netif_receive_skb 和 dev_queue_xmit 是内核网络栈“入”与“出”最关键入口点，需用 ebpf（如 libbpf-go + btf）在 tracepoint 上埋点，零拷贝获取 skb 元数据并精准定位丢包层级，避免 kprobe 符号失效或字段偏移错误。
netif_receive_skb 和 dev_queue_xmit 是内核中网络栈最关键的两个入口点，分别对应“数据包进”和“数据包出”。用 Go + eBPF 追踪它们，不是为了替代 tcpdump，而是为了在零拷贝前提下拿到原始帧上下文（如 SKB 地址、协议类型、入接口索引、GSO 标志），并关联到 socket 或 cgroup。
你真正要解决的问题，是区分“丢包发生在哪一层”：是网卡驱动没收全？是 netif_receive_skb 之前被 drop？还是在 ip_rcv 里被防火墙规则吃掉？这些信息 ethtool -S 或 /proc/net/dev 统计不到，必须靠 eBPF 在路径上埋点。
Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。
为什么不能直接 attach kprobe 到 netif_receive_skb？
常见错误是 failed to attach kprobe: no such device 或程序加载后完全不触发。这不是权限问题，而是：
- 内核配置未开启 CONFIG_KPROBES=y（多数发行版默认开，但某些云厂商定制内核会关）
- 函数符号被编译器内联或重命名（如 netif_receive_skb_list 在 5.15+ 成为主入口）
- Go 侧用 cilium/ebpf 加载时，硬编码了旧函数名，而实际符号已变
- 更稳妥的方式是 attach 到 tracepoint:net:netif_receive_skb —— 它稳定、带完整上下文、无需符号解析
如何用 libbpf-go 正确捕获入向帧元数据？
关键不在“抓包”，而在“标记帧归属”。libbpf-go 能自动从 BTF 解析 struct sk_buff 字段布局，避免手动偏移计算导致读错 skb->dev->ifindex 或 skb->protocol。
你需要确保：
- 内核启用 CONFIG_DEBUG_INFO_BTF=y，且系统有 /sys/kernel/btf/vmlinux
- eBPF C 代码里用 bpf_probe_read_kernel(&ifindex, sizeof(ifindex), &skb->dev->ifindex)，而不是旧式 bpf_probe_read
- 用户态 Go 用 ctx.IfIndex（BTF 自动映射字段）而非 ctx.Data[0] 手动解析
- Ringbuf 提交前加校验：if ifindex == 0 { return }，过滤掉未完成初始化的 skb
dev_queue_xmit 出向追踪的三个易错点
出向比入向更难对齐业务语义，因为 dev_queue_xmit 可能被 TCP 重传、GSO 分片、XDP redirect 多次调用。
- 不要用 ctx->sk 直接取 socket：它在 GSO 场景下为 NULL，应改用 bpf_skb_get_socket_id(ctx)（需 5.10+）
- skb->len 和 skb->data_len 含义不同：前者是总长，后者是分页数据长度；误用会导致 buffer 溢出
- 若目标是识别 HTTP 响应包，别依赖 payload 解析（太慢），改用 bpf_skb_get_netns_cookie(ctx) 关联 cgroupv2 路径，再查用户态 map 中预存的服务标签
Go 用户态如何避免 ringbuf 溢出丢事件？
网络事件高频，ringbuf 满了就丢数据，且无提示。libbpf-go 默认 ringbuf 大小是 64KB，对千兆网卡完全不够。
- 初始化时显式设置：rb := manager.NewRingBuffer("events", 4*1024*1024)（4MB）
- 启动后监听 rb.Poll() 返回的 error：若含 "missed events" 字样，说明已丢
- 不要在一个 goroutine 里长期阻塞读 ringbuf；用 select + time.After 控制单次读超时，防住突发流量打满 CPU
- 真实生产环境建议搭配 bpf_map_lookup_elem 查 per-CPU counter，先看丢包率再决定是否扩容
BTF 自动解析不是锦上添花，而是保命机制——你在 5.18 内核上写的偏移值，到 6.1 就可能指向 skb->tstamp 而非 ifindex，静默读错，连日志都看不出异常。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
