ebpf网络过滤必须用c编写内核态程序，c++仅限用户态控制；xdp适用于驱动层快速丢包，tc更灵活但稍慢；map交互需严格对齐、字节序转换和正确类型；调试依赖perf event而非bpf_trace_printk。
用 eBPF 实现网络过滤必须绕开 C++
eBPF 程序不能直接用 C++ 编写——内核加载器只接受 C 风格的、无运行时依赖的纯函数式代码。bpf_program 加载失败或 libbpf 报 invalid instruction，大概率是混用了 C++ 特性（如异常、RTTI、std::string、构造函数）。你得用 C 写 eBPF 部分，C++ 只能用于用户态控制逻辑（比如解析规则、下发 map、打印日志）。
常见错误现象：libbpf: failed to load program 'xdp_drop': Invalid argument，往往源于 clang 编译时未禁用 C++ ABI（比如没加 -fno-exceptions -fno-rtti），或用了不支持的内联汇编/attribute。
- 用
clang -target bpf编译，不是 g++ - eBPF 代码中禁止调用任何 libc 函数（
printf、malloc都不行），只能用bpf_trace_printk()或 perf event 输出调试信息 - 所有结构体必须用
__attribute__((packed))，字段对齐严格按 1 字节，否则 map lookup 失败
选 XDP 还是 TC？看你要拦在哪一层
想在网卡驱动收包前就丢弃恶意流量（比如 SYN Flood、IP 扫描），必须用 XDP；如果要基于连接状态（如 TCP 三次握手后才放行）、或需要完整 IP 分片重组，则只能用 tc clsact + sk_skb 或 socket filter。
XDP 的限制很硬：不能访问传输层以上字段（除非手动解析 TCP header），不能做 NAT，不能修改 packet payload（仅限 XDP_TX 或 XDP_DROP）；而 tc 稍慢但更灵活，支持 bpf_skb_store_bytes() 和 bpf_skb_change_proto()。
-
防火墙首道防线 → 用
xdp_prog，挂载到网卡：ip link set dev eth0 xdp obj firewall.o sec xdp - 需匹配应用层特征（如 HTTP User-Agent）或做连接跟踪 → 用
tc filter add dev eth0 ingress bpf da obj firewall.o sec tc - 不要试图在 XDP 里查 conntrack 表——它不存在于 XDP context 中
如何让用户态 C++ 程序安全地与 eBPF map 交互
eBPF map 是唯一可靠的用户态 ↔ 内核态通信通道。C++ 程序通过 libbpf 的 C API 访问 map，不是直接指针操作。别用 std::map 模拟 eBPF map 结构——key/value 类型和大小必须完全一致，否则 bpf_map_lookup_elem() 返回 nullptr 或随机内存。
典型坑：bpf_map_update_elem(fd, &key, &value, BPF_ANY) 中 &key 是栈变量地址，但 libbpf 内部 memcpy 时若 key 类型定义错（比如少一个 __be32），会导致字节错位，查不到刚写入的项。
- 定义 map key 时用固定宽度类型：
struct { __be32 src_ip; __be32 dst_ip; __be16 src_port; __be16 dst_port; } __attribute__((packed)); - C++ 用户态更新 map 前，务必用
htonl()/htons()转换字节序，eBPF 端用bpf_ntohl()解析 - 高频更新（如每秒万级规则）避免用
BPF_MAP_TYPE_HASH，改用BPF_MAP_TYPE_LPM_TRIE做 CIDR 匹配，性能高一个数量级
调试时看不到日志？先确认 tracepoint 是否启用
bpf_trace_printk() 输出不会出现在 dmesg，而是走 /sys/kernel/debug/tracing/trace_pipe，且默认被关闭。C++ 程序启动前不执行 echo 1 > /sys/kernel/debug/tracing/events/bpf_trace/bpf_trace_printk/enable，你就永远看不到 eBPF 里的调试输出。
更可靠的方式是用 perf event：在 eBPF 里调用 bpf_perf_event_output(ctx, &events, &data, sizeof(data))，C++ 用户态用 perf_buffer__new() 捕获——这比 trace_printk 少丢包、支持结构化数据，适合传 IP、端口、协议号等字段。
- 别在循环里频繁调用
bpf_trace_printk()，单次输出超 128 字节会被截断，且影响性能 - 用
bpftool prog dump xlated name xdp_drop查反汇编，确认关键分支（如if (ip->protocol != IPPROTO_TCP)）是否被编译成条件跳转而非死代码 - 测试阶段用
xdp-loader替代手工 ip link 命令，它会自动检查 prog type 兼容性和 attach 失败原因
真正难的不是写通第一条规则，而是处理 IP 分片、IPv6 扩展头、MSS clamp、ICMP 差错报文透传这些边缘 case——它们不会报错，但会让你的“防火墙”在真实流量下静默失效。
C++免费学习笔记（深入）：立即使用
在学习笔记中，你将探索 C++ 的入门与实战技巧！
