XDP五元组过滤程序加载失败：R9偏移超出数据包范围求助

1. 无-O2编译时的Map Section错误 #

错误信息：map location not supported: map "" is in section ".data" instead of "maps/"

• 原因：BPF映射(map)未被标记到maps/段，编译器默认将无标记变量放入.data段，但BPF加载器要求映射必须在maps段中。
• 解决办法：
  • 定义BPF映射时，必须用SEC("maps")宏标记，示例：

    #include <bpf/bpf_helpers.h>
    
    struct rule {
        __u32 src_ip;
        __u32 dst_ip;
        __u8 proto;
        __u16 src_port;
        __u16 dst_port;
        __u8 action; // 0: pass, 1: drop
    };
    
    SEC("maps")
    struct bpf_map_def rule_map = {
        .type = BPF_MAP_TYPE_HASH,
        .key_size = sizeof(struct rule),
        .value_size = sizeof(__u8),
        .max_entries = 1024,
    };
    

  • 若使用libbpf的BPF_MAP宏，确保宏自动生成了SEC("maps")标记，避免手动定义时遗漏段声明。

2. -O2编译时的R9 Offset越界错误 #

错误信息：R9 offset is outside of the packet

• 原因：XDP程序缺少严格的数据包边界检查，编译器开启优化后调整代码逻辑，导致BPF验证器判定程序访问了超出数据包范围的内存。XDP要求所有数据包指针访问必须严格限制在data到data_end区间内。
• 解决办法：
  • 在解析每个网络头部前添加边界检查，示例代码：

    SEC("xdp")
    int xdp_filter(struct xdp_md *ctx) {
        void *data = (void *)(long)ctx->data;
        void *data_end = (void *)(long)ctx->data_end;
        struct ethhdr *eth = data;
    
        // 检查以太网头部长度
        if ((void *)eth + sizeof(*eth) > data_end)
            return XDP_PASS;
    
        // 仅处理IPv4
        if (eth->h_proto != htons(ETH_P_IP))
            return XDP_PASS;
    
        struct iphdr *ip = (void *)eth + sizeof(*eth);
        // 检查IP头部基础长度
        if ((void *)ip + sizeof(*ip) > data_end)
            return XDP_PASS;
    
        struct rule key = {
            .src_ip = ip->saddr,
            .dst_ip = ip->daddr,
            .proto = ip->protocol,
            .src_port = 0,
            .dst_port = 0,
        };
    
        // 处理ICMP
        if (ip->protocol == IPPROTO_ICMP) {
            __u8 *action = bpf_map_lookup_elem(&rule_map, &key);
            if (action && *action == 1)
                return XDP_DROP;
            return XDP_PASS;
        }
    
        // 处理TCP/UDP
        if (ip->protocol == IPPROTO_TCP || ip->protocol == IPPROTO_UDP) {
            // 计算传输层头部偏移（IP头可能含选项，用ihl*4）
            void *trans_hdr = (void *)ip + ip->ihl * 4;
            // 检查传输层头部至少包含端口字段
            if (trans_hdr + sizeof(__u16) * 2 > data_end)
                return XDP_PASS;
    
            __u16 *ports = trans_hdr;
            key.src_port = ntohs(*ports);
            key.dst_port = ntohs(*(ports + 1));
    
            __u8 *action = bpf_map_lookup_elem(&rule_map, &key);
            if (action && *action == 1)
                return XDP_DROP;
        }
    
        return XDP_PASS;
    }
    

  • 注意IP头部的ihl字段（以4字节为单位），不能直接用sizeof(struct iphdr)跳过，需用ip->ihl *4计算实际长度，否则会导致偏移计算错误触发越界检查。
  • 所有指针运算后必须与data_end比较，确保访问内存在数据包范围内，BPF验证器才会通过。

编译与加载注意事项 #

• 编译推荐使用clang -O2 -target bpf -c xdp.c -o xdp.o，优化后性能更好，同时需确保边界检查完整。
• Native模式加载时，使用ip link set dev <interface> xdp obj xdp.o sec xdp，确保指定正确的SEC段（示例中为xdp）。

内容的提问来源于stack exchange，提问作者Null