3、网络观测数据源：网络数据包捕获原理、XDP与TC钩子、套接字过滤器

网络观测的基石在于高效、准确地捕获数据包。eBPF 提供了三种核心的数据包捕获路径：XDP（eXpress Data Path）、TC（Traffic Control） 钩子以及 套接字过滤器（Socket Filter）。理解它们的捕获原理、内核挂载点与性能特征，是设计资源配额校准模型的前提。

3.1 网络数据包捕获原理

传统数据包捕获（如 libpcap）通过内核态与用户态之间的数据拷贝、中断处理以及多次上下文切换实现，在高吞吐场景下存在显著的性能瓶颈。eBPF 将捕获逻辑下沉到内核的协议栈关键路径中，通过 JIT 编译的指令集直接在数据包到达的最早阶段执行过滤、聚合与重定向。

eBPF 程序通过 bpf_redirect()、bpf_redirect_map() 等辅助函数实现数据包在内核内的直接转发，避免了协议栈的完整处理，从而将捕获延迟从微秒级降至纳秒级。

3.2 XDP 钩子：最早的数据包处理点

XDP 是 Linux 内核中性能最高的数据包处理框架，它在网卡驱动层、在 sk_buff 结构体分配之前执行 eBPF 程序。XDP 程序直接操作原始的 DMA 缓冲区（xdp_buff），无需经过内核协议栈的任何处理。

3.3 TC 钩子：协议栈内部的灵活控制点

TC（Traffic Control）钩子位于内核协议栈内部，分为 ingress（入站）和 egress（出站）两个挂载点。与 XDP 不同，TC 钩子处理的是已经分配好的 sk_buff 结构体，因此可以访问完整的协议头部（L2-L7），支持更复杂的包修改、封装与转发逻辑。

// TC ingress 钩子示例：统计特定端口的入站数据包
SEC("tc/ingress")
int tc_ingress_count(struct __sk_buff *skb) {
    void *data_end = (void *)(long)skb->data_end;
    void *data = (void *)(long)skb->data;
    struct ethhdr *eth = data;
    struct iphdr *ip;

    if ((void *)(eth + 1) > data_end)
        return TC_ACT_OK;

    ip = data + sizeof(struct ethhdr);
    if ((void *)(ip + 1) > data_end)
        return TC_ACT_OK;

    // 仅捕获 TCP 80 端口流量
    if (ip->protocol == IPPROTO_TCP) {
        struct tcphdr *tcp = (void *)ip + (ip->ihl * 4);
        if ((void *)(tcp + 1) > data_end)
            return TC_ACT_OK;
        if (tcp->dest == __constant_htons(80)) {
            bpf_map_update_elem(&pkt_count_map, &tcp->dest, &one, BPF_ANY);
        }
    }
    return TC_ACT_OK;
}

3.4 套接字过滤器：用户态视角的细粒度捕获

套接字过滤器（Socket Filter）通过 SO_ATTACH_BPF 或 SO_ATTACH_FILTER 选项挂载到具体的套接字上。它工作在协议栈处理完成之后、数据交付到用户态应用之前，因此只能看到已经完成协议解析的流数据。

• 挂载点： 每个套接字独立挂载，不共享全局钩子。
• 数据视图： 只能访问套接字缓冲区中的数据（已剥离 L2 头部），无法看到原始网络帧。
• 典型用途： 按进程/连接粒度统计流量、应用层协议过滤（如仅捕获 HTTP/2 帧）。
• 性能特征： 延迟最低（因为只影响单个连接），但无法捕获非本进程的流量。

3.5 三种数据源的综合对比

3.6 数据源选择策略：从捕获到校准

在资源配额校准系统中，通常采用 分层捕获架构：

1. 第一层（XDP）： 在网卡驱动层进行高速流量采样与粗粒度过滤（如丢弃非配额流量、统计总字节数）。
2. 第二层（TC）： 对通过 XDP 的流量进行协议解析，提取五元组、应用层协议类型，并更新配额计数器。
3. 第三层（套接字过滤器）： 在关键进程（如数据库、API 网关）上挂载，用于校准因内核协议栈处理导致的统计偏差。

3.7 关键性能指标与校准影响

选择数据源时，需重点评估以下指标对配额校准精度的影响：

• 捕获延迟： XDP 的纳秒级延迟意味着配额计数器可以更早更新，减少因并发竞争导致的计数偏差。
• 数据完整性： TC 和套接字过滤器可能丢失 L2 头部信息（如 VLAN 标签、MAC 地址），在需要按虚拟网络接口计费时，必须使用 XDP。
• 上下文切换： 套接字过滤器在进程上下文中执行，不会引起额外的上下文切换；而 XDP/TC 可能触发软中断，需注意 CPU 亲和性配置。
• 内存开销： XDP 直接操作 DMA 缓冲区，无需额外的 skb 分配，内存占用最低；TC 需要分配 sk_buff，在高并发下可能成为瓶颈。