Windows过滤平台内核驱动因自旋锁导致网络变慢问题咨询

咱们来好好捋捋你这个WFP驱动里自旋锁拖慢网络的问题——这可是内核模式下处理数据包排队时的常见坑，尤其是Classify回调跑在DISPATCH_LEVEL级别的，绝对容不得长时间持有锁或者做耗时操作，不然分分钟把网络性能拉垮。

从你给出的代码片段来看，核心问题大概率是自旋锁临界区太大，或者你在Classify回调里做了太多不该做的事。下面给你几个针对性的优化方案：

1. 把自旋锁临界区缩到最小 #

自旋锁在DISPATCH_LEVEL下是“占着CPU不放”的，哪怕你的操作只多花几微秒，高并发场景下都会被放大成明显的延迟。你要做的是：

• 把所有耗时操作（内存分配、数据包拷贝、复杂计算）都移到锁外面
• 只在真正需要保护队列结构的瞬间持有锁，做完立刻释放

举个优化后的代码示例：

classifyOut->actionType = FWP_ACTION_CONTINUE;

// 第一步：在锁外完成数据包准备工作
PQUEUE_ITEM queueItem = ExAllocatePoolWithTag(NonPagedPoolNx, sizeof(QUEUE_ITEM), YOUR_POOL_TAG);
if (!queueItem) {
    // 分配失败直接返回，别占着资源
    return;
}

// 用WFP的引用机制保留NBL，避免提前被释放
queueItem->Nbl = FwpsReferenceNetBufferList0(inMetaValues->netBufferList, 0);
if (!queueItem->Nbl) {
    ExFreePoolWithTag(queueItem, YOUR_POOL_TAG);
    return;
}

// 第二步：仅在插入队列时持有自旋锁
KeAcquireSpinLockAtDpcLevel(&g_PacketQueueLock);
InsertTailList(&g_PacketQueue, &queueItem->ListEntry);
KeReleaseSpinLockFromDpcLevel(&g_PacketQueueLock);

// 第三步：触发异步工作线程处理队列，别在Classify里硬扛
IoQueueWorkItem(g_WorkItem, PacketProcessingWorkRoutine, DelayedWorkQueue, NULL);

2. 改用异步工作线程处理数据包回传 #

Classify回调的职责是快速决策，不是处理数据。你绝对不能在回调里做回传用户态这种耗时操作——应该把数据包信息扔进队列后，立刻返回，让专门的工作线程在PASSIVE_LEVEL下处理回传逻辑。

工作线程的好处：

• 可以用普通互斥锁（甚至无锁结构），不用一直占着DISPATCH_LEVEL的CPU
• 能批量处理队列里的数据包，减少内核态<->用户态的通信开销
• 不会占用Classify回调的执行时间，避免触发WFP的超时检测

3. 换掉普通链表，用SLIST提升队列性能 #

如果你的队列是自己用链表+自旋锁实现的，建议换成系统提供的**单链表（SLIST）**结构。SLIST是专为高并发场景设计的轻量级无锁（或极轻量锁）结构，在DISPATCH_LEVEL下完全安全，操作速度比手动加自旋锁的普通链表快得多。

示例代码：

// 初始化SLIST
SLIST_HEADER g_PacketSList = {0};
ExInitializeSListHead(&g_PacketSList);

// Classify里插入队列（无需手动加锁）
ExInterlockedPushEntrySList(&g_PacketSList, &queueItem->SListEntry, &g_PacketQueueLock);

// 工作线程里批量取出条目
PSLIST_ENTRY entry;
while ((entry = ExInterlockedPopEntrySList(&g_PacketSList, &g_PacketQueueLock)) != NULL) {
    PQUEUE_ITEM item = CONTAINING_RECORD(entry, QUEUE_ITEM, SListEntry);
    // ...执行用户态回传逻辑...
    // 释放资源
    FwpsDereferenceNetBufferList0(item->Nbl);
    ExFreePoolWithTag(item, YOUR_POOL_TAG);
}

4. 避免不必要的数据包拷贝 #

如果你只是要把数据包回传给用户态，别直接拷贝整个数据包——改用WFP的NBL引用机制：

1. 在Classify里调用FwpsReferenceNetBufferList0获取NBL的引用，这样WFP不会提前释放它
2. 把引用后的NBL指针扔进队列
3. 工作线程处理完后，调用FwpsDereferenceNetBufferList0释放引用

这能省掉大量内存拷贝的时间，直接降低Classify回调的执行耗时，也减少自旋锁的持有时间。

最后要注意的坑 #

• Classify回调的执行时间不能超过WFP的阈值（一般是几毫秒），如果太长，系统会认为驱动有问题，甚至触发蓝屏
• 绝对不要在自旋锁临界区里调用任何可能导致调度的函数（比如DbgPrint、分页内存分配）
• 工作线程处理队列时，尽量批量处理多个数据包，比如一次取10个再回传用户态，减少IPC的开销

内容的提问来源于stack exchange，提问作者wow