标签： eBPF

排查某次网关节点大流量清洗场景时发现，基于 XDP（eXpress Data Path）编写的防 DDoS 丢包程序在流量超 150万 PPS 时引发 ksoftirqd 跑满 100%，网卡 Ring Buffer 大量溢出。根因是 eBPF 程序使用了全局 BPF_MAP_TYPE_HASH 统计 IP 命中率，多核并发更新同一键值触发严重的 CPU Cache Line Bouncing（缓存行伪共享）与底层自旋锁竞争。将其重构为 BPF_MAP_TYPE_PERCPU_HASH 实现无锁化统计后，吞吐量顺畅飙升至线速（约 800万 PPS），软中断 CPU 消耗降至 15% 以下。

案发现场：完美的 XDP 架构，崩塌的吞吐量

在构建高性能四层边界网关时，通常会剥离 iptables/Netfilter 这种重度依赖协议栈的方案，将黑名单过滤逻辑下沉到网卡驱动层的 XDP。

某次针对这套 XDP 防护引擎进行压测，物理机配置为 64 核 CPU，Mellanox ConnectX-5 25G 双口网卡，内核版本 5.15.0。预期中，XDP 原生模式（Native XDP）处理单核几百万 PPS 毫无压力。但压测打入 500万 PPS 混合流量时，监控直接报警：

1. 网卡丢包激增：ethtool -S eth0 | grep rx_missed_errors 指标每秒增长数十万。

2. 软中断被打爆：top 中看到负责网卡 RX 队列的几个 ksoftirqd 线程 CPU 利用率全部死锁在 100%。

3. 整体吞吐惨不忍睹：应用层实际接收到的流量从预期的 500万 PPS 断崖式跌落到 120万 PPS。

检查网卡多队列（RSS）配置，中断亲和性（IRQ Affinity）均已打散绑定到不同 NUMA 节点的 CPU 上，不存在单核瓶颈。

抓取内核函数开销：

perf top -C 10,11,12 -a -g

输出结果令人大跌眼镜，排在首位的并非网络包解析函数，而是 eBPF Map 的更新逻辑：

  45.32%  [kernel]  [k] htab_map_update_elem
  23.15%  [kernel]  [k] _raw_spin_lock_irqsave
  12.44%  bpf_prog_...  [k] bpf_prog_...
   5.21%  [kernel]  [k] ixgbe_poll

超过 68% 的 CPU 时钟周期消耗在了 htab_map_update_elem 和自旋锁上。

翻开代码：致命的统计探针

提取出产生问题的 XDP C 源码片段，逻辑非常简单：解析 IP 头，查黑名单，如果在黑名单中，更新统计 Map，然后返回 XDP_DROP。

#include <linux/bpf.h>
#include <bpf/bpf_helpers.h>

// 【陷阱点】定义了一个全局的 Hash Map 用于统计被 Drop 的源 IP 次数
struct {
    __uint(type, BPF_MAP_TYPE_HASH);
    __type(key, __u32);
    __type(value, __u64);
    __uint(max_entries, 100000);
} drop_stats SEC(".maps");

SEC("xdp")
int xdp_drop_prog(struct xdp_md *ctx) {
    // ... 解析以太网头和 IP 头 (边界检查略) ...
    __u32 src_ip = iph->saddr;

    // 如果命中黑名单 (黑名单检查逻辑略)
    if (is_blacklisted(src_ip)) {
        __u64 *value = bpf_map_lookup_elem(&drop_stats, &src_ip);
        if (value) {
            __sync_fetch_and_add(value, 1); // 致命更新
        } else {
            __u64 init_val = 1;
            bpf_map_update_elem(&drop_stats, &src_ip, &init_val, BPF_ANY); // 致命更新
        }
        return XDP_DROP;
    }
    return XDP_PASS;
}

代码看似严谨，甚至用到了 __sync_fetch_and_add 这个原子操作来防止并发累加错误，但在极高 PPS 的网络层，这恰恰是把系统推向深渊的推手。

为什么 eBPF 全局 Hash Map 在百万 PPS 下会成为性能毒药？

要理解这个现象，必须认清 XDP 的执行上下文。XDP 挂载在网卡驱动的 NAPI poll 机制中，运行在软中断（SoftIRQ）上下文中。

当网卡开启 RSS（接收端缩放）多队列时，高达 500万 PPS 的流量会被哈希分发到多个 RX 队列，由不同的 CPU Core（例如 CPU 0 到 CPU 15）并发拉取。

如果这 16 个 CPU Core 同时命中同一个黑名单 IP（这在 DDoS 攻击场景下极其常见，攻击源往往高度集中），它们会同时尝试执行 __sync_fetch_and_add(value, 1) 或者 bpf_map_update_elem 来修改内存中同一个地址的值。

1. 底层锁竞争：在 Linux 内核 5.x 版本中，BPF_MAP_TYPE_HASH 的更新（特别是创建新元素时）底层是通过 Bucket 级别的自旋锁（raw_spinlock）来保护的。多核极速打入，自旋锁瞬间成为单点瓶颈，CPU 在原地空转等待获取锁。

2. Cache Line Bouncing（缓存行伪共享/颠簸）：即使元素已存在，走原子累加 __sync_fetch_and_add 避开了自旋锁，也会引发硬件级别的灾难。CPU 0 修改了这个内存地址，根据 MESI 缓存一致性协议，必须通过总线广播让 CPU 1~15 的 L1/L2 Cache 中对应的 Cache Line 失效（Invalidate）。紧接着 CPU 1 要修改，又得去内存或 CPU 0 的 L3 Cache 重新加载，再让其他 CPU 失效。 在数百万次/秒的频率下，跨 NUMA 的缓存同步开销远大于处理网络包本身的开销，直接导致 NAPI poll 循环被严重拖慢。网卡接收到的包来不及被内核取走，Ring Buffer （RX 队列）迅速塞满，后续到达的报文只能被网卡物理层无情丢弃（rx_missed_errors）。

破局之道：PERCPU Map 空间换时间

网络数据平面的黄金法则是：无锁化（Lock-free）与避免跨核共享。 既然多核并发更新同一变量会打架，那就让每个 CPU 只更新自己私有的变量，用户态读取时再进行求和。eBPF 原生提供了 BPF_MAP_TYPE_PERCPU_HASH 完美适配此场景。

重构后的 eBPF 源码：

struct {
    __uint(type, BPF_MAP_TYPE_PERCPU_HASH); // 修改为 PERCPU
    __type(key, __u32);
    __type(value, __u64);
    __uint(max_entries, 100000);
} drop_stats SEC(".maps");

SEC("xdp")
int xdp_drop_prog(struct xdp_md *ctx) {
    // ... 
    __u32 src_ip = iph->saddr;

    if (is_blacklisted(src_ip)) {
        __u64 *value = bpf_map_lookup_elem(&drop_stats, &src_ip);
        if (value) {
            // PERCPU 模式下，不同 CPU 访问的是各自独立的 value 内存副本
            // 无需原子操作，直接修改！
            *value += 1; 
        } else {
            __u64 init_val = 1;
            bpf_map_update_elem(&drop_stats, &src_ip, &init_val, BPF_ANY);
        }
        return XDP_DROP;
    }
    return XDP_PASS;
}

用户态数据读取适配（Golang 示例基于 cilium/ebpf）：

使用 PERCPU Map 后，内核态不再有锁冲突，但用户态读取时会拿到一个数组（长度为当前系统的 CPU 核心数），需要自行聚合：

var key uint32 = targetIP
var perCPUValues []uint64 // 切片长度将自动匹配 runtime.NumCPU()

// 查询 PERCPU Map
err := dropStatsMap.Lookup(&key, &perCPUValues)
if err != nil {
    log.Fatalf("Lookup failed: %v", err)
}

// 遍历聚合各 CPU 的统计值
var totalDrops uint64 = 0
for cpu, val := range perCPUValues {
    totalDrops += val
    // 可选：排查单核不均衡问题时，可打印具体 cpu 的 val
}
fmt.Printf("Total drops for IP: %d\n", totalDrops)

优化效果： 更新代码并用 bpftool prog load 重新挂载后：

• 压测流量加到 800万 PPS，应用依然坚挺，拦截逻辑全部在驱动层静默完成。

• ethtool -S 零丢包（rx_missed_errors: 0）。

• perf top 中 htab_map_update_elem 彻底消失，CPU 大量时间回归到 cpuidle。

• ksoftirqd 负载均衡地分布在各核，占用率稳定在 12% – 15%。

常见问题

Q1：如何判断我的网卡是运行在 Native XDP 还是 Generic XDP（SKB 模式）？ 这决定了性能上限。Generic XDP 是内核模拟出来的，依然要分配 sk_buff，性能提升有限。可通过 bpftool net 或 ip link 查看挂载状态。如果显示 xdpgeneric 说明驱动不支持或被强制降级；显示 xdp 或 xdpdrv 才是真正在网卡驱动层执行。实战中，务必确保你的网卡驱动（如 ixgbe, i40e, mlx5_core）支持 Native XDP。

Q2：编写 XDP 程序时，BPF Verifier 经常报 invalid memory access，该如何解决？ 这是编写 eBPF 最常见的卡点。Verifier 要求所有对 packet payload 的访问必须在确定的边界内。你必须显式地进行长度越界检查：

void *data = (void *)(long)ctx->data;
void *data_end = (void *)(long)ctx->data_end;
struct ethhdr *eth = data;

// 必须加这行判断，否则 Verifier 直接拒绝加载
if (data + sizeof(*eth) > data_end)
    return XDP_PASS; 

任何指针偏移（如解析 TCP option）前，都必须重复上述与 data_end 的校验操作。

Q3：除了换用 PERCPU Map，还有什么方法能降低 eBPF Map 的性能损耗？ 如果是针对静态的配置下发（例如黑白名单、路由规则，读多写极少），强烈建议使用 BPF_MAP_TYPE_ARRAY 或 BPF_MAP_TYPE_LPM_TRIE（最长前缀匹配）。Array Map 的内存是连续预分配的，没有 Hash 计算和哈希桶碰撞的开销，寻址速度极快，是 XDP 查表性能的天花板。