eBPF TC实现高性能NAT：OpenPPP2系统解析

1. OpenPPP2系统NAT实现解析：基于eBPF TC的网络地址转换

在Linux网络编程领域，eBPF技术正在彻底改变我们处理网络数据包的方式。今天要分享的是如何利用eBPF的TC（Traffic Control）子系统实现高性能的系统级NAT功能。这个实现源自OpenPPP2项目中的sysnat模块，它展示了如何在不修改内核代码的情况下，通过用户态和eBPF的协作完成复杂的网络地址转换。

传统NAT实现通常依赖于内核的netfilter框架（如iptables），但这种方案在高速网络环境下会遇到性能瓶颈。我们的方案通过eBPF将NAT逻辑下沉到TC层，实现了以下关键优势：

• 零拷贝数据包处理
• 无锁规则匹配
• 亚微秒级的延迟
• 与现有网络栈无缝集成

2. 核心数据结构设计

2.1 NAT规则键结构体

c复制struct openppp2_sysnat_key {
    uint32_t src_ip;      /* 源IP地址（网络字节序） */
    uint32_t dst_ip;      /* 目的IP地址（网络字节序） */
    uint16_t src_port;    /* 源端口号（网络字节序） */
    uint16_t dst_port;    /* 目的端口号（网络字节序） */
    uint16_t proto;       /* IP协议类型（如IPPROTO_TCP/IPPROTO_UDP） */
    uint16_t pad;         /* 填充对齐 */
} __attribute__((packed));

这个结构体定义了NAT规则的匹配条件，几个设计要点值得注意：

1. 所有字段都采用网络字节序，避免在eBPF程序中频繁转换
2. 使用packed属性确保内存布局紧凑，节省eBPF map的存储空间
3. 包含完整的五元组信息，支持最细粒度的流量匹配
4. 8字节对齐的设计让键大小正好是2的幂次方（16字节），优化哈希表性能

2.2 NAT规则值结构体

c复制struct openppp2_sysnat_value {
    uint32_t new_src_addr;      /* 转换后的源IP */
    uint16_t new_src_port;      /* 转换后的源端口 */
    uint32_t new_dst_addr;      /* 转换后的目的IP */
    uint16_t new_dst_port;      /* 转换后的目的端口 */
    int32_t  redirect_ifindex;  /* 重定向接口索引（0表示不重定向） */
    uint8_t  pad[4];            /* 填充对齐 */
} __attribute__((packed));

值结构体定义了匹配后的动作，几个关键设计决策：

• 支持双向NAT（同时修改源和目的地址）
• 通过redirect_ifindex实现接口间流量重定向
• 同样采用紧凑的内存布局，单个规则仅占用20字节
• 保留扩展空间（pad字段）为未来功能预留

3. eBPF程序与TC集成

3.1 挂载BPF文件系统

c复制int openppp2_sysnat_mount(void) {
    const char* bpf_path = "/sys/