4. eBPF网络观测原理：XDP与TC hook点、skb结构、网络数据包捕获流程
网络观测是eBPF最成熟、应用最广泛的能力领域之一。理解eBPF如何在内核网络栈中插入观测点，是构建高效网络可观测性的基础。本章深入剖析eBPF网络观测的核心原理：XDP与TC两大hook点的定位与差异、内核网络数据包结构sk_buff的关键字段，以及数据包从网卡到用户态的完整捕获流程。
4.1 XDP与TC：内核网络栈的两大观测锚点
eBPF在内核网络路径上提供了两个关键的hook点：XDP（eXpress Data Path）和TC（Traffic Control）。它们位于网络栈的不同层次，决定了eBPF程序能看到的报文状态和可执行的操作。
| 特性 | XDP（eXpress Data Path） | TC（Traffic Control） |
|---|---|---|
| hook位置 | 网卡驱动层，最早的可编程点 | 内核网络协议栈，更靠后的位置 |
| 触发时机 | 数据包到达网卡后，尚未分配skb结构 |
数据包已进入协议栈，skb结构已分配 |
| 可访问数据 | 原始网络帧（L2-L4头部） | 完整的sk_buff结构及协议栈元数据 |
| 性能开销 | 极低（无协议栈处理开销） | 较低（已包含部分协议栈处理） |
| 典型动作 | 丢弃、转发、重定向、透传 | 过滤、整形、镜像、修改、统计 |
| 适用场景 | DDoS防护、负载均衡、高速包过滤 | 流量监控、QoS、网络策略、观测 |
关键差异：XDP在skb分配之前执行，性能极致但无法获取协议栈上下文；TC在skb分配之后执行，能访问更丰富的网络元数据，是网络观测的首选hook点。
4.2 XDP与TC在内核网络栈中的位置
下图展示了数据包从网卡到用户态socket的完整路径，以及XDP和TC两个hook点的精确位置。
实践建议：对于网络观测场景，优先选择TC ingress hook。它既能获取完整的协议栈上下文（如IP地址、端口、协议类型），又能通过
skb结构访问丰富的元数据，是构建网络可观测性的最佳锚点。
4.3 sk_buff结构：网络观测的数据核心
sk_buff（socket buffer）是Linux内核网络子系统中最重要的数据结构。每个网络数据包在内核中都被封装为一个sk_buff实例。eBPF程序通过访问skb指针，可以获取数据包的关键信息。
4.3.1 sk_buff关键字段
| 字段 | 类型 | 说明 | 观测用途 |
|---|---|---|---|
len |
__u32 | 数据包总长度（字节） | 流量大小统计 |
protocol |
__be16 | L3协议类型（ETH_P_IP/IPv6） | 协议识别 |
pkt_type |
__u8 | 数据包类型（单播/多播/广播） | 流量分类 |
mark |
__u32 | 防火墙标记 | 策略关联 |
hash |
__u32 | 数据包哈希值 | 流一致性哈希 |
tstamp |
ktime_t | 内核时间戳 | 延迟测量 |
dev |
struct net_device* | 接收/发送网络设备 | 接口关联 |
cb[] |
char[48] | 控制块，用于eBPF传递元数据 | 自定义上下文 |
4.3.2 从skb中提取网络头部
eBPF程序通过bpf_skb_load_bytes()辅助函数从skb中读取指定偏移量的数据。以下示例展示如何提取IP头部和TCP头部信息：
// 从skb中提取IP头部
struct iphdr iph;
bpf_skb_load_bytes(skb, offsetof(struct ethhdr, h_proto) + 2, &iph, sizeof(iph));
// 从skb中提取TCP头部（假设IP头部长度为20字节）
struct tcphdr tcph;
int ip_hdr_len = (iph.ihl & 0x0f) * 4;
bpf_skb_load_bytes(skb, ETH_HLEN + ip_hdr_len, &tcph, sizeof(tcph));
// 提取五元组信息
__u32 src_ip = iph.saddr;
__u32 dst_ip = iph.daddr;
__u16 src_port = bpf_ntohs(tcph.source);
__u16 dst_port = bpf_ntohs(tcph.dest);
__u8 protocol = iph.protocol;
注意：在XDP程序中，由于没有
skb结构，必须直接操作原始帧数据。XDP程序使用bpf_xdp_load_bytes()或直接指针解引用来访问数据，偏移量计算从帧头开始。
4.4 网络数据包捕获流程
从网卡接收到用户态程序获取数据包，eBPF网络观测的完整流程包含以下步骤：
- 网卡接收：数据包到达网卡，通过DMA写入内存中的ring buffer。
- XDP触发（可选）：如果绑定了XDP程序，在skb分配前执行，可决定丢弃、转发或透传。
- skb分配：内核分配
sk_buff结构，将数据帧封装为skb。 - 协议栈处理：skb进入内核协议栈，进行IP分片重组、路由查找、TCP状态机处理等。
- TC ingress触发：在协议栈处理过程中，TC ingress hook被调用，eBPF程序可访问完整的skb。
- eBPF程序执行：程序提取五元组、时间戳、长度等信息，通过map或perf event输出。
- 数据传递到用户态：用户态程序通过perf event array或ring buffer map读取观测数据。
4.5 关键对比：XDP vs TC for 观测
| 对比维度 | XDP | TC | 观测推荐 |
|---|---|---|---|
| 协议解析能力 | 需手动解析L2-L4头部 | 可直接访问skb中的协议字段 | TC |
| 元数据丰富度 | 仅原始帧数据 | skb元数据 + 协议栈上下文 | TC |
| 性能开销 | 极低（纳秒级） | 较低（微秒级） | XDP（若仅需帧级信息） |
| 可编程动作 | 丢弃/转发/重定向 | 过滤/镜像/修改/统计 | TC（更丰富的动作集） |
| 典型观测场景 | 包速率统计、DDoS检测 | 流级观测、延迟测量、协议分析 | TC（覆盖更广） |
核心结论：对于构建网络可观测性系统，TC ingress是首选hook点。它提供了完整的skb上下文、丰富的协议元数据，以及足够的性能表现。XDP更适合需要极致性能且仅需帧级信息的场景，如高速包过滤和DDoS防护。