BPF_PROG_TYPE_SOCK_OPS与CGROUP_SOCK的差异及从属关系问询

问题背景 #

两类BPF程序看似相似，内核源码中的定义如下：

BPF_PROG_TYPE(BPF_PROG_TYPE_CGROUP_SOCK, cg_sock,
          struct bpf_sock, struct sock)

BPF_PROG_TYPE(BPF_PROG_TYPE_SOCK_OPS, sock_ops,
          struct bpf_sock_ops, struct bpf_sock_ops_kern)

疑问点：

1. CGROUP_SOCK是否属于SOCK_OPS程序类型的子集？二者关联的结构体存在共同字段。
2. 测试发现bpf_sock结构体仅允许受限访问源IP和目的IP，这是否能佐证CGROUP_SOCK是SOCK_OPS的子集？

解答 #

• CGROUP_SOCK并非SOCK_OPS的子集，二者是完全独立的BPF程序类型。从内核定义就能看出，它们通过BPF_PROG_TYPE宏分别注册为不同类型，各自拥有独立的触发时机、内核处理逻辑和应用场景：

  • BPF_PROG_TYPE_CGROUP_SOCK绑定到cgroup，触发时机是套接字创建、关联到cgroup的阶段，主要用于cgroup层面的套接字准入控制。
  • BPF_PROG_TYPE_SOCK_OPS针对套接字的各类操作（如连接建立、监听、关闭等）触发，用于对套接字生命周期内的具体操作做精细化控制。

• 结构体存在共同字段是socket属性复用，而非类型从属的证明：bpf_sock和bpf_sock_ops的共同字段（如IP地址相关字段）都是套接字的通用属性，内核在设计不同BPF程序的上下文结构体时，会复用这些通用属性来减少冗余，但这并不代表一种类型从属于另一种。

• bpf_sock的受限访问是设计目标差异导致，与子集无关：BPF_PROG_TYPE_CGROUP_SOCK的定位是做cgroup层面的套接字准入检查，只需要获取套接字的基础属性即可完成判断，因此内核限制了对bpf_sock的访问权限；而BPF_PROG_TYPE_SOCK_OPS需要处理更多套接字操作场景，因此bpf_sock_ops提供了更丰富的可访问字段。这种权限差异是功能定位不同的结果，不是子集关系的佐证。

内容的提问来源于stack exchange，提问作者diviquery