MIT 6.1810 · 第 22 课 · nz

内核可扩展性 (BPF)

BPF（Berkeley Packet Filter）提供了一种灵活、安全、低开销的方式让用户代码在内核中运行。本节课探讨 BPF 的设计、实现与性能优化。

动机：监控原始网络数据包

性能挑战

• 将每个数据包发送到用户空间很昂贵
  • 需要在内核中复制数据包
  • 需要发送到用户空间应用
• 应用会丢弃不关心的数据包——浪费工作

目标

指定内核应该复制或丢弃什么数据包——在内核中基于指定规则检查，避免不必要的复制。

论文思想：将过滤器指定为字节码程序

示例

# tcpdump -n -i wlan0 udp
# tcpdump -n -i wlan0 udp and port 123

BPF 是内核可扩展性的强大方法

• 灵活、安全、低开销的方式让内核运行用户提供的代码
• 不同于传统进程级隔离的隔离模型
• 有时称为"软件故障隔离"
• 与 WebAssembly、JavaScript 等系统有共同技术

与进程相比的限制

• 代码必须在 BPF 语言中
• 代码必须立即返回（不能睡眠、线程等）
• 没有虚拟内存
• 没有标准系统调用

限制带来的好处

性能！限制使得高性能执行成为可能，并启用新的用例。

技术挑战

1. 如何确保过滤器程序不崩溃（不损坏内存）？
2. 如何确保过滤器程序不泄漏（不读取其他数据）？
3. 如何确保过滤器程序不会永远运行？
4. 如何高性能执行过滤器程序？

方案 1：编写解释器

// 解释器循环
for (int i = 0; i < nins; i++) {
    switch (pc->opcode) {
        case BPF_LD: ... break;
        case BPF_JMP: ... break;
        case BPF_RET: ... break;
        default: return 0;  // 非法操作码
    }
}

安全检查

• 不能访问超过数据包缓冲区大小的内存
• 不能在有效指令之外运行 BPF 操作码
• 不能运行未知操作码
• 必须初始化状态（a=0），否则可能读取残留的内核数据

如何确保解释器总是完成？

性能

$ time ./run_interp ../seccomp.bpf
bpf_run: 0x7fff0000
real    0m2.392s
user    0m2.384s
sys     0m0.002s

// 每次调用约 24 纳秒
// 对比：切换到用户空间（如 getpid）约 100 纳秒

方案 2：更快的解释器（避免关键路径上的检查）

验证规则

• 必须至少有 1 条指令（可以开始运行）
• 最后一条指令必须是返回（不会跑到末尾之外）
• 加载必须在数据包边界内
• 跳转不能超过指令末尾

性能

$ time ./run_fast_interp ../seccomp.bpf
bpf_run: 0x7fff0000
real    0m1.650s

// 每次调用约 16 纳秒（vs 24 纳秒）

方案 3：将 BPF 字节码翻译为硬件指令（JIT）

寄存器分配

x86-64 调用约定：
%rdi = 第一个函数参数 → 存储数据包指针
%eax = 函数返回值 → 存储 BPF 的 "A" 寄存器
%eax 是调用者保存的（函数可以修改它）

JIT 需要做什么

• 仍然需要与快速解释器相同的安全检查
• 对每条指令，填入对应的 x86 代码
• 需要知道跳转到哪里——两遍编译：
  1. 第一遍：生成 x86 代码（跳转可能错误，但大小正确）
  2. 记录每条 BPF 指令的 x86 指令偏移
  3. 第二遍：生成 x86 代码（跳转正确）
• 需要初始化 %eax 为零（否则可能读取未初始化数据）

性能

$ time ./run_jit ../seccomp.bpf
bpf_run: 0x7fff0000
real    0m0.380s

// 每次调用约 3.8 纳秒（vs 16 纳秒解释器）

性能对比

方案	每次调用时间	相对速度
解释器（带检查）	24 ns	1x
快速解释器（预验证）	16 ns	1.5x
JIT 编译	3.8 ns	6.3x

Linux eBPF

eBPF 用例

• bpftrace：动态跟踪系统调用、中断等
• XDP (eXpress Data Path)：高性能数据包处理
• 性能分析：内核和用户空间 profiling

示例：bpftrace

# bpftrace -e 'tracepoint:syscalls:sys_enter_mkdir {
    printf("PID %d calling mkdir(%s)\n", pid, str(args.pathname));
}'

示例：XDP 丢弃 ICMP

// drop_icmp.c
SEC("xdp")
int drop_icmp(struct xdp_md *ctx) {
    void *data_end = (void *)(long)ctx->data_end;
    void *data = (void *)(long)ctx->data;
    struct ethhdr *eth = data;
    if (eth + 1 > data_end) return XDP_PASS;
    if (eth->h_proto == htons(ETH_P_IP)) {
        struct iphdr *ip = data + sizeof(*eth);
        if (ip + 1 > data_end) return XDP_PASS;
        if (ip->protocol == IPPROTO_ICMP)
            return XDP_DROP;
    }
    return XDP_PASS;
}

eBPF 验证器

要点总结

测验

延伸阅读

• Awesome eBPF
• bpftrace 单行教程