3、网络流量采集原理：XDP与TC钩子、skb结构、数据包解析流程

在eBPF网络可观测性体系中，流量采集的起点是数据包在内核协议栈中的“拦截点”。Linux内核提供了两个关键的eBPF钩子——XDP（eXpress Data Path）和TC（Traffic Control），它们分别位于网卡驱动层和协议栈入口层。理解这两个钩子的差异、sk_buff（skb）结构以及数据包解析流程，是构建高效流量可视化方案的基础。

3.1 XDP与TC钩子：内核中的两大拦截点

XDP和TC虽然都能挂载eBPF程序处理网络数据，但它们在数据路径上的位置、性能特征和可操作的数据粒度上存在本质区别。下表从多个维度对比了二者的核心差异：

下图展示了XDP与TC在Linux网络数据路径中的具体位置，以及它们与网卡驱动、协议栈的关系：

3.2 sk_buff结构：内核网络数据的核心载体

sk_buff是Linux内核网络子系统中最重要的数据结构，它贯穿整个协议栈，承载着数据包的所有元数据。在eBPF程序中，无论是通过TC钩子直接访问skb，还是通过XDP的xdp_md间接映射，理解skb的结构都是编写正确解析逻辑的前提。

skb的核心字段按功能可分为以下几类：

• 数据指针域： head、data、tail、end，分别指向数据区的起始、有效数据起始、有效数据结束和分配区结束。eBPF程序通过调整这些指针实现协议头的添加或剥离。
• 协议标识域： protocol（L3协议类型，如ETH_P_IP）、vlan_proto、vlan_tci，用于快速判断上层协议。
• 长度与偏移域： len（总长度）、data_len（分片数据长度）、mac_len（MAC头长度）、network_header（L3头偏移）、transport_header（L4头偏移）。
• 控制与状态域： pkt_type（如PACKET_HOST、PACKET_BROADCAST）、skb_iif（入接口索引）、mark（防火墙标记）、hash（RSS哈希值）。

下图展示了sk_buff结构在内存中的布局，以及各指针如何界定不同协议层的数据范围：

3.3 数据包解析流程：从原始帧到应用层

无论是XDP还是TC，eBPF程序的核心任务都是从原始字节流中提取出结构化的协议信息。一个完整的数据包解析流程通常包含以下步骤：

1. 边界校验： 检查 data + 协议头长度 ≤ data_end，防止越界访问导致内核崩溃。
2. L2层解析： 读取以太网帧头，获取源MAC、目的MAC和 EtherType（如0x0800为IPv4，0x86DD为IPv6）。
3. L3层解析： 根据EtherType跳转到对应的IP头解析逻辑，提取源IP、目的IP、协议号（如TCP=6，UDP=17）。
4. L4层解析： 根据IP协议号解析TCP/UDP头，提取源端口、目的端口，以及TCP的标志位或UDP长度。
5. 元数据提取： 将解析出的五元组（源IP、目的IP、源端口、目的端口、协议号）存入eBPF map或直接输出到perf event。

以下是一个在TC钩子中解析IPv4/TCP数据包的eBPF代码片段，展示了上述流程的具体实现：

// TC ingress 钩子中解析 IPv4/TCP 数据包
int tc_parse_packet(struct __sk_buff *skb) {
    void *data = (void *)(long)skb->data;
    void *data_end = (void *)(long)skb->data_end;
    struct ethhdr *eth = data;

    // 1. 边界校验：确保至少包含以太网头
    if ((void *)(eth + 1) > data_end)
        return TC_ACT_OK;

    // 2. 只处理 IPv4 数据包
    if (eth->h_proto != __constant_htons(ETH_P_IP))
        return TC_ACT_OK;

    struct iphdr *ip = (struct iphdr *)(eth + 1);
    // 3. 边界校验：确保包含完整的IP头
    if ((void *)(ip + 1) > data_end)
        return TC_ACT_OK;

    // 4. 只处理 TCP 协议
    if (ip->protocol != IPPROTO_TCP)
        return TC_ACT_OK;

    struct tcphdr *tcp = (struct tcphdr *)((void *)ip + (ip->ihl * 4));
    // 5. 边界校验：确保包含完整的TCP头
    if ((void *)(tcp + 1) > data_end)
        return TC_ACT_OK;

    // 6. 提取五元组并记录
    __u32 src_ip = ip->saddr;
    __u32 dst_ip = ip->daddr;
    __u16 src_port = bpf_ntohs(tcp->source);
    __u16 dst_port = bpf_ntohs(tcp->dest);

    // 将五元组存入 map 或输出到 perf event
    // ...

    return TC_ACT_OK;
}

下表总结了XDP与TC在数据包解析时的关键差异，帮助你在实际项目中做出技术选型：