Traffic Controller (tc) に BPF をアタッチする時に知っておくべきこと

// 古い方法
struct bpf_elf_map __section_maps map_sh = {
	.type		= BPF_MAP_TYPE_ARRAY,
	.size_key	= sizeof(uint32_t),
	.size_value	= sizeof(uint32_t),
	.pinning	= PIN_OBJECT_NS, /* or PIN_GLOBAL_NS, or PIN_NONE */
	.max_elem	= 1,
};

// libbpf 流の書き方
struct {
	__uint(type, BPF_MAP_TYPE_ARRAY);
	__uint(key_size, sizeof(uint32_t));
	__uint(value_size, sizeof(uint32_t));
	__uint(max_entries, 1);
	__uint(pinning, LIBBPF_PIN_BY_NAME);	/* or LIBBPF_PIN_NONE */
} map_sh __section(".maps");

$ sudo tc filter add dev eth0 ingress bpf da obj tail-call.o sec classifier
libbpf: BTF is required, but is missing or corrupted.
ERROR: opening BPF object file failed
Unable to load program

$ clang -g -O2 -Wall -target bpf -c prog.c -o prog.o

tc qdisc add dev $dev clsact
tc qdisc del dev $dev clsact
tc qdisc show dev $dev

# "return -1" を実行する BPF プログラムを任意パケットに合致するフィルターとして使う (flowid 1:1 をアサインしてドロップする)
tc filter add dev $dev [ingress|egress] bpf bytecode '1,6 0 0 4294967295,' flowid 1:1 action drop

# egress 方向の 8.8.8.8 にあてた SYN パケットをドロップ
tcpdump -ilo -ddd '(tcp[tcpflags] & tcp-syn != 0) and (host 8.8.8.8)' | tr '\n' ',' > /tmp/bytecode
tc filter add dev $dev egress bpf bytecode-file /tmp/bytecode action drop

# action として BPF プログラムを読みこむ (direct-action [da] モード)
# da モード時の返却値が持つ意味の例:
# - TC_ACT_UNSPEC (-1): tc に設定されたデフォルトアクションを実施
# - TC_ACT_OK (0): パケットの許可 (パケット処理のパイプラインが終了)
# - TC_ACT_RECLASSIFY (1): パケット処理のパイプラインをはじめからやり直す
# - TC_ACT_SHOT (2): パケットのドロップ (パケット処理のパイプラインが終了)
# - TC_ACT_PIPE (3): パイプラインの続きを実行する
cat <<EOF > /tmp/bpf.c
#include <linux/bpf.h>
#include <linux/pkt_cls.h>
#include <bpf/bpf_helpers.h>

SEC("foo")
int foo_main(struct __sk_buff *skb) {
    return TC_ACT_OK;
}

char __license[] SEC("license") = "GPL";
EOF
clang -O2 -Wall -g -target bpf -c /tmp/bpf.c -o /tmp/bpf.o
tc filter add dev $dev ingress bpf [direct-action|da] [object-file|obj] /tmp/bpf.o sec foo [verb]