如何在内核模块中调用eBPF程序暴露的接口获取map数据？

核心思路 #

eBPF Map本质是内核层面的共享数据结构，内核模块无需依赖eBPF程序暴露的自定义函数，直接调用内核提供的eBPF Map操作API即可访问数据。核心是获取目标Map的内核态引用，可通过用户态传递的Map文件描述符（FD）实现。

具体实现步骤 #

1. 保持数据结构与Map定义一致 #

必须确保内核模块和eBPF程序中，struct data_tag以及Map的类型、键值大小完全一致，避免内存访问错误。示例共享头文件：

// 内核模块与eBPF程序共用的头文件
#include <linux/types.h>

struct data_tag {
    u32 id;
    u64 timestamp;
};

// eBPF侧定义Map
struct bpf_map_def SEC("maps") data_map = {
    .type = BPF_MAP_TYPE_HASH,
    .key_size = sizeof(struct data_tag),
    .value_size = sizeof(u64), // 替换为你的实际数据类型大小
    .max_entries = 1024,
};

2. 将eBPF Map的FD传递给内核模块 #

用户态加载eBPF程序后，通过bpf_obj_get()或加载库（如libbpf）获取Map的FD，再通过模块参数传递给内核模块：

// 内核模块中定义接收FD的参数
static int map_fd = -1;
module_param(map_fd, int, 0644);
MODULE_PARM_DESC(map_fd, "File descriptor of the target eBPF data map");

用户态加载模块时传入FD：insmod your_module.ko map_fd=<map_fd>

3. 内核模块中操作eBPF Map #

使用内核提供的bpf_map_get()、bpf_map_lookup_elem()等API（内核版本≥4.15支持）实现数据查询，等价于你需要的ebpf_get_data逻辑：

#include <linux/bpf.h>
#include <linux/module.h>
#include <linux/jiffies.h>

static int __init module_init_func(void) {
    struct bpf_map *map;
    struct data_tag key = {.id = 0x123, .timestamp = jiffies};
    u64 *value;

    if (map_fd < 0) {
        pr_err("Invalid eBPF map FD\n");
        return -EINVAL;
    }

    // 通过FD获取内核态Map结构体
    map = bpf_map_get(map_fd);
    if (!map) {
        pr_err("Failed to get eBPF map reference\n");
        return -EINVAL;
    }

    // 查找指定key对应的数据
    value = bpf_map_lookup_elem(map, &key);
    if (value) {
        pr_info("Retrieved data from eBPF map: %llu\n", *value);
        // 注意：并发场景下需同步，避免与eBPF程序的读写冲突
    } else {
        pr_info("No data found for the given key\n");
    }

    return 0;
}

static void __exit module_exit_func(void) {
    if (map_fd >= 0) {
        bpf_map_put(map_fd);
    }
}

module_init(module_init_func);
module_exit(module_exit_func);
MODULE_LICENSE("GPL");

4. 关键注意事项 #

• 内核版本兼容性：bpf_map_get()在4.18+内核中更稳定，低版本可尝试bpf_map_get_fd_info()辅助获取信息
• 并发安全：eBPF程序与内核模块同时操作Map时，eBPF侧可使用bpf_spin_lock，内核模块侧用常规内核同步机制（如spinlock）
• 权限要求：加载eBPF程序和内核模块均需root权限
• 数据结构一致性：键值的大小、对齐方式必须完全匹配，否则会触发内存访问错误

替代方案：内核态直接创建共享Map #

若无需用户态中转，可在内核模块中直接创建eBPF Map，eBPF程序通过同名Map关联：

// 内核模块创建Map
struct bpf_map *map = bpf_map_create(BPF_MAP_TYPE_HASH, "shared_data_map",
                                     sizeof(struct data_tag), sizeof(u64),
                                     1024, NULL);

eBPF程序中定义同名Map即可自动关联到内核创建的实例。

内容的提问来源于stack exchange，提问作者Jzzzsen Li