1. 课程导论：eBPF技术背景、租户隔离的行业痛点、本课程目标与学习路径

1.1 eBPF 技术背景：从内核可观测性到通用安全沙箱

eBPF（extended Berkeley Packet Filter）是一项革命性的 Linux 内核技术，它允许用户在无需修改内核源码或加载内核模块的前提下，安全、高效地注入自定义程序。eBPF 程序通过内核验证器（Verifier）的严格检查后，由即时编译器（JIT）转换为原生机器码执行，既保证了安全性，又获得了接近原生的性能。

eBPF 的发展经历了三个关键阶段：

当前，eBPF 已从最初的网络包过滤工具，演变为覆盖 可观测性（Observability）、网络（Networking）、安全（Security）、调度（Scheduling） 四大领域的通用内核扩展框架。其核心优势在于：

• 零侵入：无需修改应用代码或内核源码。
• 高性能：JIT 编译 + 内核内执行，避免上下文切换。
• 安全可控：Verifier 拒绝所有可能使内核崩溃的程序。
• 动态加载：运行时注入和卸载，无需重启系统。

1.2 租户隔离的行业痛点：多租户环境下的安全鸿沟

在云计算、边缘计算和微服务架构中，多租户（Multi-Tenancy） 是资源复用和成本优化的核心手段。然而，传统隔离方案在 eBPF 引入后面临新的挑战：

• 内核共享风险：所有租户共享同一内核，eBPF 程序虽然经过 Verifier 检查，但仍可能通过合法路径访问其他租户的内存或文件描述符。
• 资源竞争与 DoS：恶意或异常的 eBPF 程序可能消耗过多 CPU、内存或 BPF map 资源，影响同主机其他租户。
• 数据泄露路径：eBPF 的 tracepoint、kprobe 等机制可能捕获跨租户的系统调用参数或网络流量。
• 策略管理碎片化：不同租户的安全策略（如 Seccomp、AppArmor、LSM BPF）缺乏统一的编排和冲突检测机制。
• 审计与合规盲区：eBPF 程序动态加载的特性使得传统静态审计工具难以追踪租户行为。

1.3 本课程目标与学习路径

本课程旨在构建一套完整的 eBPF 租户隔离架构设计方法论，帮助学员从原理到实践掌握以下能力：

• 理解 eBPF 隔离模型：掌握 BPF Namespace、BPF Capability、Cgroup BPF 等内核隔离原语。
• 设计分层隔离架构：从硬件层、内核层、运行时层到策略层，构建纵深防御体系。
• 实现策略编排引擎：基于 LSM BPF 和 BPF 调度器，实现动态、可审计的租户策略。
• 落地生产级方案：结合 Cilium、KubeArmor、Falco 等开源项目，完成端到端隔离部署。

课程采用 分层递进式 学习路径，共 30 章，分为五个模块：