在不支持BTF的Linux 4.X内核中能否在eBPF中使用vmlinux.h？

可以在这类环境中使用vmlinux.h，但必须是对应目标4.X内核版本的vmlinux.h，不能直接使用通用版本，具体操作和注意事项如下：

1. 生成目标内核的vmlinux.h #

• 如果目标机器上有带调试信息的内核镜像（通常路径为/boot/vmlinux-$(uname -r)），可以用bpftool提取：

  bpftool btf dump file /boot/vmlinux-$(uname -r) format c > vmlinux.h
  

  注意：部分4.X内核默认没有内置BTF，此时需要先通过pahole给vmlinux镜像生成BTF信息，再执行上述命令：

  pahole -J /boot/vmlinux-$(uname -r)
  

• 如果目标机器没有调试镜像，可以在同版本内核的编译环境中，基于内核源码生成vmlinux文件后，再用上述工具导出vmlinux.h。

2. 在eBPF程序中使用的注意事项 #

• 必须确保vmlinux.h与目标内核版本完全匹配，不同小版本的内核结构体字段偏移可能存在差异，误用会导致非法内存访问或程序逻辑错误。
• 编译eBPF程序时，将vmlinux.h放入项目目录，直接通过#include "vmlinux.h"引入即可；若需要结合内核头文件，需指定正确的内核头路径。
• 由于无BTF支持，编译器无法自动校验结构体偏移的正确性，建议用offsetof()宏核对关键字段的偏移值，与手动获取的结果交叉验证。
• 尽量避免依赖内核非稳定结构体字段，这类字段在内核小版本迭代中可能发生变更，优先使用内核文档明确标注的稳定字段。

3. 补充方案 #

如果生成对应vmlinux.h存在困难，可以结合bpf_core_read()系列宏，搭配手动定义的精简结构体使用，但vmlinux.h仍是减少手动计算偏移工作量的最优选择。

内容的提问来源于stack exchange，提问作者WKali