如何在无map的DPDK环境下运行eBPF安全应用并动态更新ACL规则

以下是三类可落地的替代方案，均支持ACL规则的动态更新：

方案1：用DPDK共享内存模拟eBPF map #

• 通过rte_memzone或者rte_malloc申请一块大页支持的共享内存区，内存结构按照你需要的ACL规则结构体定义，预留足够的规则存储空间，同时兼容RCU（读-拷贝-更新）机制或者自旋锁保证并发访问安全。
• 用户态侧直接对该共享内存区进行读写，实现ACL规则的增删改操作，无额外系统调用开销。
• DPDK eBPF程序运行在PMD线程的用户态上下文，可以直接访问同进程的共享内存空间，运行时直接读取内存中的规则完成匹配即可。
• 多队列多线程场景优先选择RCU机制做规则更新：更新时先构造新的规则列表，完成后再切换访问指针指向新列表，老规则等待所有读线程退出访问后再释放，完全避免锁竞争影响转发性能。

方案2：复用DPDK原生ACL库，拆分匹配逻辑 #

• 把规则匹配逻辑从eBPF程序中剥离，交给DPDK原生的rte_acl库处理：该库本身就支持五元组等多维度规则匹配，也支持用户态动态增删规则，性能经过专项优化，适合10G以上的高速转发场景。
• eBPF程序仅负责解析报文提取五元组及其他匹配参数，把参数传递到后续的DPDK处理逻辑调用ACL库完成匹配，命中丢弃规则直接调用rte_pktmbuf_free释放报文即可。
• 该方案改动量最小，不需要自行实现规则存储、匹配逻辑，直接复用DPDK成熟的基础库能力。

方案3：升级支持eBPF map的DPDK版本 #

• DPDK 22.11及之后的LTS版本已经完善了eBPF map支持，目前已经覆盖哈希map、数组map等常用的map类型，如果你当前使用的是旧版本DPDK，可以评估升级成本，升级后即可直接使用原生的DPDK eBPF map能力，和内核eBPF的使用逻辑差异很小，迁移成本低。

内容的提问来源于stack exchange，提问作者ncormac