4. 网络观测数据采集基础：XDP与TC钩子、网络包捕获、sk_buff结构解析、元数据提取

在eBPF网络观测体系中，数据采集是整个性能调优与配额校准的基石。本章深入剖析Linux内核网络栈中两个关键的eBPF挂载点——XDP与TC，讲解网络包的捕获机制、核心数据结构sk_buff的解析方法，以及如何高效提取元数据。

4.1 XDP与TC钩子：数据采集的入口

eBPF程序通过挂载到内核网络栈的不同钩子点来捕获和处理网络包。XDP（eXpress Data Path）和TC（Traffic Control）是最常用的两个钩子，它们在网络栈中的位置和性能特征有显著差异。

以下SVG图展示了XDP与TC在内核网络栈中的位置关系及数据流路径：

4.2 网络包捕获机制：从硬件到eBPF

网络包从物理网卡到达eBPF程序，经历了一系列精心设计的捕获路径。理解这一机制对于优化采集性能至关重要。

4.2.1 捕获路径对比

4.2.2 捕获流程关键步骤

1. 硬件接收： 网卡通过DMA将数据包写入内存Ring Buffer，触发硬中断。
2. NAPI轮询： 内核NAPI机制轮询RX队列，调用驱动注册的poll函数。
3. XDP执行： 在驱动层，XDP程序直接处理原始帧，决定丢弃、放行或重定向。
4. sk_buff分配： 若XDP返回XDP_PASS，内核分配sk_buff结构体，封装协议头信息。
5. TC处理： 协议栈处理完成后，TC ingress钩子被触发，eBPF程序可访问sk_buff。
6. 数据输出： eBPF程序通过bpf_perf_event_output或bpf_ringbuf_output将元数据发送到用户态。

4.3 sk_buff结构解析：内核网络数据的核心

sk_buff（Socket Buffer）是Linux内核网络子系统中最重要的数据结构，它贯穿整个网络栈，承载着数据包的所有信息。eBPF程序通过struct __sk_buff上下文访问其关键字段。

4.3.1 核心字段解析

4.3.2 协议头解析示例

在TC钩子中，通过sk_buff的data和data_end指针，可以安全地解析各层协议头：

// TC钩子中解析IP和TCP头
int tc_parse_headers(struct __sk_buff *ctx) {
    void *data = (void *)(long)ctx->data;
    void *data_end = (void *)(long)ctx->data_end;
    struct ethhdr *eth = data;

    // 边界检查
    if (data + sizeof(struct ethhdr) > data_end)
        return TC_ACT_OK;

    // 检查是否为IP包
    if (bpf_ntohs(eth->h_proto) != ETH_P_IP)
        return TC_ACT_OK;

    struct iphdr *ip = data + sizeof(struct ethhdr);
    if ((void *)(ip + 1) > data_end)
        return TC_ACT_OK;

    // 提取五元组
    __u32 src_ip = ip->saddr;
    __u32 dst_ip = ip->daddr;
    __u8 protocol = ip->protocol;

    // 如果是TCP，继续解析
    if (protocol == IPPROTO_TCP) {
        struct tcphdr *tcp = (void *)ip + (ip->ihl * 4);
        if ((void *)(tcp + 1) > data_end)
            return TC_ACT_OK;
        __u16 src_port = bpf_ntohs(tcp->source);
        __u16 dst_port = bpf_ntohs(tcp->dest);
        // 将元数据存入cb[]供后续处理
        ctx->cb[0] = src_ip;
        ctx->cb[1] = dst_ip;
        ctx->cb[2] = (src_port << 16) | dst_port;
    }
    return TC_ACT_OK;
}

4.4 元数据提取：从原始包到结构化观测数据

元数据提取是将原始网络包转化为可观测、可计量的结构化数据的过程。对于平台门户的配额校准，需要提取以下关键元数据：

4.4.1 元数据分类与提取策略

4.4.2 高效提取原则

• 分层提取： 在XDP层提取轻量级元数据（五元组、长度），在TC层补充重量级元数据（连接状态、cgroup信息）。
• 批量输出： 使用bpf_ringbuf_reserve批量提交元数据，减少perf_event的开销。
• 哈希聚合： 在eBPF map中按五元组或用户ID聚合流量，减少用户态处理压力。
• 时间戳精度： 使用bpf_ktime_get_ns获取高精度时间戳，用于延迟分析和配额校准。

以下SVG图展示了从原始网络包到结构化元数据的完整提取流程：

4.5 实践要点与性能考量

• XDP vs TC选择： 对于纯流量计量（包数、字节数），优先使用XDP；对于需要协议解析和连接状态的配额校准，使用TC。
• 元数据缓存： 使用sk_buff->cb[]在XDP和TC之间传递元数据，避免重复解析。
• 批量处理： 在XDP程序中，使用bpf_loop或批量辅助函数处理多个包，减少上下文切换。
• 安全边界： 始终进行data + sizeof(struct header) <= data_end检查，防止越界访问。