Почему моя программа BPF_PROG_TYPE_CGROUP_SKB не работает в контейнере? - PullRequest
Новая
       21

Почему моя программа BPF_PROG_TYPE_CGROUP_SKB не работает в контейнере?

1 голос
/ 12 апреля 2019

Я написал следующую программу eBPF для подсчета пакетов: 

#include <linux/version.h>
#include <uapi/linux/bpf.h>

#include "include/bpf_map.h"
#include "include/bpf_helpers.h"

struct bpf_map_def SEC("maps/count") count_map = {
    .type = BPF_MAP_TYPE_ARRAY,
    .key_size = sizeof(int),
    .value_size = sizeof(__u64),
    .max_entries = 1024,
};

SEC("cgroup/skb")
int count_packets(struct __sk_buff *skb) {
    char debug[] = "count_packets\n";
    bpf_trace_printk(debug, sizeof(debug));

    int packets_key = 0;
    __u64 *packets = 0;

    packets = bpf_map_lookup_elem(&count_map, &packets_key);
    if (packets == 0)
        return 0;

    *packets += 1;

    // allow access
    return 1;
}

char _license[] SEC("license") = "GPL";
u32 _version SEC("version") = LINUX_VERSION_CODE;

У меня также есть компонент пространства пользователя, который загружает программу как BPF_PROG_TYPE_CGROUP_SKB, присоединяет ее к группе v2 (/sys/fs/cgroup/unified/foo), используя тип подключения BPF_CGROUP_INET_EGRESS, добавляет свой собственный PID к этой группе и начинает создавать сетевой трафик.

Когда я запускаю этот компонент пользовательского пространства вне контейнера, он работает как положено, и я вижу, что моя программа вызываетсяделать cat /sys/kernel/debug/tracing/trace_pipe.

Однако, когда я запускаю свою программу в контейнере, я не вижу никаких выводов.

Я запускаю контейнер следующим образом: 

docker run -it \
        --privileged \
        --pid=host \
        --net=host \
        -v /sys/fs/cgroup/unified:/sys/fs/cgroup/unified \
        ${IMAGE}

Я использую хост-сеть и пространства имен PID, чтобы избежать любых потенциальных проблем, которые они могли бы вызвать в противном случае.

Почему моя программа не работает из контейнера?

uname -a: Linux ubuntu-bionic 4.18.0-16-generic # 17 ~ 18.04.1-Ubuntu SMP Tue12 февраля 13:35:51 UTC 2019 x86_64 x86_64 x86_64 GNU / Linux

1 Ответ

1 голос
/ 13 апреля 2019

Это произошло потому, что docker использовал контроллеры net_prio и net_cls, которые перезаписывали данные, используемые для сопоставления cgroup2.Начиная с здесь

Несмотря на то, что пользовательская область может начать использовать net_prio или net_cls в любое время, при использовании любого из них сопоставление cgroup2 больше не работает.

MyРешением было отключить эти контроллеры с флагом загрузки: cgroup_no_v1=net_prio,net_cls.Лучшим решением было бы просто запретить их использовать докеру, но я не мог понять, как это сделать.

...