eBPF kprobe场景下实现跟踪连接最大阈值限制的方案咨询

方案1：内核版本≥5.15，使用原子比较交换指令 #

Linux 5.15及以上版本的eBPF验证器已经支持__sync_val_compare_and_swap()原子操作，可以直接实现你需要的「判断阈值+增量」的原子逻辑，完全避免并发冲突，示例代码如下：

#define MAX_CONN 1024 // 自定义活跃连接阈值
// 定义全局计数器存储的Array map
struct {
    __uint(type, BPF_MAP_TYPE_ARRAY);
    __uint(max_entries, 1);
    __type(key, u32);
    __type(value, u32);
} conn_counter SEC(".maps");

// 新连接建立时的处理逻辑
int trace_tcp_connect(struct pt_regs *ctx) {
    u32 key = 0;
    u32 *cnt = bpf_map_lookup_elem(&conn_counter, &key);
    if (!cnt) return 0;

    u32 old_val, new_val;
    do {
        old_val = __atomic_load_n(cnt, __ATOMIC_RELAXED);
        // 已达到阈值，直接返回不跟踪
        if (old_val >= MAX_CONN) return 0;
        new_val = old_val + 1;
    // 原子CAS操作，只有当前计数器值等于old_val时才更新为new_val
    } while (__sync_val_compare_and_swap(cnt, old_val, new_val) != old_val);

    // 此处执行后续的连接跟踪逻辑
    return 0;
}

// 连接断开时的处理逻辑
int trace_tcp_close(struct pt_regs *ctx) {
    u32 key = 0;
    u32 *cnt = bpf_map_lookup_elem(&conn_counter, &key);
    if (cnt) {
        // 原子减1，不需要判断
        __sync_fetch_and_sub(cnt, 1, __ATOMIC_RELAXED);
    }
    return 0;
}

方案2：内核版本<5.15兼容方案 #

如果运行环境内核版本低于5.15，无法使用CAS操作，可以选择两种折中方案：

• per-CPU计数器方案：定义BPF_MAP_TYPE_PERCPU_ARRAY类型的计数器，每个CPU独立维护自己的计数，不需要原子操作也不会有并发冲突。新连接建立时仅检查当前CPU的计数是否低于单CPU阈值（总阈值/CPU核心数）即可。该方案开销极低，唯一的缺点是总连接数会有小幅误差，适合对阈值精度要求不严格的场景。
• 用户态控制方案：将阈值判断逻辑放到用户态处理，eBPF程序将新连接事件上报到用户态，用户态判断是否允许跟踪后将结果写入eBPF map，eBPF程序根据map的结果决定是否跟踪该连接。该方案可以保证严格的阈值控制，只是会产生少量的用户态与内核态交互开销。

内容的提问来源于stack exchange，提问作者pyang