XDP获取IP头Version/IHL：trace pipe与perf_output输出不一致

你遇到的行为差异主要由两个核心问题导致：

1. 结构体定义不完整导致内存越界与传输数据不完整 #

你的内核态代码中，struct data_t的定义仅包含header_len和version两个位字段（共1字节），但代码中却对packet.type、packet.src_mac、packet.dst_mac进行赋值——这些字段并未在结构体中声明。这会引发两个严重问题：

• 内存越界写入：赋值这些未声明的字段时，会向packet变量的内存范围之外写入数据，破坏栈上其他内存区域，可能导致后续perf_submit传输的数据被篡改。
• 传输数据不完整：perf_submit使用sizeof(packet)作为传输长度，此时仅传输1字节数据，但用户态解析时期望的是包含MAC地址、以太网类型等完整字段的结构体，导致用户态读取version和header_len时，读取的是超出传输范围的垃圾数据。

而bpf_trace_printk在version和header_len赋值后立即输出，此时还未执行后续的越界写入操作，因此能输出正确值。

2. 位字段跨内核-用户态的内存布局不兼容 #

即使修复了结构体定义问题，使用位字段（u8 header_len:4, version:4）仍存在隐患：C语言中位字段的存储顺序（哪个字段占字节的高位/低位）由编译器实现决定，内核与用户态（尤其是Python解析时的结构体映射）的位字段布局规则可能不一致，导致用户态解析出的位字段值与内核态实际赋值的值错位。

方案1：修复结构体定义并避免使用位字段 #

直接将version和header_len定义为独立的u8字段，同时补全结构体中缺失的字段：

// 内核态完整结构体定义
struct data_t {
    __be16 type;
    u8 src_mac[ETH_ALEN];
    u8 dst_mac[ETH_ALEN];
    u8 version;
    u8 header_len;
};

内核态赋值时保持原样：

packet.version = iph->version;
packet.header_len = iph->ihl;

用户态解析时，直接读取对应字段即可，无需处理位字段的兼容性问题。

方案2：合并为单个字节传输（可选） #

如果想节省字节空间，可以将version和header_len合并到一个u8中，内核态打包、用户态拆分：

// 内核态结构体
struct data_t {
    __be16 type;
    u8 src_mac[ETH_ALEN];
    u8 dst_mac[ETH_ALEN];
    u8 ip_ver_ihl;
};

// 内核态赋值
packet.ip_ver_ihl = (iph->version << 4) | iph->ihl;

用户态解析时拆分：

def callback(ctx, data, size):
    packet = bpf["packets"].event(data)
    version = (packet.ip_ver_ihl >> 4) & 0xF
    header_len = packet.ip_ver_ihl & 0xF
    print("VERSION=%u;HEADER_LEN=%u;" % (version, header_len))

额外注意点 #

确保内核态与用户态的结构体定义完全一致（字段顺序、类型、对齐方式），perf_submit时使用正确的结构体大小（sizeof(struct data_t)）。

内容的提问来源于stack exchange，提问作者Afonso Pinto