自 3.15 以来，您可能一直在关注内核社区中扩展的 Berkeley 包过滤器 (eBPF) 的开发，或者您可能仍然将 Berkeley 包过滤器与 Van Jacobson 在 1992 年所做的工作联系在一起。您可能已经使用 BPF 和 tcpdump 多年，或者您可能已经开始在您的数据平面中使用！本文从网络性能的角度描述其关键发展，以及为什么现在这对网络运营商、系统管理员和企业解决方案提供商变得重要，就像它自成立以来就一直适用于运营商的大型数据中心和云计算网络。
从根本上说，eBPF 仍然是 BPF：它是一个小型虚拟机，运行从用户空间注入并附加到内核中特定挂钩的程序。它可以对网络数据包进行分类和操作。多年来，它一直在 Linux 上用于过滤数据包并避免对用户空间进行昂贵的复制，例如使用 tcpdump。然而，虚拟机的范围在过去几年中已经发生了翻天覆地的变化。
Classic BPF (cBPF)，旧版本，由一个 32 位宽的累加器、一个也可以在指令中使用的 32 位宽的“X”寄存器和 16 个用作暂存存储器的 32 位寄存器组成. 这显然导致了一些关键限制。顾名思义，经典的伯克利包过滤器主要限于（无状态）包过滤。任何更复杂的事情都将在其他子系统中完成。
eBPF通过使用扩展的寄存器和指令集、添加映射（没有任何大小限制的键/值存储）、512 字节堆栈、更复杂的查找、帮助程序，显着扩展了 BPF 的用例集可从程序内部调用的函数，以及链接多个程序的可能性。现在可以进行状态处理，与用户空间程序的动态交互也是如此。由于这种改进的灵活性，使用 eBPF 处理的数据包的分类级别和可能的交互范围已大大扩展。
但新功能不能以牺牲安全为代价。为确保正确行使 VM 增加的责任，内核中实现的验证程序已被修订和合并。这个验证器检查代码中的任何循环（这可能导致可能的无限循环，从而挂起内核）和任何不安全的内存访问。它拒绝任何不符合安全标准的程序。每次用户尝试注入程序时，都会在实时系统上执行此步骤，然后将 BPF 字节码 JITed 到所选平台的本机汇编指令中。
图 2. 主机上 eBPF 程序的编译流程。部分支持的 CPU 架构未显示。
为了允许在 eBPF 的限制内难以实现或优化的任何关键功能，有许多帮助程序旨在协助执行过程，例如地图查找或随机数的生成。
由于其灵活性和实用性，eBPF 的钩子数量正在激增。但是，我们将重点关注数据路径低端的那些。这里的关键区别在于 eBPF 在驱动程序空间中添加了一个额外的钩子。此挂钩称为 eXpress DataPath，或 XDP。这允许用户在将 skb（套接字缓冲区）元数据结构添加到数据包之前丢弃、反射或重定向数据包。性能可以提高约 4-5 倍。
图 3. 高性能网络相关 eBPF 钩子与简单用例的性能比较
图 4. 包含 NFP JIT 的编译流程（未显示一些支持的 CPU 架构）
这可能的关键原因是因为 BPF 机器映射到我们在 NFP 上的流处理内核的能力非常好，这意味着运行在 15-25W 之间的基于 NFP 的 Agilio CX SmartNIC 可以从主机卸载大量处理. 在下面的负载平衡示例中，NFP 处理的数据包数量与来自主机的近 12 个 x86 内核的总和相同，由于 PCIe 带宽限制，主机在物理上无法处理数量（使用的内核：Intel Xeon CPU E5-2630 v4 @ 2.20GHz）。
图 5. NFP 和 x86 CPU (E5-2630 v4) 上示例负载均衡器的性能对比
性能是使用 BPF 硬件卸载是编程 SmartNIC 的正确技术的主要原因之一。但这不是唯一的：让我们回顾一下其他一些激励措施。
1 . 灵活性：BPF 在主机上提供的主要优势之一是能够即时重新加载程序。这可以在运行的数据中心中动态替换程序。否则可能是树外内核代码或插入到其他一些不太灵活的子系统中的代码现在可以轻松加载或卸载。由于不需要重新启动系统的错误，这为数据中心提供了显着优势：相反，只需重新加载调整后的程序即可。
这个模型现在也可以扩展到卸载。用户能够在流量运行时在 NFP 上动态加载、卸载、重新加载程序。这种在运行时动态重写固件提供了一个强大的工具，可以被动地使用 NFP 的灵活性和性能。
2 . 延迟：通过卸载 eBPF，延迟显着减少，因为数据包不必跨越 PCIe 边界。这可以改善负载平衡或 NAT 用例的网络性能。请注意，通过避免 PCIe 边界，在 DDoS 预防案例中还有一个显着的好处，因为数据包不再跨越边界，否则可能会在构造良好的 DDoS 攻击下形成瓶颈。
图 6. 驱动程序中卸载 XDP 与 XDP 的延迟，注意使用卸载时延迟的一致性
3 . 用于对 SmartNIC 数据路径进行编程的接口：通过能够使用 eBPF 对 SmartNIC 进行编程，这意味着非常容易实现诸如速率限制、数据包过滤、不良行为缓解或其他传统 NIC 必须在芯片中实现的特性等特性. 这可以针对最终用户的特定用例进行定制。
首先要做的是将内核更新到 4.16 或更高版本。我会推荐 4.17（撰写本文时的开发版本）或更高版本，以利用尽可能多的功能。请参阅用户指南以获取最新版本的功能，以及如何使用它们的示例。
此处不赘述，还可以注意到，与 eBPF 工作流相关的工具正在开发中，并且已经在遗留 cBPF 版本方面得到了很大的改进。用户现在通常会用 C 编写程序，并使用 clang-LLVM 提供的后端将它们编译成 eBPF 字节码。也可以使用其他语言，包括 Go、Rust 或 Lua。对 eBPF 架构的支持被添加到传统工具中：llvm-objdump 可以以人类可读的格式转储 eBPF 字节码，llvm-mc 可以用作 eBPF 汇编器，strace 可以跟踪对 bpf() 系统调用的调用。其他工具的一些工作仍在进行中：binutils 反汇编器应该很快支持 NFP 微码，而 valgrind 即将获得对系统调用的支持。还创建了新工具：特别是 bpftool。
对于企业系统管理员或 IT 架构师来说，目前仍然悬而未决的一个关键问题是，这如何适用于拥有经过多年完善和维护且基于 iptables 的设置的最终用户。更改此设置的风险在于，很明显，某些事情可能难以接受，必须修改编排层，应该构建新的 API，等等。要解决这个问题，请进入提议的 bpfilter 项目。正如昆汀今年早些时候所写：
“这项技术是针对 Linux 中 iptables 防火墙的基于 eBPF 的新后端的提议。在撰写本文时，它还处于非常早期的阶段：它是由 David Miller（网络系统的维护者）、Alexei Starovoitov 和 Daniel 于 2018 年 2 月中旬左右在 Linux netdev 邮件列表上作为 RFC（征求意见稿）提交的Borkmann（内核中 BPF 部分的维护者）。所以，请记住，后面的所有细节都可能改变，或者根本无法到达内核！
从技术上讲，用于配置防火墙的 iptables 二进制文件将保持不变，而内核中的 xtables 部分可以被一组新的命令透明地替换，这些命令需要 BPF 子系统将防火墙规则转换为 eBPF 程序。然后可以将该程序附加到与网络相关的内核挂钩之一，例如在流量控制接口 (TC) 或驱动程序级别 (XDP) 上。规则转换将发生在一种新型内核模块中，该模块介于传统模块和普通 ELF 用户空间二进制文件之间。运行在具有完全权限但不能直接访问内核的特殊线程中，因此提供的攻击面较小，这种特殊类型的模块将能够直接与 BPF 子系统通信（主要通过系统调用）。同时，使用标准用户空间工具来开发、调试甚至模糊它仍然非常容易！除了这个新的模块对象之外，bpfilter 方法的好处还有很多。借助 eBPF 验证程序，预计会提高安全性。重用 BPF 子系统可能会使该组件的维护比传统的 xtables 更容易，并且可能会在以后提供与同样依赖 BPF 的内核其他组件的集成。当然，利用即时 (JIT) 编译，或可能的程序硬件卸载，将大大提高性能！” 重用 BPF 子系统可能会使该组件的维护比传统的 xtables 更容易，并且可能会在以后提供与同样依赖 BPF 的内核其他组件的集成。当然，利用即时 (JIT) 编译，或可能的程序硬件卸载，将大大提高性能！”
正在开发 bpfilter 作为该问题的解决方案，它允许最终用户无缝迁移到这种新的高性能范例。只需看下面：比较内核和一系列简单的 iptables 规则的卸载到 NFP 与 iptables (netfilter) 后端、较新的 nftables、主机上的 bpfilter 并卸载到 SmartNIC ，下图清楚地显示了性能区别所在.
因此，我们有它。就目前而言，内核社区内正在产生的是一个巨大的网络转变。eBPF 是一个强大的工具，它为内核带来了可编程性。它可以处理拥塞控制（TCP-BPF）、跟踪（kprobes、tracepoints）和高性能网络（XDP、cls_bpf）。由于它在社区中的成功，可能会出现其他用例。除此之外，这种过渡一直延伸到最终用户，他们很快就能无缝地离开旧的 iptables 后端，转而使用更新的、更高效的基于 XDP 的后端——使用与今天相同的工具。特别是，这将允许直接的硬件卸载，并在用户迁移到 10G 及以上网络时提供必要的灵活性。
- END -
本文由哈喽比特于2年以前收录，如有侵权请联系我们。
文章来源：https://mp.weixin.qq.com/s/EZ--03CTzW9fIlH6Z49seQ
京东创始人刘强东和其妻子章泽天最近成为了互联网舆论关注的焦点。有关他们“移民美国”和在美国购买豪宅的传言在互联网上广泛传播。然而，京东官方通过微博发言人发布的消息澄清了这些传言，称这些言论纯属虚假信息和蓄意捏造。
日前，据博主“@超能数码君老周”爆料，国内三大运营商中国移动、中国电信和中国联通预计将集体采购百万台规模的华为Mate60系列手机。
据报道，荷兰半导体设备公司ASML正看到美国对华遏制政策的负面影响。阿斯麦（ASML）CEO彼得·温宁克在一档电视节目中分享了他对中国大陆问题以及该公司面临的出口管制和保护主义的看法。彼得曾在多个场合表达了他对出口管制以及中荷经济关系的担忧。
今年早些时候，抖音悄然上线了一款名为“青桃”的 App，Slogan 为“看见你的热爱”，根据应用介绍可知，“青桃”是一个属于年轻人的兴趣知识视频平台，由抖音官方出品的中长视频关联版本，整体风格有些类似B站。
日前，威马汽车首席数据官梅松林转发了一份“世界各国地区拥车率排行榜”，同时，他发文表示：中国汽车普及率低于非洲国家尼日利亚，每百户家庭仅17户有车。意大利世界排名第一，每十户中九户有车。
近日，一项新的研究发现，维生素 C 和 E 等抗氧化剂会激活一种机制，刺激癌症肿瘤中新血管的生长，帮助它们生长和扩散。
据媒体援引消息人士报道，苹果公司正在测试使用3D打印技术来生产其智能手表的钢质底盘。消息传出后，3D系统一度大涨超10%，不过截至周三收盘，该股涨幅回落至2%以内。
9月2日，坐拥千万粉丝的网红主播“秀才”账号被封禁，在社交媒体平台上引发热议。平台相关负责人表示，“秀才”账号违反平台相关规定，已封禁。据知情人士透露，秀才近期被举报存在违法行为，这可能是他被封禁的部分原因。据悉，“秀才”年龄39岁，是安徽省亳州市蒙城县人，抖音网红，粉丝数量超1200万。他曾被称为“中老年...
9月3日消息，亚马逊的一些股东，包括持有该公司股票的一家养老基金，日前对亚马逊、其创始人贝索斯和其董事会提起诉讼，指控他们在为 Project Kuiper 卫星星座项目购买发射服务时“违反了信义义务”。
据消息，为推广自家应用，苹果现推出了一个名为“Apps by Apple”的网站，展示了苹果为旗下产品（如 iPhone、iPad、Apple Watch、Mac 和 Apple TV）开发的各种应用程序。
特斯拉本周在美国大幅下调Model S和X售价，引发了该公司一些最坚定支持者的不满。知名特斯拉多头、未来基金（Future Fund）管理合伙人加里·布莱克发帖称，降价是一种“短期麻醉剂”，会让潜在客户等待进一步降价。
据外媒9月2日报道，荷兰半导体设备制造商阿斯麦称，尽管荷兰政府颁布的半导体设备出口管制新规9月正式生效，但该公司已获得在2023年底以前向中国运送受限制芯片制造机器的许可。
近日，根据美国证券交易委员会的文件显示，苹果卫星服务提供商 Globalstar 近期向马斯克旗下的 SpaceX 支付 6400 万美元（约 4.65 亿元人民币）。用于在 2023-2025 年期间，发射卫星，进一步扩展苹果 iPhone 系列的 SOS 卫星服务。
据报道，马斯克旗下社交平台𝕏（推特）日前调整了隐私政策，允许 𝕏 使用用户发布的信息来训练其人工智能（AI）模型。新的隐私政策将于 9 月 29 日生效。新政策规定，𝕏可能会使用所收集到的平台信息和公开可用的信息，来帮助训练 𝕏 的机器学习或人工智能模型。
9月2日，荣耀CEO赵明在采访中谈及华为手机回归时表示，替老同事们高兴，觉得手机行业，由于华为的回归，让竞争充满了更多的可能性和更多的魅力，对行业来说也是件好事。
《自然》30日发表的一篇论文报道了一个名为Swift的人工智能（AI）系统，该系统驾驶无人机的能力可在真实世界中一对一冠军赛里战胜人类对手。
近日，非营利组织纽约真菌学会（NYMS）发出警告，表示亚马逊为代表的电商平台上，充斥着各种AI生成的蘑菇觅食科普书籍，其中存在诸多错误。
社交媒体平台𝕏（原推特）新隐私政策提到：“在您同意的情况下，我们可能出于安全、安保和身份识别目的收集和使用您的生物识别信息。”
2023年德国柏林消费电子展上，各大企业都带来了最新的理念和产品，而高端化、本土化的中国产品正在不断吸引欧洲等国际市场的目光。
罗永浩日前在直播中吐槽苹果即将推出的 iPhone 新品，具体内容为：“以我对我‘子公司’的了解，我认为 iPhone 15 跟 iPhone 14 不会有什么区别的，除了序（列）号变了，这个‘不要脸’的东西，这个‘臭厨子’。
