在麒麟V10上使用eBPF采集网络流量-CFANZ编程社区

银河麒麟V10操作系统作为国产操作系统的重要代表，已全面支持eBPF技术。根据知识库信息，麒麟V10"持续扩大eBPF应用范围"，并"引入低系统开销的kfence内存安全错误检测机制、基于eBPF的nettrace网络故障诊断工具集"，这为网络流量采集提供了坚实的技术基础。以下是在麒麟V10上使用eBPF采集网络流量的具体步骤，共1200字。

一、环境准备与工具安装

系统环境确认：首先确认麒麟V10内核版本是否支持eBPF。麒麟V10基于Linux内核，通常内核版本在4.19及以上，已完全支持eBPF技术。可通过命令uname -r查看内核版本。
安装必要工具包：

sudo apt update
sudo apt install -y clang llvm libelf-dev iproute2

这些工具包是编译和运行eBPF程序的基础。

安装BCC工具集：

sudo apt install -y bpfcc-tools linux-headers-$(uname -r)

BCC（BPF Compiler Collection）是使用eBPF的常用框架，提供了大量预编译的eBPF工具，如tcplife、opensnoop等，可直接用于网络流量采集。

二、使用BCC工具进行基础流量采集

使用tcplife查看TCP连接：

sudo /usr/share/bcc/tools/tcplife

这个命令会显示所有TCP会话的详细信息，包括PID、进程名、本地地址、远程地址、传输字节数和会话时长。输出示例：

PID COMM LADDR LPORT RADDR RPORT TX_KB RX_KB MS
22597 recordProg 127.0.0.1 46644 127.0.0.1 28527 0 0 0.23
3277 redis-serv 127.0.0.1 28527 127.0.0.1 46644 0 0 0.28

这是eBPF在内核空间高效监控网络连接的典型应用，不会影响系统性能。

使用opensnoop监控文件打开操作（作为示例）：

sudo /usr/share/bcc/tools/opensnoop

这个命令会实时显示所有进程打开的文件，可帮助分析应用网络行为。

三、使用Oryx进行高级网络流量分析

安装Oryx工具：

git clone https://github.com/pythops/oryx
cd oryx
sudo pip3 install -r requirements.txt

Oryx是基于eBPF的网络流量嗅探与分析工具，专为Linux平台设计，支持麒麟V10。

启动Oryx进行实时监控：

sudo ./oryx

运行后，Oryx会在终端提供可视化的网络流量监控界面，使用方向键或命令切换不同监控视图。

使用搜索功能：

通过搜索栏输入IP或端口进行模糊搜索
例如输入"127.0.0.1"可查看本地所有连接
输入"80"可查看HTTP流量

使用防火墙管理：

进入"防火墙管理"模块
添加或修改规则，实现流量过滤和安全策略

导出数据：

将监控数据导出为文件，用于后续分析
例如：./oryx --export csv

四、自定义eBPF程序开发与部署（进阶）

编写简单eBPF程序（如网络连接监控）：

#include <linux/bpf.h>
#include <linux/in.h>
#include <linux/tcp.h>
#include <linux/ptrace.h>
#include <bpf/bpf_helpers.h>

struct event_t {
    u32 pid;
    u32 saddr;
    u32 daddr;
    u16 sport;
    u16 dport;
};

BPF_PERF_OUTPUT(events);

SEC("kprobe/tcp_connect")
int monitor_tcp(struct pt_regs *ctx) {
    struct event_t event = {};
    struct sock *sk = (struct sock *)PT_REGS_PARM1(ctx);
    event.pid = bpf_get_current_pid_tgid() >> 32;
    event.saddr = sk->__sk_common.skc_rcv_saddr;
    event.daddr = sk->__sk_common.skc_daddr;
    event.sport = sk->__sk_common.skc_num;
    event.dport = sk->__sk_common.skc_dport;
    events.perf_submit(ctx, &event, sizeof(event));
    return 0;
}

char LICENSE[] SEC("license") = "GPL";

编译并运行：

clang -g -O2 -Wall -target bpf -c tcp_monitor.c -o tcp_monitor.o
sudo bpftool prog load tcp_monitor.o /sys/fs/bpf/tc1

使用用户态程序收集数据：

from bcc import BPF
bpf = BPF(src_file="tcp_monitor.c")
def print_event(cpu, data, size):
    event = bpf["events"].event(data)
    print(f"Process {event.pid} connected from {event.saddr}:{event.sport} to {event.daddr}:{event.dport}")
bpf["events"].open_perf_buffer(print_event)
while True:
    bpf.perf_buffer_poll()