编译时嵌入静态规则集的XDP过滤器实现方案咨询

针对你的需求——编译期固定规则集、无需用户态配置、追求匹配速度，以下两种方案完全适配，且无需依赖XDP Maps（毕竟XDP Maps的核心是内核-用户态共享，和你的需求冲突）：

方案一：用gperf生成编译期完美哈希表 #

gperf是GNU工具链中的一款工具，能为固定键值对生成无冲突的完美哈希函数和查找表，编译时直接嵌入二进制，查找速度O(1)，是性能最优的选择。

步骤示例 #

1. 编写规则定义文件（比如src_ip_rules.gperf）：

%language=C
%define lookup-function-name src_ip_lookup
%struct-type
struct rule {
    uint32_t src_ip;  // 网络字节序的IPv4地址，IPv6可改用uint64_t[2]
    uint8_t action;   // 自定义操作：0=允许，1=丢弃
};
%%
0x0A000001, 1  // 10.0.0.1 → 丢弃
0x0A000002, 0  // 10.0.0.2 → 允许
0x0A000003, 1  // 10.0.0.3 → 丢弃

2. 生成哈希表C代码：
   执行命令让gperf生成可直接编译的代码：

gperf -L C -C -E -t src_ip_rules.gperf > src_ip_hash.c

该命令会生成src_ip_hash.c和src_ip_hash.h，包含自动生成的哈希函数和查找逻辑。

3. 在XDP程序中调用：

#include "src_ip_hash.h"
#include <linux/if_ether.h>
#include <linux/ip.h>

int xdp_filter(struct xdp_md *ctx) {
    void *data = (void *)(long)ctx->data;
    void *data_end = (void *)(long)ctx->data_end;
    
    struct ethhdr *eth = data;
    if ((void *)eth + sizeof(*eth) > data_end)
        return XDP_PASS;
    
    if (eth->h_proto != htons(ETH_P_IP))
        return XDP_PASS;
    
    struct iphdr *ip = (void *)eth + sizeof(*eth);
    if ((void *)ip + sizeof(*ip) > data_end)
        return XDP_PASS;
    
    // 调用gperf生成的查找函数
    struct rule *matched = src_ip_lookup(ip->saddr);
    if (matched && matched->action == 1) {
        return XDP_DROP;
    }
    
    return XDP_PASS;
}

方案二：手动实现编译期静态哈希表 #

如果不想依赖外部工具，可以手动编写编译时初始化的哈希表，用宏完成规则注入，灵活性更高。

代码示例 #

#include <linux/in.h>
#include <linux/if_ether.h>
#include <linux/ip.h>

// 规则结构体定义
struct rule {
    uint32_t src_ip;
    uint8_t action;
    struct rule *next;
};

// 哈希桶数量（根据规则总数调整，减少冲突）
#define HASH_BUCKETS 8

// 哈希函数：针对IPv4地址的简单取模（可替换为更高效的哈希算法）
static inline uint32_t ip_hash(uint32_t ip) {
    return ip % HASH_BUCKETS;
}

// 全局哈希桶数组，编译时初始化为空
static struct rule rule_buckets[HASH_BUCKETS] = {0};

// 编译期添加规则的宏
#define ADD_SRC_RULE(ip, act) do { \
    static struct rule _r = { \
        .src_ip = ip, \
        .action = act, \
        .next = rule_buckets[ip_hash(ip)].next \
    }; \
    rule_buckets[ip_hash(ip)].next = &_r; \
} while(0)

// 注入所有规则（编译时完成初始化）
ADD_SRC_RULE(htonl(0x0A000001), 1);
ADD_SRC_RULE(htonl(0x0A000002), 0);
ADD_SRC_RULE(htonl(0x0A000003), 1);

// 查找函数
static struct rule *lookup_src_ip(uint32_t ip) {
    struct rule *r = rule_buckets[ip_hash(ip)].next;
    while (r) {
        if (r->src_ip == ip) {
            return r;
        }
        r = r->next;
    }
    return NULL;
}

// XDP处理逻辑
int xdp_filter(struct xdp_md *ctx) {
    // 头部解析逻辑同方案一...
    struct iphdr *ip = ...;
    
    struct rule *matched = lookup_src_ip(ip->saddr);
    if (matched && matched->action == 1) {
        return XDP_DROP;
    }
    
    return XDP_PASS;
}

关键说明 #

• 为什么不用XDP Maps？XDP Maps的设计初衷是实现内核态与用户态的数据共享，必须由用户态程序在加载XDP程序时填充，且运行时可修改，完全不符合你“编译期固定规则、无需用户态干预”的需求。
• 性能对比：完美哈希表（gperf）的查找速度是O(1)且无冲突，手动哈希表的速度取决于哈希函数的冲突率，只要规则数量不大，两者都远快于线性数组查找。

内容的提问来源于stack exchange，提问作者atticus