libbpf和Rust開(kāi)發(fā)ebpf程序?qū)崙?zhàn)示例

更新時(shí)間：2023年12月27日 08:47:46 作者：a朋

這篇文章主要為大家介紹了libbpf和Rust開(kāi)發(fā)ebpf程序?qū)崙?zhàn)示例,有需要的朋友可以借鑒參考下,希望能夠有所幫助,祝大家多多進(jìn)步,早日升職加薪

libbpf-bootstrap中Rust example

libbpf-bootstrap中包含Rust example，存放在examples/rust/目錄。

以examples/rust/tracecon為例，看一下libbpf和Rust開(kāi)發(fā)ebpf的開(kāi)發(fā)和運(yùn)行流程：

tracecon程序監(jiān)聽(tīng)<tcp建立連接>的系統(tǒng)調(diào)用，并記錄其ip或hostname;
內(nèi)核態(tài)的ebpf程序tracecon.bpf.c，使用c語(yǔ)言編寫(xiě)；
在build.rs中，使用libbpf-cargo這個(gè)依賴(lài)庫(kù)，構(gòu)建tracecon.bpf.c并生成tracecon.skel.rs；
- Cargo build會(huì)運(yùn)行builds.rs中的代碼；
在main.rs中，調(diào)用生成的tracecon.skel.rs中的函數(shù)，加載并運(yùn)行ebpf程序；

內(nèi)核態(tài)ebpf程序tracecon.bpf.c

ebpf程序監(jiān)聽(tīng)了kprobe的函數(shù)tcp_v4_connect，從struct sock結(jié)構(gòu)中讀出ip：

// tracecon.bpf.c
#include "vmlinux.h"
#include <bpf/bpf_helpers.h>
#include <bpf/bpf_core_read.h>
#include <bpf/bpf_tracing.h>
…
SEC("kprobe/tcp_v4_connect")
int BPF_KPROBE(tcp_v4_connect_enter, struct sock *sk, struct sockaddr *uaddr, int addr_len)
{
    u32 tid = get_tid();
    if (!tid)
        return 0;
    bpf_map_update_elem(&sockets, &tid, &sk, 0);
    return 0;
};
SEC("kretprobe/tcp_v4_connect")
int BPF_KRETPROBE(tcp_v4_connect_exit, int ret)
{
    u32 tid = get_tid();
    struct sock **sockpp;
    struct lookup *lookup;
    struct event event = {};
    u32 ip;
    if (!tid)
        return 0;
    if (ret != 0)
        goto cleanup;
    sockpp = bpf_map_lookup_elem(&sockets, &tid);
    if (!sockpp)
        return 0;
    ip = BPF_CORE_READ(*sockpp, __sk_common.skc_daddr);    // 讀出ip
    lookup = bpf_map_lookup_elem(&hostnames, &ip);        // 查找hostname
    if (!lookup) {
        event.tag = IP;
        memcpy(&event.ip, &ip, sizeof(event.ip));
    } else {
        event.tag = HOSTNAME;
        memcpy(&event.hostname, &lookup->c, sizeof(lookup->c));
        bpf_map_delete_elem(&hostnames, &ip);
    }
    /* ctx is implied in the signature macro */
    bpf_perf_event_output(ctx, &events, BPF_F_CURRENT_CPU, &event, sizeof(event));
cleanup:
    bpf_map_delete_elem(&sockets, &tid);
    return 0;
}
...

記錄連接事件的event結(jié)構(gòu)定義：

// tracecon.bpf.c
struct event {
    u8 tag;
    u8 ip[4];
    u8 hostname[HOSTNAME_LEN];
};

build.rs

build.rs中，使用libbpf_cargo::SkeletonBuilder，構(gòu)建traceconn.bpf.c并生成tracecon.skel.rs文件：

// build.rs
use libbpf_cargo::SkeletonBuilder;
const SRC: &str = "./src/bpf/tracecon.bpf.c";
fn main() {
    create_dir_all("./src/bpf/.output").unwrap();
    let skel = Path::new("./src/bpf/.output/tracecon.skel.rs");
    SkeletonBuilder::new()
        .source(SRC)
        .build_and_generate(&skel)
        .expect("bpf compilation failed");
    println!("cargo:rerun-if-changed={}", SRC);
}

為此，Cargo.toml中引入了libbpf_cargo這個(gè)crate的依賴(lài)：

// Cargo.toml
...
[build-dependencies]
libbpf-cargo = "0.13"

用戶態(tài)程序main.rs

首先，使用tracecon.skel.rs中的TraceconSkelBuilder構(gòu)造skel對(duì)象；
然后，使用skel對(duì)象加載并連接kprobe程序；
最后，使用perf讀取ebpf中的map數(shù)據(jù)；

fn main() -> Result<()> {
    ...
    // 使用skel.rs中的TraceconSkelBuilder對(duì)象構(gòu)造skel
    let mut skel_builder = TraceconSkelBuilder::default();
    let mut open_skel = skel_builder.open()?;
    let mut skel = open_skel.load()?;
    // 加載并運(yùn)行
    let _kprobe = skel
        .progs_mut()
        .tcp_v4_connect_enter()
        .attach_kprobe(false, "tcp_v4_connect")?;
    let _kretprobe = skel
        .progs_mut()
        .tcp_v4_connect_exit()
        .attach_kprobe(true, "tcp_v4_connect")?;
    // 使用perf讀events
    let perf = PerfBufferBuilder::new(skel.maps_mut().events())
        .sample_cb(handle_event)
        .build()?;
    while running.load(Ordering::SeqCst) {
        perf.poll(Duration::from_millis(100))?;
    }
    ...
}

具體事件信息的顯示，在handle_event()函數(shù)中：

fn handle_event(_cpu: i32, data: &[u8]) {
    let mut event = Event::default();
    plain::copy_from_bytes(&mut event, data).expect("Event data buffer was too short");
    match event.tag {
        0 => println!("ip event: {}", Ipv4Addr::from(event.ip)),
        1 => println!("host event: {}", String::from_utf8_lossy(&event.hostname)),
        _ => {}
    }
}