Kernel Study Notes

IPv6协议栈里， 当一个网口被down之后，网口上对应的IP地址也会一起被flush掉。面对IPv6跟IPv4不同的行为方式，内核提供了一个规避的开关。在4.6内核之后提供了一个开关，用来避免IPv6地址别清理掉。这个开关既有全局的设置，也有每个interface粒度的单独开关。 1234567keep_addr_on_down - INTEGER Keep all IPv6 addres

0.1. ebpf如何访问skb 的fileds 加载: 转换： 所有skb的fields都转换成相对skb结构体头部的偏移量 根据偏移量重新校验 bpf指令 报文运行： Skb的地址在skb是作为ctx寄存器传递给bfp run函数的。 0.2. BPF CTX与SKB这里以tcpdump(PF_PACKET)为例，结合函数调用关系说明，skb是如何被当做ctx参数传递给bpf程序

0.1. 函数调用栈以xdp SKB模式为例， 123456789101112131415--> bpf_prog_run_generic_xdp--> --> bpf_prog_run_xdp--> --> --> u32 act = __bpf_prog_run(prog, xdp, BPF_DISPATCHER_FUNC(xdp)); 展开BPF_DIS

0.1. XDP frameworkxdp在内核里的有三个关键步骤: load: 加载到内核 attach: 绑定到一个网口 run：网口收包时候，调用并执行bpf prog 0.1.1. load加载: 通过ebpf系统调用， 把prog加载到内核fd = sys_bpf(BPF_PROG_LOAD, attr, size); 在内核里创建一个bfp_prog结构体用以存储bpf prog

0.1. 问题场景tcpdump在网口直接抓包和读取pcap文件两种场景下，同一个filter表达式icmp，对vlan报文有不同的处理结果。 在网口上抓包可以看到vlan和非vlan两种流量 读取pcap只能看到非vlan流量一种流量 【Q1】：在读取pcap文件时候，为什么不能读取到vlan报文呢？ 0.2. 分析结论内核协议栈： 过滤条件 icmp：tcpdump 解析出来的 ebpf

以内核v6.6代码，介绍tcpdump程序如何与内核交互，加载bpf程序的。 0.1. 加载：libpcap通过sockopt里的“SO_ATTACH_FILTER“，在 packet socket下的”sk_filter“挂载prog呈现。 0.2. 运行：当skb报文到达packet_rcv时候， 通过调用___bpf_prog_run函数（注意，这个函数是3个下滑线，区别于2个下划线的函数）

tcpdump通过libpcap库以及内核的af_packet对数据包问题进行抓取。关于这两部分的如何协作抓包，之前blog里已经写过。这里主要记录分析，在ebpf之前的内核(以v3.0)如何处理tcpdump里的filter的。 1. filter编译后，如何加载到内核里的：在filter被翻译为一系列的指令后，这个指令buff被libpcap，通过sockopt里的SO_ATTACH_FILT

0.1. 用法tcpdump -s len 0.2. 原理tcpdump会把这个长度值编译到ebpf代码中。 ebpf代码执行完后，如果filter成功，则作为返回值（return）返回给调用方（内核协议栈），内核协议栈根据返回值，修改 skb报文到指定的长度，并借助 af socket 返回给用户空间。 0.2.1. tcpdump命令解析

0.0.1. 测试环境1234567891011121314ip netns exec ns1 ip l s veth1 downip l delete veth0ip netns delete ns1ip l add type vethip netns add ns1ip l s dev veth1 netns ns1ip l set veth0 upip netns exec ns1 ip l

mysql访问延迟问题分析 0.1. 问题背景收到数据库同学的问题排查的请求，同一个数据中心里，dbproxy到mysql的连接失败率偏高，其tcp connect调用的超时时间是20ms+。