Linux eBPF Sockmap 与 sk_msg：VPN 代理套接字重定向

现代网络隐私与安全网关系统广泛依赖运行于本机或容器内的本地代理进程与边车组件。在常见的 VPN 分层架构中，客户端应用程序先连接至本地代理套接字，经过身份验证、流量标记或加密封装后，再通过加密隧道发往远端服务器。这种架构提升了系统解耦性，但在传统 Linux 网络模型下存在显著开销：每一份网络载荷均需完整遍历两次 TCP/IP 协议栈。

Linux 内核引入了基于扩展伯克利数据包过滤器（eBPF）的高效套接字转发机制：结合 BPF_MAP_TYPE_SOCKMAP（或 SOCKHASH）内核映射表与 BPF_PROG_TYPE_SK_MSG 程序。该机制直接工作在套接字接口层，而非底层网卡数据包层，可将发送方套接字缓冲区的数据直接送入接收方套接字队列，免除 TCP 分段重组、IP 路由查找、Netfilter 过滤以及本地环回接口软中断的重复处理。

本地代理架构中的协议栈双重遍历开销

在未经优化的传统网络栈中，通过本地 VPN 代理转发的数据流需经历以下繁复路径：

[ 用户应用程序 ]
       | write() / sendmsg()
[ 套接字层：应用发送队列 ]
       v
[ TCP 状态机（拥塞控制、确认应答、定时器） ]
       v
[ IP 网络层（路由表查找、MTU 校验） ]
       v
[ Netfilter / iptables 防火墙规则链 ]
       v
[ Loopback 环回设备（dev_queue_xmit、ksoftirqd 软中断） ]
       v
[ Netfilter / iptables 入站规则链 ]
       v
[ IP 网络层（本地交付路径） ]
       v
[ TCP 状态机（序号重组与校验） ]
       v
[ 套接字层：VPN 代理接收队列 ]
[ VPN 代理进程 ]

当客户端应用向 127.0.0.1:1080（VPN 代理的 SOCKS5 或 HTTP CONNECT 端口）发送 64 KB 数据时，内核必须为其分配 sk_buff 内存结构、计算校验和、遍历路由与防火墙规则，并调度软中断。当代理进程读取数据并转入隧道接口（例如 WireGuard 或 RiceGuard）时，整个流程再次重复。

高并发环境下（如成百上千个微服务或浏览器并发连接），这种冗余操作会占用超过 25% 的主机 CPU 资源，导致 CPU 缓存失效频发并加剧长尾延迟。

技术原理：BPF Sockmap 与 sk_msg 程序协同

Linux 内核将套接字重定向分为状态捕获与数据直通两类 eBPF 程序协同工作：

1. 利用 BPF_PROG_TYPE_SOCK_OPS 注册套接字

该程序挂载于 cgroup 层次结构中。当受控容器或进程中的 TCP 套接字发生状态转换时，内核将触发携带 bpf_sock_ops 上下文的 eBPF 程序。

在套接字完成连接握手阶段—即触发 BPF_SOCK_OPS_ACTIVE_ESTABLISHED_CB（主动出站连接）与 BPF_SOCK_OPS_PASSIVE_ESTABLISHED_CB（被动入站监听）时，程序提取四元组标识信息：

struct sock_key {
    __u32 sip4;
    __u32 dip4;
    __u32 sport;
    __u32 dport;
};

struct {
    __uint(type, BPF_MAP_TYPE_SOCKHASH);
    __uint(max_entries, 65536);
    __type(key, struct sock_key);
    __type(value, __u64);
} proxy_sock_map SEC(".maps");

SEC("sockops")
int bpf_sockmap_ops(struct bpf_sock_ops *skops) {
    if (skops->family != AF_INET)
        return 1;

    switch (skops->op) {
    case BPF_SOCK_OPS_PASSIVE_ESTABLISHED_CB:
    case BPF_SOCK_OPS_ACTIVE_ESTABLISHED_CB: {
        struct sock_key key = {
            .sip4  = skops->local_ip4,
            .dip4  = skops->remote_ip4,
            .sport = bpf_ntohl(skops->local_port),
            .dport = skops->remote_port,
        };
        /* 将建立成功的套接字指针更新至哈希表 */
        bpf_sock_hash_update(skops, &proxy_sock_map, &key, BPF_ANY);
        break;
    }
    default:
        break;
    }
    return 1;
}

通过调用 bpf_sock_hash_update()，内核套接字结构体（struct sock *）被登记到 proxy_sock_map。用户层应用程序仍使用原始套接字文件描述符，无需修改逻辑。

2. 通过 BPF_PROG_TYPE_SK_MSG 实现零下潜数据直通

第二部分程序挂载在映射表的 BPF_SK_MSG_VERDICT 判定点。当应用程序触发 sendmsg() 或 write() 系统调用时，内核在数据封包前执行该判定程序：

SEC("sk_msg")
int bpf_sk_msg_redirect(struct sk_msg_md *msg) {
    struct sock_key lookup_key = {
        .sip4  = msg->remote_ip4,
        .dip4  = msg->local_ip4,
        .sport = msg->remote_port,
        .dport = bpf_ntohl(msg->local_port),
    };

    /* 将发送数据直接送入对端套接字的接收队列 */
    int ret = bpf_msg_redirect_hash(msg, &proxy_sock_map, &lookup_key, BPF_F_INGRESS);
    if (ret == SK_PASS)
        return SK_PASS;

    return SK_PASS;
}

辅助函数 bpf_msg_redirect_hash() 在哈希表中匹配到目标套接字后，直接将消息内存链表移交至目标套接字的接收队列（sk_receive_queue）：

• 无需分配 sk_buff 结构。
• 传输层序列号与窗口机制维持在套接字层运行，不产生线路物理报文。
• 跳过所有 Netfilter 规则与防火墙匹配计算。
• 消除本地环回接口产生的软中断负载。

性能评测与实测数据

在 Linux 网关主机上部署 sockmap 直通技术后，各项关键性能指标均出现显著改善：

由于免除了协议栈首部频繁打包与解包，CPU 核心能够更好地保持指令与数据缓存热度，有效降低应用线程与系统软中断之间的上下文切换消耗。

在 VPNRice 与 RiceGuard 体系中的集成

在现代 VPN 基础设施中，流量分流（split-tunneling）与防 DNS 泄漏是保障连接隐私的核心机制。VPNRice 在其企业级 Linux 节点与 RiceGuard 网关中深度集成了 eBPF sockmap 方案：

[ 工作站客户端应用 ]
       |
       | (利用 eBPF sk_msg 进行套接字直连拼接)
       v
[ RiceGuard 本地中继守护进程 ]
       |
       | ChaCha20-Poly1305 AEAD 加密隧道
       v
[ VPNRice 全球 Anycast 接入节点 ]

1. RiceGuard 本地中继加速：桌面应用将受保护连接发送至本地中继进程。借助 sockmap，跨进程数据交互速度逼近共享内存水准，使加密引擎充分跑满网络对称带宽而不致耗尽 CPU。
2. 防 DNS 泄漏与请求直通：本地 DNS 解析器监听 53 端口并将请求转发至加密解析上游。套接字直连消除了命名空间（network namespaces）间切换的额外排队延迟。
3. 高密度容器隔离支持：在部署多租户容器的边缘网关上，sockmap 允许不同隔离容器的套接字安全连通，免除传统虚拟网桥产生的性能拖累。

内核配置需求与运行验证

在生产环境启用 eBPF sockmap 重定向，需确保 Linux 内核（推荐 5.10 及以上版本）开启流解析器支持：

# 检查当前内核编译选项
zcat /proc/config.gz | grep -E "CONFIG_BPF_STREAM_PARSER|CONFIG_NET_SOCK_MSG"
# 预期输出项：
# CONFIG_BPF_STREAM_PARSER = y
# CONFIG_NET_SOCK_MSG = y

管理员可通过 bpftool 工具查看活动的内核哈希映射表并观测转发事件：

# 列出系统中活动的 sockhash 映射表
sudo bpftool map list type sockhash

# 实时查看内核重定向跟踪日志
sudo bpftool prog tracelog

内核级可编程套接字转发与轻量化加密协议的深度结合，为高性能隐私通信网络树立了技术标杆。