eBPF：如何在套接字重定向时传递元数据？

一、连接拦截与重定向实现（基于sockmap） #

• 挂载eBPF程序到TC_OUTGOING hook，拦截出站TCP SYN包（连接建立阶段）。
• 在eBPF程序内匹配目标IP是否为预设虚拟IP（VIP），匹配成功后从预配置的eBPF哈希map中取出对应的实际后端IP。
• 提前将用户态代理监听的TCP socket存入sockmap（通过用户态程序调用bpf_map_update_elem），调用bpf_redirect_sock将SYN包重定向至代理的socket，内核会直接将后续连接关联到代理。

二、传递原始VIP与实际IP给代理 #

方案1：eBPF哈希map存储连接元数据 #

• 定义哈希map，key为连接四元组（源IP、源端口、VIP、协议），value结构体包含original_vip和real_ip字段。
• eBPF程序在重定向SYN包时，将两个IP写入map。
• 用户态代理accept新连接后，提取连接的源IP、源端口，结合预设VIP查询map得到元数据，再执行对应策略。
• 配合BPF_SOCK_OPS钩子监听连接关闭事件，自动清理map中的对应条目，避免内存泄漏。

方案2：自定义TCP选项嵌入元数据 #

• 在eBPF程序中修改TCP SYN包的选项段，使用未被标准占用的选项号（如254），将原始VIP和实际IP以二进制格式编码后插入选项（需遵守TCP选项格式：1字节类型、1字节长度、N字节数据）。
• 用户态代理在处理新连接时，通过getsockopt获取TCP选项，或直接解析接收到的SYN包内容，解码得到两个IP地址。
• 优势：无需依赖eBPF map查询，代理直接从数据包获取信息；劣势：需确保中间网络设备不会丢弃带自定义选项的包。

三、关键注意事项 #

• 权限要求：eBPF程序需要CAP_BPF、CAP_NET_ADMIN权限，代理需具备操作eBPF map或原始socket的权限。
• VIP解析逻辑：若VIP需动态解析（如DNS），需由用户态程序完成解析后更新至eBPF map，eBPF内无法直接发起网络调用。
• 性能优化：sockmap重定向为内核态直接转发，避免用户态数据包拷贝，远优于传统NAT方式；map需根据连接数设置合理大小，避免哈希冲突。

内容的提问来源于stack exchange，提问作者the_bearded_skull