如何在cgroupv2中运行Rust程序以应用BPF sockops程序

一、先确认系统启用了cgroupv2 #

• 检查当前cgroup版本：执行mount | grep cgroup，如果输出里有cgroup2的挂载点（通常是/sys/fs/cgroup/unified或/sys/fs/cgroup），说明已经启用。
• 要是没启用，得在系统启动参数里加systemd.unified_cgroup_hierarchy=1，重启系统后生效。

二、创建并配置目标cgroupv2目录 #

1. 建个cgroup目录（比如/sys/fs/cgroup/my-bpf-cgroup）：

   mkdir -p /sys/fs/cgroup/my-bpf-cgroup
   

2. 开启这个cgroup的sockops控制器（BPF sockops必须依赖这个）：

   echo "+sockops" > /sys/fs/cgroup/my-bpf-cgroup/cgroup.subtree_control
   

3. 确认控制器开了：

   cat /sys/fs/cgroup/my-bpf-cgroup/cgroup.controllers
   

   输出里得有sockops才行。

三、把Rust进程加到目标cgroupv2里 #

有两种方法：

方法1：启动Rust程序后手动加PID #

• 先启动你的Rust程序，拿到它的PID（比如12345），然后执行：

  echo 12345 > /sys/fs/cgroup/my-bpf-cgroup/cgroup.procs
  

• 或者启动时直接指定cgroup（需要root权限）：

  cgexec -g sockops:/my-bpf-cgroup ./your-rust-program
  

方法2：在Rust代码里自动把自己加进去 #

在Rust程序里加这段逻辑（得有root权限，因为改cgroup文件需要权限）：

use std::fs::OpenOptions;
use std::io::Write;
use std::process;

fn main() {
    // 获取当前进程的PID
    let pid = process::id().to_string();
    // 打开cgroup的procs文件
    let mut cgroup_procs = OpenOptions::new()
        .write(true)
        .open("/sys/fs/cgroup/my-bpf-cgroup/cgroup.procs")
        .expect("打不开cgroup.procs文件");
    // 把PID写进去
    cgroup_procs.write_all(pid.as_bytes())
        .expect("没法把PID写入cgroup.procs");

    // 这里放你原来的Rust程序逻辑，比如创建套接字之类的
}

四、验证BPF是否生效 #

• 用bpftool prog show看看sockops程序的附加状态，确认它绑定到了目标cgroup。
• 跑Rust程序创建套接字后，用bpftool map dump name <你的sockops程序用的map名>看看有没有新条目生成，就能确认BPF程序是不是作用到了Rust的套接字上。

内容的提问来源于stack exchange，提问作者Astor