如何在单套接字层面实现tcp_fwmark_accept功能？

问题核心 #

全局tcp_fwmark_accept参数能让SYN-ACK继承SYN的FWMark，但你需要单套接字粒度的控制，而BPF_SOCK_OPS钩子无法在SYN-ACK发送前触发，导致标记无法及时设置，连接建立失败。

可行方案 #

1. eBPF套接字SKB钩子+哈希映射 #

• 给目标套接字挂载接收方向的BPF_PROG_TYPE_SK_SKB程序：
  • 捕获SYN包时，提取skb->mark作为FWMark
  • 把连接四元组（源IP、源端口、目的IP、目的端口）作为键，FWMark作为值存入哈希映射
• 再给目标套接字挂载发送方向的同类型程序：
  • 捕获SYN-ACK包时，用四元组从映射中取出对应FWMark
  • 调用bpf_skb_set_mark给SYN-ACK打上标记
  • 连接建立后（比如触发BPF_SOCK_OPS_TCP_ESTABLISHED钩子）清理映射中的条目，避免内存占用

2. TC eBPF钩子（单套接字过滤） #

• 在目标网卡上挂载clsact qdisc，加载出口方向的BPF_PROG_TYPE_CLSACT程序：
  • 通过bpf_sk_fullsock_id获取套接字唯一ID，只处理目标套接字的SYN-ACK
  • 用bpf_ct_get_mark从连接跟踪（CT）中获取对应SYN包的FWMark
  • 调用bpf_skb_set_mark给SYN-ACK打标记
• 这种方式不用修改应用程序，纯通过eBPF控制指定套接字的流量

3. 内核模块自定义套接字选项 #

如果eBPF方案受限，可以编写内核模块实现：

• 新增自定义套接字选项（比如SO_TCP_FWMARK_ACCEPT），允许单套接字开启SYN-ACK继承标记的功能
• 在内核tcp_v4_send_synack函数中，检查该选项是否开启，若开启则把SYN包的mark赋值给SYN-ACK

注意事项 #

• 哈希映射需处理过期条目，可通过连接关闭钩子或超时机制清理
• TC钩子要精准匹配目标套接字，避免影响其他流量
• eBPF程序需注意网络序与主机序的转换问题

内容的提问来源于stack exchange，提问作者Anonymous Rust Programmer