Длина заголовка находится в младших 4 битах нулевого байта IP-пакета и содержит количество 32-битных слов в заголовке. Поскольку минимальный размер заголовка 20 байт (т.е. пять 32-битных слов), то минимальное значение этого поля равно 5. Старшие 4 бита содержат версию протокола и для IPv4 это значение равно 4. Итак, предположим, что в нулевом байте находится значение 0x45. Эту величину мы загружаем в индексный регистр и осуществляем операцию логического И: 0x45 & 0xF = 0x5. Умножение на 4 эквивалентно логическому сдвигу на 2 бита в сторону старших разрядов, при этом значения старших разрядов теряются. В итоге в индексном регистре будет находиться значение 0x5 * 4 = 0x14, в десятичном представлении – 20. Это и есть длина заголовка IP-пакета в байтах.

BPF_ST

Инструкция BPF_ST служит для загрузки аккумулятора в ячейку памяти:

BPF_ST           M [ k ] <- A

Значение k определяет адрес ячейки памяти.

BPF_STX

Инструкция BPF_STX служит для загрузки индексного регистра в ячейку памяти:

BPF_STX          M [ k ] <- X

Значение k определяет адрес ячейки памяти.

BPF_ALU

Инструкция BPF_ALU выполняет арифметико-логические между аккумулятором и индексным регистром или константой. Результат сохраняется в аккумуляторе.

BPF_ALU+BPF_ADD+BPF_K          A <- A + k

BPF_ALU+BPF_SUB+BPF_K          A <- A — k

BPF_ALU+BPF_MUL+BPF_K          A <- A * k

BPF_ALU+BPF_DIV+BPF_K          A <- A / k

BPF_ALU+BPF_AND+BPF_K          A <- A & k

BPF_ALU+BPF_OR+BPF_K           A <- A | k

BPF_ALU+BPF_LSH+BPF_K          A <- A << k

BPF_ALU+BPF_RSH+BPF_K          A <- A >> k

BPF_ALU+BPF_ADD+BPF_X          A <- A + X

Здесь я не вижу необходимости в комментариях, все прозрачно.

BPF_JMP

Инструкция BPF_JMP изменяет порядок выполнения программы фильтрации. Данная инструкция может осуществлять как условный, так и безусловный переход между инструкциями. При безусловном переходе (BPF_JA, jump always) смещение задается 32-битным значением, при условном – 8-битным.

BPF_JMP+BPF_JA          pc += k

Безусловный переход по смещению, заданному 32-разрядным значением k.

BPF_JMP+BPF_JGT+BPF_K          pc += ( A > k ) ? jt : jf

Сравнение значений аккумулятора и константы k. Условный переход по смещению, заданному в поле jt при выполнении условия A > k.

BPF_JMP+BPF_JGE+BPF_K          pc += ( A >= k ) ? jt : jf

BPF_JMP+BPF_JEQ+BPF_K          pc += ( A == k ) ? jt : jf