Написать программу фильтрации пакетов в ebpf

Вы можете передавать инструкции eBPF способом, очень похожим на то, что вы делаете для своей программы cBPF: у вас может быть что-то вроде

struct bpf_insn ebpf_code[] = {
{ 0xb7, 0, 0, 0, 0 },
{ 0x95, 0, 0, 0, 0 },
};

(Обратите внимание, что длина инструкций не такая, как для cBPF.)

Но в настоящее время нет инструмента, который бы выдавал вам инструкции так же, как это делает tcpdump -dd. Это означает, что вы должны построить свою программу другим способом.

Одним из решений является самостоятельное написание инструкций eBPF. Это очень похоже на программирование на ассемблере. У вас есть документация по BPF в ядре или список существующие инструкции и их синтаксис здесь.

Поскольку писать отдельные инструкции eBPF вручную неинтересно, типичный рабочий процесс для eBPF несколько отличается. clang/LLVM имеет серверную часть для eBPF, и большинство программ eBPF, созданных сегодня, полагаются на нее. Рабочий процесс выглядит следующим образом:

1. Напишите свою программу BPF на C.
2. Скомпилируйте его с помощью clang/LLVM в объектный файл (ELF).
3. Загрузите байт-код из объектного файла с помощью инструмента или библиотеки (ip link< /a>, tc filter, bpftool, bcc, libbpf, gobpf, ...).
4. Вставьте байт-код в ядро ​​и прикрепите его к хуку (например, к сокету) (обычно это делается теми же инструментами или библиотеками).

В ядре есть куча примеры программ BPF, написанных на C. Вы можете посмотреть и посмотреть, можно ли адаптировать одну из них к вашим потребностям. Что вам нужно реализовать, вероятно, что-то вроде:

1. Убедитесь, что ваш пакет достаточно длинный, чтобы иметь полный заголовок Ethernet.
2. Убедитесь, что ethertype — IPv4.
3. Убедитесь, что после заголовка Ethernet ваш пакет имеет достаточную длину для полного заголовка IPv4.
4. Убедитесь, что номер IP-протокола — ICMP.

Затем верните действие, связанное с тем, что вы хотите сделать с этим пакетом (значение зависит от того, к какому хуку, сокету/TC/XDP, вы привязываете свою программу).