BPF原来是 Berkely Packet Filter （伯克利数据包过滤器）的缩写，原来是提升pcap过滤性能的，比当时最快的包过滤技术快20倍，只所以性能高，是因为它工作在内核中，避免包从内核态复制到用户态所以速度快，后来Alexei Starovoitov 大牛在2014年重新实现了BPF，将其扩展成了通用的执行引擎，称为eBPF，官方缩写仍是BPF。 简单解释BPF作用，BPF提供了一种当内核或应用特定事件发生时候，执行一段代码的能力。 BPF 采用了虚拟机指令规范，所以也可以看一种虚 …

The Berkeley Packet Filter (BPF; also BSD Packet Filter, classic BPF or cBPF) is a network tap and packet filter which permits computer network packets to be captured and filtered at the operating system level.

Berkeley Packet Filters (BPF) provide a powerful tool for intrusion detection analysis. Use BPF filtering to quickly reduce large packet captures to a reduced set of results by filtering based on a specific type of traffic. Both admin and non-admin users can create BPF filters.

2022年9月3日 · sock_ops BPF 早在 kernel 4.13 就引入了，当时称为 TCP-BPF（因为此时没有其他与 TCP 相关的 BPF 程序类型），是一种 通过 BPF 程序拦截 socket 操作，然后动态设置 TCP 参数 的机制。 例如， sock_ops BPF 程序会利用 socket 的一些信息（例如 IP 和 port）来 决定 TCP 的最佳配置。 例如，在 TCP 建连时，如果判断 client 和 server 处于同一个数据中心（网络质量非常好），那么就为这个 TCP 连接， 如果通信双方都支持 ECN，就将 TCP 拥塞控制设置 …

2024年6月16日 · Berkeley Packet Filter（BPF）语法是一种用于网络数据包过滤的表达式语法。 它由一些基本元素组成，包括类型（Type）、方向（Direction）、协议（Protocol）和逻辑运算符。 以下是一些常见的元素和示例： 类型：指定要过滤的数据包的类型，如主机（host）、网段（net）、端口（port）等。 host 192.168.1.1：表示过滤源或目标 IP 地址为 192.168.1.1 的数据包。 net 192.168.1.0/24：表示过滤源或目标网段为 192.168.1.0/24 的数据包。 port 80：表示 …

本文深入解析了Linux系统中perf_event_open系统调用的功能与使用方法，涵盖了参数详解、配置文件说明、示例代码等内容。 在上篇讲到使用strace最终perf stat ls指令的系统调用，perf先从proc文件系统中获取内核支持的perf event，然后使用系统调用perf_event_open和ioctl控制内核中perf_event的使能，并从文件描述符中读取数据。 本文将对系统调用perf_event_open进行讲解。 1.1. 函数原型. pid_t pid, int cpu, int group_fd, unsigned long flags); 它在lib中是没有wrapper …

2019年1月10日 · Oracle Linux kernel developer Alan Maguire presents this six-part series on BPF, wherein he presents an in depth look at the kernel's "Berkeley Packet Filter" -- a useful and extensible kernel function for much more than packet filtering. Now that we have a list of program types, what can we do within programs we attach?

There are three different kinds of qualifier: type. Qualifiers say what kind of thing the id name or number refers to. Possible types are host, net and port. E.g., host foo, net 128.3, port 20. If there is no type qualifier, host is assumed. dir. Qualifiers …

bpf - perform a command on an extended BPF map or program. The bpf () system call performs a range of operations related to. extended Berkeley Packet Filters. Extended BPF (or eBPF) is. similar to the original ("classic") BPF (cBPF) used to filter. network packets. For both cBPF and eBPF programs, the kernel.

The Berkeley Packet Filter provides a raw interface to data link layers in a protocol independent fashion. All packets on the network, even those destined for other hosts, are accessible through this mechanism.