如何列出加载到内核中的所有 bpf 程序？（例如 tc-bpf）

Question

我知道 bpf 程序可以通过不同的方式加载到内核中，tc/kprobe/socket ...

我想知道是否有一个接口或其他东西，通过它我可以获取我加载的所有 bpf 程序？如果没有这样的事情，如果我单独留下一些 bpf 程序，这可能会改变我的网络数据，这是否危险？

另一个小问题，如何卸载 tc-bpf 程序，我真的每次都要删除 qdisc 吗？

Answer 1

为了列出系统上的所有 BPF 程序，从 Linux 内核 4.13 开始，您可以使用bpf()系统调用及其命令BPF_PROG_GET_NEXT_ID来获取第一个程序的 id，然后再次重复调用它以获取以下 id，直到您拥有系统上加载的所有 BPF 程序的 ID 列表。然后，您可以使用相同的系统调用及其BPF_PROG_GET_FD_BY_ID命令来检索每个程序的文件描述符，并第三次使用 来BPF_OBJ_GET_INFO_BY_FD获取给定程序的信息（例如程序类型）。我通常会将您重定向到bpf(2)手册页，但现在它已经严重过时，并且没有描述我的系统上的这些命令。

事实上，这一切都已经得到落实。您应该搜索bpftool程序：正在运行sudo bpftool prog将列出系统上的所有程序。

bpftool 源位于 Linux 内核树中，可以轻松编译。它是为 Fedora 28 打包的，但在撰写本文时不适用于 Debian/Ubuntu 或其他发行版。（您还可以从此页面获取带有静态链接二进制文件的 Debian .deb 软件包。它还有一个指南，其中包含构建 bpftool 等的详细说明。免责声明：我为该公司工作。）

至于删除作为 tc 过滤器附加的程序，您可以简单地删除过滤器，而不一定是整个 qdisc，如下所示：

tc filter del dev eth0 ingress

[编辑 2022 年 1 月]如果您想避免下载整个内核存储库来编译该工具，则可以在https://github.com/libbpf/bpftool上找到 bpftool 的 GitHub 镜像。如今，bpftool 也被打包在主要发行版中。