sk_buff填充0 incume_skb tracepoint

Question

这是一个（已删除）上一个问题的后续行动。我发现我要阅读的sk_buff填充了0 s。请注意，以下代码打印0两次，一次成功阅读，另一个时间为data_len的假定值。我在阅读结构上是错误的，还是在进入跟踪点时没有填写？

SEC("tracepoint/skb/consume_skb")
int handle_skb(struct sk_buff *skb)
{
    unsigned int data_len = 1;
    long ret;

    ret = bpf_probe_read_kernel(&data_len, sizeof(data_len), &(skb->data_len));
    if (ret < 0) {
        bpf_printk("Error on probe read.n \n");
    }
    bpf_printk("ret: %d \n", ret);

    bpf_printk("len: %u \n", data_len);

    return 0;
}

（尽管此代码完美地显示了我的问题，但我尝试了许多不同的配置，而没有任何结果更改）

我正在使用的加载程序： gist

任何帮助将不胜感激，谢谢！

编辑

我已经测试了与kfree_skb相似的东西，这里存在相同的问题。但是，当打印协议在跟踪点上可用时，我获得了1，也不能正确。

我现在认为这与设置中的某些内容而不是代码有关。

Answer 1

我认为，您正在使用错误的参数格式来suble_skb跟踪点。不用使用单个sk_buff参数，请尝试以下报告：

$ cat /sys/kernel/debug/tracing/events/skb/consume_skb/format
name: consume_skb
ID: 1425
format:
        field:unsigned short common_type;               offset:0;       size:2; signed:0;
        field:unsigned char common_flags;               offset:2;       size:1; signed:0;
        field:unsigned char common_preempt_count;       offset:3;       size:1; signed:0;
        field:int common_pid;                           offset:4;       size:4; signed:1;
        field:void * skbaddr;                           offset:8;       size:8; signed:0;

print fmt: "skbaddr=%p", REC->skbaddr

以下代码显示合理的，非零的输出：

struct __attribute__((__packed__)) consume_skb_args {
        unsigned short common_type;
        unsigned char common_flags;
        unsigned char common_preempt_count;
        int common_pid;
        void *skbaddr;
};

SEC("tracepoint/skb/consume_skb")
int tp_consume_skb(struct consume_skb_args *ctx)
{
        char devname[IFNAMSIZ];

        struct sk_buff *skb = (struct sk_buff *) ctx->skbaddr;
        struct net_device *dev;
        unsigned int data_len;

        bpf_probe_read(&dev, sizeof(dev), &(skb->dev));
        bpf_probe_read(devname, IFNAMSIZ, &(dev->name));
        bpf_probe_read(&data_len, sizeof(data_len), &(skb->data_len));

        bpf_printk("skbaddr=%p dev=%s datalen=%d\n", skb, devname, data_len);

        return 0;
}

ouput：

<idle>-0       [004] ..s. 20482442.519133: 0: skbaddr=00000000d60bcc39 dev=enp2s0 datalen=1232
<idle>-0       [004] ..s. 20482442.519183: 0: skbaddr=000000004be4ad2d dev=enp2s0 datalen=64
<idle>-0       [004] ..s. 20482442.534944: 0: skbaddr=000000005dbe2a3e dev=enp2s0 datalen=64
<idle>-0       [004] .Ns. 20482442.535075: 0: skbaddr=0000000068722cfa dev=enp2s0 datalen=496

Answer 2

我不确定为什么，但是我尝试了多种方法来访问skb无用的数据。

“解决方法”是使用kprobe，因为至少运输标头变得可以阅读：

SEC("kprobe/consume_skb")
int BPF_KPROBE(consume_skb, struct sk_buff *skb)
{
    char *head;
    __u16 mh, eth_proto;
    __u8 m0, m1, m2, m3, m4, m5;

    bpf_probe_read(&head, sizeof(skb->head), &(skb->head));
    bpf_probe_read(&mh, sizeof(__u16), &(skb->mac_header));

    char *eth_head = head + mh;

    bpf_probe_read(ð_proto, sizeof(u16), ð_head[12]);
    bpf_probe_read(&m0, sizeof(__u8), ð_head[6]);
    bpf_probe_read(&m1, sizeof(__u8), ð_head[7]);
    bpf_probe_read(&m2, sizeof(__u8), ð_head[8]);
    bpf_probe_read(&m3, sizeof(__u8), ð_head[9]);
    bpf_probe_read(&m4, sizeof(__u8), ð_head[10]);
    bpf_probe_read(&m5, sizeof(__u8), ð_head[11]);

    //eth_proto contains the ethernet protocol field
    //m0 to m5 contain the source MAC-address

    return 0;
}