Linux 4.8+ |
| Offloaded XDP | 网卡硬件（SmartNIC / FPGA） | 数据包在到达主机 CPU 前即被处理；延迟极低，但程序受硬件资源限制 | Linux 4.9+（特定硬件） |
| Generic XDP | 内核协议栈的 __netif_receive_skb_core 中，作为软件模拟 |
无需驱动支持，用于开发测试；性能低于 Native 模式 | Linux 4.12+ |
生产环境建议： 优先使用 Native XDP 模式。在加载 XDP 程序时，可以通过指定
XDP_FLAGS_DRV_MODE 标志强制使用 Native 模式，若驱动不支持则返回错误，避免静默回退到 Generic 模式导致性能不符合预期。
3.2 XDP 动作（Action）语义
XDP 程序执行完毕后，必须返回一个整型动作码，告知内核如何处理当前数据包。这五个动作构成了 XDP 数据面控制的全部语义：
- XDP_ABORTED (0)：程序异常退出，通常用于调试。内核会记录一条 tracepoint 日志，然后丢弃该包。
- XDP_DROP (1)：直接丢弃数据包，不进行任何后续处理。这是实现 DDoS 防护、流量过滤的核心动作。
- XDP_PASS (2)：将数据包放行至内核协议栈，继续正常的网络处理流程（生成
skb，进入 IP/TCP 层）。 - XDP_TX (3)：将数据包从接收到的同一网卡原路发送回去。常用于实现简单的负载均衡或包转发。
- XDP_REDIRECT (4)：将数据包重定向到另一个网卡、CPU 或用户态 AF_XDP 套接字。这是构建复杂转发路径和零拷贝数据平面的基础。
动作选择矩阵：
| 场景 | 推荐动作 | 说明 |
|---|---|---|
| 恶意流量拦截 | XDP_DROP | 在驱动层直接丢弃，CPU 开销极低 |
| 流量镜像/抓包 | XDP_PASS + perf_event_output | 放行包的同时将包头发送到用户态 |
| 同端口回弹 | XDP_TX | 适用于简单的 L4 负载均衡 |
| 跨端口转发 | XDP_REDIRECT | 需要指定目标网卡或 AF_XDP socket |
| 程序异常 | XDP_ABORTED | 仅用于开发阶段调试 |
3.3 XDP 与内核协议栈的关系
理解 XDP 与内核协议栈的关系，关键在于把握执行时序和数据所有权。XDP 程序运行在协议栈的“前面”，其决策直接影响协议栈是否能看到这个包。
上图清晰地展示了 XDP 程序作为“守门员”的角色：
- XDP_DROP / ABORTED：数据包在驱动层被终结，内核协议栈完全不可见。这是实现租户隔离时“硬隔离”的关键——恶意租户的流量在到达主机 CPU 协议栈之前即被丢弃。
- XDP_TX / REDIRECT：数据包被转发到其他路径，同样绕过了本地协议栈，适用于高性能转发场景。
- XDP_PASS：数据包被“准入”，内核才会为其分配
skb结构体，并进入 GRO、IP 路由、Netfilter、TCP 协议栈等后续处理。
关键隔离原则： 在租户隔离蓝图中，XDP 程序应当对所有入站流量执行 XDP_PASS 或 XDP_DROP 的二元决策。只有通过租户身份核验的流量才被允许 PASS 进入协议栈；未通过核验或超出租户配额的流量直接 DROP。这种设计确保了隔离逻辑在协议栈之外完成，避免了协议栈内部复杂状态（如 conntrack、TCP 连接表）被恶意流量污染。
3.4 XDP 动作与租户隔离的映射
在《eBPF网络观测租户隔离蓝图》中，XDP 的五个动作被赋予了具体的租户隔离语义：
| XDP 动作 | 租户隔离场景 | 实现方式 |
|---|---|---|
| XDP_DROP | 租户 A 的流量试图访问租户 B 的 IP/端口 | BPF map 中存储租户 ACL，匹配失败则 drop |
| XDP_PASS | 租户内合法流量，且未超过带宽配额 | 通过 rate limiting map 校验后放行 |
| XDP_TX | 租户内 L4 负载均衡（同网卡回弹） | 修改 MAC 地址后 TX |
| XDP_REDIRECT | 跨租户网络功能虚拟化（NFV）链式转发 | 重定向到目标租户的 veth 或 AF_XDP |
| XDP_ABORTED | 程序 bug 或异常，触发告警 | 关联 tracepoint 上报监控系统 |
上述决策流展示了 XDP 在租户隔离中的核心价值：一次数据包，一次决策。所有隔离逻辑在协议栈之外完成，避免了传统 iptables / tc 方案中规则遍历带来的性能开销，同时保证了租户流量在进入复杂内核状态之前即被隔离。