如何在bpftrace中比较32位整数与字符串形式的IP地址？

这确实是bpftrace里处理IP地址比较时容易碰到的小麻烦，我来分享两个既规范又能兼顾可读性的解决办法：

方法一：将字符串IP转换为uint32数值后比较 #

inet_pton返回的int8[4]数组没法直接和uint32比较，核心问题是类型不匹配，还有有符号字节的符号扩展坑需要处理。我们可以手动把数组转换成无符号32位整数，再和目标IP数值对比：

kprobe:tcp_v4_connect
{
    // 从内核获取网络字节序的目标IP（uint32类型）
    uint32_t dst_ip = args->u.ipv4.daddr;
    
    int8_t target_bytes[4];
    // 把字符串IP解析成字节数组
    inet_pton(AF_INET, "192.168.1.1", target_bytes);
    
    // 将字节数组转换为uint32，先转成uint8避免符号扩展问题
    uint32_t target_ip = ((uint8_t)target_bytes[0] << 24) | 
                         ((uint8_t)target_bytes[1] << 16) | 
                         ((uint8_t)target_bytes[2] << 8) | 
                         (uint8_t)target_bytes[3];
    
    if (dst_ip == target_ip) {
        printf("捕获到目标IP连接：%pI4\n", &dst_ip);
    }
}

这种方法的优势是性能更高——数值对比比字符串对比快，适合对性能敏感的追踪场景。

方法二：将整数IP转换为字符串后比较 #

如果你更看重代码可读性，不想处理移位和字节转换，可以反过来把内核里的整数IP转成字符串，再直接和目标字符串对比。这里要用到inet_ntop把数值写入缓冲区，再用strcmp做判断：

kprobe:tcp_v4_connect
{
    uint32_t dst_ip = args->u.ipv4.daddr;
    char dst_ip_str[16]; // IPv4字符串最长15位，留一位给终止符
    
    // 把网络字节序的uint32转成人类可读的字符串IP
    inet_ntop(AF_INET, &dst_ip, dst_ip_str, sizeof(dst_ip_str));
    
    if (strcmp(dst_ip_str, "192.168.1.1") == 0) {
        printf("捕获到目标IP连接：%s\n", dst_ip_str);
    }
}

这个写法更直观，直接用日常熟悉的字符串IP做判断，完全不需要关心十六进制或者字节序的问题，调试和维护起来都更省心。

额外注意点 #

• 内核里的IP地址（比如tcp_v4_connect的daddr）通常是网络字节序（大端），inet_pton和inet_ntop都会自动处理字节序，所以不用额外调用ntohl或者htonl。
• 如果要处理IPv6，只需要把AF_INET改成AF_INET6，缓冲区大小调整为46位即可。

内容的提问来源于stack exchange，提问作者larsks