Инструменты eBPF - skb_network_header аварийно завершает работу функции трассировки ядра BPF - PullRequest
Новая
       76

Инструменты eBPF - skb_network_header аварийно завершает работу функции трассировки ядра BPF

2 голосов
/ 07 мая 2020

Я хочу отследить ip_forward_finish. Цель состоит в том, чтобы отслеживать задержку всех TCP-соединений, проходящих через маршрутизатор шлюза на основе linux. Отсюда и мысль о трассировке функции ядра ip_forward_finish. И зафиксируйте отметку времени сообщений SYN, SYN-ACK и ACK на маршрутизаторе.

Проблема с доступом к iphdr внутри функции трассировки заставляет верификатор жаловаться на следующую ошибку: 

bpf: Failed to load program: Permission denied
0: (79) r6 = *(u64 *)(r1 +96)
1: (b7) r1 = 0
2: (6b) *(u16 *)(r10 -24) = r1
3: (bf) r3 = r6
4: (07) r3 += 192
5: (bf) r1 = r10
6: (07) r1 += -24
7: (b7) r2 = 2
8: (85) call bpf_probe_read#4
9: (69) r1 = *(u16 *)(r10 -24)
10: (55) if r1 != 0x8 goto pc+7
 R0=inv(id=0) R1=inv8 R6=inv(id=0) R10=fp0
11: (69) r1 = *(u16 *)(r6 +196)
R6 invalid mem access 'inv'

HINT: The invalid mem access 'inv' error can happen if you try to dereference
    memory without first using bpf_probe_read() to copy it to the BPF stack.
    Sometimes the bpf_probe_read is automatic by the bcc rewriter, other times
    you'll need to be explicit.

Фрагмент кода, который у меня изначально был, был таким, как показано ниже, а cra sh происходит при обращении к ip_Hdr->protocol. И я также проверил, что ip_Hdr не равно нулю. 

int trace_forward_finish(struct pt_regs *ctx,struct net *net,
                         struct sock *sk, struct sk_buff *skb)
{
    if (skb->protocol != htons(ETH_P_IP))
        return 0;

    struct iphdr* ip_Hdr = (struct iphdr *) skb_network_header(skb);

    if (ip_Hdr->protocol != IPPROTO_TCP)
        return 0;

    /// More code
}

Согласно СОВЕТУ в сообщении, я действительно пытался изменить на bpf_probe_read, но все равно результат тот же 

int trace_forward_finish(struct pt_regs *ctx,struct net *net,
                         struct sock *sk, struct sk_buff *skb)
{
    if (skb->protocol != htons(ETH_P_IP))
        return 0;

    struct iphdr ip_Hdr;
    bpf_probe_read(&ip_Hdr, sizeof(ip_Hdr), (void*)ip_hdr(skb)); 

    if (ip_Hdr.protocol != IPPROTO_TCP)
        return 0;

    return 0;
}

Любая помощь будет принята с благодарностью.

1 Ответ

1 голос
/ 07 мая 2020

b cc попытается преобразовать ваши разыменования указателей ядра в вызовы bpf_probe_read. Вы можете увидеть это, передав debug=4 вызову BPF().

В вашем случае я подозреваю, что вам нужно будет включить функцию skb_network_header в свой код, чтобы b cc мог чтобы переписать его.

Если этого недостаточно, вам может потребоваться ручной вызов bpf_probe_read, чтобы получить структуру struct iphdr из указателя skb_network_header.

...