std.bpf — eBPF Maps und Programme

import std.bpf;

Wrapper um sys_bpf(321). eBPF (extended Berkeley Packet Filter) ist ein Kernel-Subsystem für sichere, vom Kernel-Verifier geprüfte Programme. Haupteinsatz: Netzwerk-Filterung, Tracing, Performance-Monitoring, XDP.

Achtung: Auf Produktionssystemen erfordert BPF meist CAP_BPF oder CAP_SYS_ADMIN. Bei unprivileged_bpf_disabled=1 (Ubuntu-Standard) schlägt selbst das Anlegen einfacher Maps mit EPERM fehl.

→ std.debug · std.net.socket · std.security_ext

Jede BPF-Instruktion ist 8 Bytes:

Häufige Opcodes:

Register: BPF_R0 (Rückgabe) bis BPF_R10 (Frame-Pointer, nur-lesen).

import std.bpf;
import std.alloc;

fn main(): int64 {
    // Array-Map: uint32-Key, uint64-Wert, 256 Einträge
    var mapFd: int64 := BpfMapCreate(BPF_MAP_TYPE_ARRAY, 4, 8, 256);
    if (mapFd < 0) { return mapFd; }

    // Eintrag schreiben: Key = 0, Wert = 42
    var key: int64 := alloc(4);
    var val: int64 := alloc(8);
    poke32(key, 0);
    poke64(val, 42);
    BpfMapUpdate(mapFd, key, val, BPF_ANY);

    // Eintrag lesen
    var out: int64 := alloc(8);
    var r: int64 := BpfMapLookup(mapFd, key, out);
    if (r = 0) {
        var v: int64 := peek64(out);  // v = 42
    }

    free(key, 4); free(val, 8); free(out, 8);
    close(mapFd);
    return 0;
}

import std.bpf;
import std.alloc;

fn main(): int64 {
    // Minimales Programm: r0 = 0; exit
    var insns: int64 := alloc(2 * BPF_INSN_SIZE);
    BpfEmitRaw(insns, 0, BpfInsn(BPF_OP_MOV64_IMM, BPF_R0, 0, 0, 0));
    BpfEmitRaw(insns, 1, BpfInsn(BPF_OP_EXIT,      0,      0, 0, 0));

    var logBuf: int64 := alloc(4096);
    var fd: int64 := BpfProgLoad(BPF_PROG_TYPE_SOCKET_FILTER,
                                  insns, 2, "GPL", logBuf, 4096);
    if (fd < 0) {
        // logBuf enthält Verifier-Fehlermeldung
        free(insns, 2 * BPF_INSN_SIZE);
        free(logBuf, 4096);
        return fd;
    }

    free(insns, 2 * BPF_INSN_SIZE);
    free(logBuf, 4096);
    close(fd);
    return 0;
}

• CAP_BPF: Auf modernen Systemen (Kernel 5.8+) reicht CAP_BPF; ältere Kernel benötigen CAP_SYS_ADMIN. Ubuntu sperrt BPF für normale Nutzer standardmäßig.
• Verifier-Log: Bei BpfProgLoad-Fehler enthält logBuf die genaue Verifier-Fehlermeldung — wichtig für Debugging. logBuf=0 und logSize=0 deaktiviert den Log.
• Lizenz: Der Lizenz-String beeinflusst welche Kernel-Helper-Funktionen verfügbar sind. GPL-only-Helpers (z.B. bpf_probe_read) benötigen GPL oder kompatible Lizenz.
• Map-FDs: BPF-Map-FDs sind normale Dateideskriptoren und müssen mit close() freigegeben werden. Maps bleiben solange aktiv wie mindestens ein fd offen ist.
• bpf_attr Größe: Alle Funktionen allozieren intern einen 128-Byte-Puffer (BPF_ATTR_SIZE) für den Syscall.

Letzte Aktualisierung: 2026-06-06