【免费下载链接】littlesnitch-linuxOpen Source components of Little Snitch for Linux项目地址https://gitcode.com/gh_mirrors/li/littlesnitch-linux点击查看免费下载Little Snitch for Linux 是一款开源GPL-2的 Linux 防火墙其内核侧完全用 eBPF 编写。本文带你拆解它的eBPF 可移植编程方案如何依靠CO-RECompile Once – Run Everywhere字段重定位与bpf-linker链接器让同一份 eBPF 程序在内核 6.12 到 7.2.0 之间免修改运行——这正是跨内核版本开发 eBPF 最关键的难题。️一、为什么 eBPF 程序必须可移植写 eBPF 程序绕不开两个现实内核结构体布局因版本而异。要追踪哪个进程发起了连接程序必须读取task_struct、dentry、cred等内核结构体。这些结构体在不同内核版本、不同编译选项下字段偏移可能完全不同写死偏移量等于埋雷。verifier 非常挑剔且会变化。内核验证器会审查每一段字节码验证器自身、Rust 编译器或链接器一旦升级原本能加载的程序可能被拒绝。项目 README.md 直言eBPF is a bit fragile因此整条工具链必须精确固定。Little Snitch for Linux 的解法可以概括为一句话用字段名代替偏移量用固定版本工具链代替随手升级。二、项目结构速览四个组件如何分工组件作用关键入口ebpf/挂载到 Linux 内核的全部 eBPF 程序基于 aya-ebpf 框架ebpf/src/main.rscommon/内核态与用户态共享的类型与函数流程标识、过滤引擎等common/src/network_filter/filter_engine.rsdemo-runner/用户态示例程序把 eBPF 程序加载进内核、加载封禁列表、消费事件队列demo-runner/src/main.rswebroot/纯 JS 单页 Web UI连接、封禁列表、规则三大视图webroot/README.md其中与可移植性直接相关的胶水层是 ebpf/build.rs它在构建期完成 CO-RE 头文件的编译与绑定生成下文细讲。三、CO-RE 详解用字段名替代硬编码偏移3.1 声明瘦身版内核结构体传统做法是 include 完整的内核头文件但这要求编译机上的内核头与目标内核完全一致。CO-RE 的做法相反只声明你真正用到的字段。在 ebpf/co-re/co-re.h 中task_struct只保留了mm、pid、tgid、real_parent、cred等少数字段The offset from the structs base pointer does not matter as it will be fixed by CO-RE relocation. Just the field name is important.偏移不重要加载时由 CO-RE 重定位修正字段名才是关键。配合 clang 的preserve_access_index属性co-re.h#L4编译器会为每个字段访问生成重定位指令由加载器在运行内核上按字段名查询 BTF类型信息解析出真实偏移。3.2 连偏移计算也要 CO-RE 化一个容易踩的坑即便在指针运算前算好偏移__builtin_offsetof()的结果也可能不被 CO-RE 重定位。项目专门用__builtin_preserve_field_info()生成能穿透算术运算的BPF_CORE_FIELD_BYTE_OFFSET重定位见 co-re.h#L144-L153// __builtin_offsetof() 在参与指针运算时不可靠地被重定位 // 而 __builtin_preserve_field_info() 生成的重定位可以存活 return __builtin_preserve_field_info(((struct dentry *)0)-d_name, 0);3.3 Rust 侧如何复用这些 C 定义ebpf/build.rs 用 bindgen 从co-re.h生成 Rust 绑定写入OUT_DIR/co-re.rs再由 ebpf/src/main.rs#L8-L15include!进来。于是 Rust eBPF 程序可以直接像调用普通函数一样使用task_struct_uid()、linux_binprm_path()这些 CO-RE 安全访问器见 ebpf/src/current_executable.rs#L108-L150而实际偏移全部留到加载时解析。四、bpf-linker 构建流程从 Rust 到内核字节码eBPF crate 用 Rust 编写但内核只认一种对象格式。ebpf/build.rs 的构建流程非常值得一看定位 bpf-linker通过which(bpf-linker)找到链接器并声明为构建依赖保证链接器升级时强制重编编译 C 模块用clang --targetbpf -emit-llvm把 co-re.c 编译成 LLVM 位码携带全部 CO-RE 重定位信息链接把位码与 Rust 编译产物一起交给bpf-linker 0.10.3链接成单个 BPF 目标文件嵌入用户态demo-runner 在编译期把该对象文件以原始字节嵌入二进制运行时用 aya 框架加载。为什么要钉死工具链版本由于 verifier 的敏感性项目在 ebpf/rust-toolchain.toml 中固定了 eBPF 构建专用的 nightlynightly-2026-07-07并在 Cargo.toml#L14-L22 中把 aya 框架钉到已验证可用的 commit。构建脚本解析该 pin 并通过rustup run显式传递。官方口径是这套组合在内核 6.12 到 7.2.0 上通过验证器其他版本may or may not work。五、钩子点选择程序挂在内核的哪些位置可移植不仅是偏移可重定位还包含钩子点有 fallback。ebpf/src/main.rs 展示了完整策略cgroup_sock / cgroup_sock_addrLinux 4.10 / 4.17 起在sock_create、connect4/6、sendmsg4/6拦截连接返回SK_PASS/SK_DROP直接放行或阻断cgroup_skb收发方向对数据报文做流量裁决fentry/fexitbprm_execve5.5 起追踪进程 exec若内核不允许 tracing则回退到kprobe/kretprobe备选实现main.rs#L144-L165tracepointsched_process_exec/fork/exit维护 PID 到可执行文件节点的映射构建父子进程树。裁决事件经 RingBuf 事件队列上报用户态demo-runner 则负责加载封禁列表blocked_hosts.txt、blocked_domains.txt并轮询事件详见 demo-runner/src/main.rs#L81-L120。过滤引擎的用户态/内核态共享设计另见 common/src/network_filter/Concepts.md。六、构建与运行最快上手步骤前置依赖见 README.md#L24-L32rustup toolchain install stable rustup toolchain install nightly-2026-07-07 --component rust-src # 与 ebpf/rust-toolchain.toml 一致 cargo install bpf-linker --locked # 0.10.3 已知可用 # 另外需要 clang C/C 编译器然后cargo build --release sudo cargo run --release # 以 root 运行以便挂载 cgroup 钩子运行后 demo-runner 会打印封禁列表读取/排序/上传耗时进入事件队列循环按 CtrlC 会触发流程表、DNS 缓存、PID 缓存的 dump方便观察 eBPF 程序内部状态。七、跨内核版本避坑清单偏移永远不要写死——一切字段访问走 CO-RE 重定位偏移计算函数也换掉——用__builtin_preserve_field_info()而非__builtin_offsetof()参与指针运算钩子点准备 fallback——fentry 不可用时退到 kprobetracepoint 作为最兼容的兜底工具链全链路钉版本——nightly Rust、bpf-linker、aya 框架 commit 三处 pin任何一处变动都可能被 verifier 拒绝旧内核记得放宽 memlock——demo-runner 启动时会setrlimit(RLIMIT_MEMLOCK)demo-runner/src/main.rs#L48-L57老内核未启用 memcg 计账时此步不可省。总结Little Snitch for Linux 提供了一个教科书级的 eBPC 可移植工程范例CO-RE 解决结构体偏移随内核版本漂移钉死的 nightly bpf-linker 解决工具链漂移导致 verifier 拒绝钩子点 fallback 解决不同内核配置下追踪点缺失。三层防线叠加才能让一份 Rust 编写的 eBPF 防火墙程序在内核 6.12 至 7.2.0 的范围内真正编译一次、到处运行。赞分享【免费下载链接】littlesnitch-linuxOpen Source components of Little Snitch for Linux项目地址https://gitcode.com/gh_mirrors/li/littlesnitch-linux点击查看免费下载相关推荐Duix.Avatar 免费部署指南一条命令拉起 AI 数字人本地克隆10 秒自拍到离线口播视频Duix.Avatar 免费部署指南一条命令拉起 AI 数字人本地克隆10 秒自拍到离线口播视频 需要一条产品讲解视频但没空拍、没空剪。Duix.AvatAI 应用人工智能数字人语音音频BCC libbpf-tools 完全指南基于 CO-RE 的 BPF 工具构建、移植与 BTF 内核部署BCC libbpf tools 完全指南基于 CO RE 的 BPF 工具构建、移植与 BTF 内核部署 libbpf tools 是 BCC 仓库中以 l可观测性性能剖析eBPF从内核到浏览器Little Snitch for Linux eBPF防火墙全栈技术栈终极总结从内核到浏览器Little Snitch for Linux eBPF防火墙全栈技术栈终极总结 Little Snitch for Linux 是著名 mac上一篇Dgraph时序数据压缩策略时间分区与压缩级别选择下一篇终极指南如何通过spicetify-cli实现Spotify音乐节拍检测与歌词同步创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考