BPF是什么

BPF指柏克莱封包过滤器（Berkeley Packet Filter），是类Unix系统上数据链路层的一种原始接口，提供原始链路层封包的收发，除此之外，如果网卡驱动支持洪泛模式，那么它可以让网卡处于此种模式，这样可以收到网络上的所有包，不管他们的目的地是不是所在主机。

另外，BPF支持“过滤”封包，这样BPF会只把“感兴趣”的封包到上层软件，可以避免从操作系统内核向用户态复制其他封包，降低抓包的CPU的负担以及所需的缓冲区空间，从而减少丢包率。BPF的过滤功能是以BPF虚拟机机器语言的解释器的形式实现的，这种语言的程序可以抓取封包数据，对封包中的数据采取算术操作，并将结果与常量或封包中的数据或结果中的测试位比较，根据比较的结果决定接受还是拒绝封包。在一些平台上，包括FreeBSD和WinPcap，即时编译技术用于把虚拟机指令转换为原始码，以进一步减少开销。

在其他操作系统上，此虚拟机语言的内核态解释器也被用于原始数据链路机制，例如Tru64 Unix系统，以及Linux中的套接字解释器，和WinPcap封包抓取机制。