eBPF bpf_core_read возвращает некорректное значение

Вопрос или проблема

#include "vmlinux.h"
#include <bpf/bpf_helpers.h>
#include <bpf/bpf_endian.h>
#include <bpf/bpf_tracing.h>
#include <bpf/bpf_core_read.h>
#include "common.h"

char __license[] SEC("license") = "GPL";

SEC("sockops")
int bpf_sockops_cb(struct bpf_sock_ops *skops) {
    u32 op;

    int err;

    err = bpf_core_read(&op, sizeof(op), &skops->op);
    if (err) {
        bpf_printk("err\n");
    }

    bpf_printk("op1 = %u, op2 = %u \n", op, skops->op);

    return 0;
}

curl-1466326 [009] ....1 241519.609044: bpf_trace_printk: op1 = 3913290112, op2 = 3 

            curl-1466326 [009] ....1 241519.609048: bpf_trace_printk: op1 = 3913290112, op2 = 2 

            curl-1466326 [009] ....1 241519.609048: bpf_trace_printk: op1 = 3913290112, op2 = 1 

            curl-1466326 [009] ....1 241519.609049: bpf_trace_printk: op1 = 3913290112, op2 = 6

Ответ или решение

Ситуация, описанная в вашем вопросе, связана с использованием функции bpf_core_read в вашей eBPF программе, где значения переменных op1 и op2 отличаются. Рассмотрим этот вопрос подробнее, чтобы понять возможные причины возникшей проблемы.

Проблема

В коде вы используете функцию bpf_core_read для чтения значения поля op из структуры bpf_sock_ops. Ваша программа выводит два значения: op1, полученное с помощью bpf_core_read, и op2, которое вы читаете напрямую из структуры skops. Однако, как показывают логи, op1 и op2 не совпадают, что вызывает недоумение.

Анализ ситуации

Проблема может быть вызвана несколькими факторами:

1. Атомарность чтения: bpf_core_read может быть не атомарной операцией, особенно если структура или поле, которое вы читаете, могут изменяться в другой части ядра. В этом случае bpf_core_read может считывать неполные или некорректные данные, так как структура может изменяться в процессе выполнения.

2. Типы данных: Проверьте, совместимы ли типы данных. Ваша переменная op имеет тип u32, тогда как вы читаете skops->op. Если тип поля op изменился или отличается по размеру, это может привести к некорректному значению при чтении.

3. Макросы ядра: Возможно, используемые вами макросы в bpf_core_read, которые определяют внутреннюю логику доступа к полям структуры, не соответствуют вашей версии ядра или определению структуры. Это может вызвать ошибки при чтении значений.

Рекомендации

Чтобы устранить эту проблему, я рекомендую следующее:

1. Использовать прямое чтение: Вместо bpf_core_read, попробуйте просто напрямую получить значение из skops->op, чтобы прояснить разницу между значениями:

   op = skops->op;

2. Проверка на совместимость ядра: Убедитесь, что ваша eBPF программа совместима с версией ядра. Иногда изменения в структуре могут вызывать подобные проблемы. Обратите внимание на совместимость версий.

3. Использование атомарных операций: Если структура может одновременно модифицироваться, рассмотрите использование атомарных операций для чтения и записи значений, которые могут предотвратить состояние гонки.

4. Логи и отладка: Добавьте дополнительные логи до и после выполнения действий, чтобы выявить, не происходит ли изменения значения op в процессе работы программы.

5. Обращение к документации: Ознакомьтесь с официальной документацией по eBPF и bpf_core_read, чтобы убедиться, что вы используете эти функции правильно и в подходящем контексте.

Следуя данным рекомендациям, вы сможете диагностировать и, возможно, устранить проблему с некорректными значениями в вашей eBPF программе.