如何阻止指定线程访问DPDK RX、TX缓冲区，保障报文预处理流程？

1. 同进程内存权限隔离+显式拷贝方案 #

该方案不需要拆分进程，性能损耗相对较低，适配你当前的DPDK 20.11版本：

• 首先单独为RX报文分配专用内存池，通过rte_mempool_create_empty()+rte_mempool_populate_iova_contig()接口指定该内存池使用连续大页内存段，后续调用mprotect()系统调用将该内存段的权限设置为仅shim layer所在线程可读写，core logic所在线程无访问权限。
• RX路径：shim layer从网卡接收报文完成校验后，将有效报文内容拷贝到专门为core logic分配的中间内存池，通过DPDK rte_ring无锁队列将拷贝后的mbuf传递给core logic，原始RX mbuf校验完成后立即归还到RX专用内存池，整个流程中core logic全程无法接触原始RX内存池的地址空间，即使被攻破也无法绕过校验直接读取网卡报文。
• TX路径：core logic将要发送的报文写入中间内存池后通过队列传递给shim layer，shim layer校验完成后将内容拷贝到TX专用内存池，再转发到网卡，避免core直接接触网卡相关缓冲区。

2. 进程/容器级隔离方案 #

该方案安全性更高，适配你当前的Docker+OVS-DPDK部署环境：

• 将shim layer和core logic拆分为两个独立进程，shim进程独占DPDK网卡驱动、RX/TX内存池的访问权限，core进程完全不关联任何DPDK网卡资源，仅通过DPDK多进程通信（rte_mp）或者共享内存+Unix域套接字的方式和shim进程交互。
• 也可以将两个模块拆分到独立Docker容器中，shim容器绑定vhost-user端口对接OVS-DPDK，core容器仅和shim容器通过专用共享内存通道通信，从容器namespace层面阻断core侧直接访问OVS网络资源的路径。

3. 硬件特性强化方案 #

结合你使用的Intel i7-7567U CPU的硬件特性进一步提升安全性：

• 开启DPDK的mbuf合法性校验配置CONFIG_RTE_LIBRTE_MBUF_DEBUG，shim layer在向core传递mbuf前，先校验地址范围，所有属于RX内存池的地址均不会流出到core侧。
• 开启Intel MPX（内存保护扩展）特性，为core logic的内存访问范围设置边界，禁止其访问RX缓冲区所在的地址段，一旦core尝试访问非法地址就会触发SIGSEGV信号终止进程，避免越权访问。

内容的提问来源于stack exchange，提问作者Moubarak Zoure