📚 课程目录第2章 eBPF基础回顾

2. eBPF基础回顾：eBPF程序类型、eBPF Map机制、eBPF验证器与运行时

在深入租户隔离架构之前，必须重新审视eBPF的三大核心支柱：程序类型决定了eBPF能挂载到内核的哪个子系统；Map机制提供了用户态与内核态、以及不同eBPF程序之间的数据交换通道；验证器与运行时则保证了注入内核的代码是安全的、不会导致系统崩溃。这三者共同构成了eBPF安全隔离的基础设施。

2.1 eBPF程序类型：挂载点与能力边界

eBPF程序并非“万能胶”，每种程序类型都对应一个特定的内核事件挂载点，并拥有独立的上下文结构（struct pt_regs 的派生结构）和可访问的内核函数集合。这种设计本身就是一种功能隔离：一个套接字过滤程序无法调用跟踪点程序的辅助函数。

程序类型（部分）	挂载点/用途	上下文结构	典型场景
`BPF_PROG_TYPE_SOCKET_FILTER`	网络套接字层	`__sk_buff`	包过滤、流量统计
`BPF_PROG_TYPE_KPROBE`	动态内核函数入口/出口	`pt_regs`	内核函数参数追踪、性能分析
`BPF_PROG_TYPE_TRACING`	Tracepoints / fentry/fexit	`bpf_raw_tracepoint_args`	系统调用追踪、内核事件监控
`BPF_PROG_TYPE_XDP`	网卡驱动层（最早接收点）	`xdp_md`	DDoS防御、负载均衡、包过滤
`BPF_PROG_TYPE_CGROUP_SKB`	控制组网络出入	`__sk_buff`	容器网络策略、带宽限制
`BPF_PROG_TYPE_LSM`	Linux安全模块钩子	`bpf_lsm_ctx`	MAC强制访问控制、文件权限检查

隔离启示： 租户隔离方案中，通常将不同租户的eBPF程序限制在 CGROUP_SKB 或 LSM 类型内，因为这些类型天然具备cgroup或安全上下文的作用域，便于实现资源与权限的细粒度划分。

2.2 eBPF Map机制：跨域数据交换与状态共享

eBPF Map是内核中的键值存储结构，是eBPF程序与用户态程序、以及不同eBPF程序之间交换数据的唯一桥梁。Map的类型决定了其数据组织方式和并发语义。在租户隔离场景中，Map的可见性和生命周期管理是隔离的关键。

2.2.1 常用Map类型对比

Map类型	数据结构	并发安全	典型用途
`BPF_MAP_TYPE_HASH`	哈希表	Per-CPU锁	动态配置、会话状态
`BPF_MAP_TYPE_ARRAY`	预分配数组	无锁（索引访问）	统计计数器、固定规则表
`BPF_MAP_TYPE_PERCPU_HASH`	Per-CPU哈希	无锁（本地访问）	高性能统计、避免伪共享
`BPF_MAP_TYPE_LRU_HASH`	LRU淘汰哈希	全局锁+LRU算法	连接跟踪、缓存
`BPF_MAP_TYPE_RINGBUF`	环形缓冲区	无锁（生产者-消费者）	高效事件推送、日志采集
`BPF_MAP_TYPE_STACK_TRACE`	栈跟踪	专用	性能剖析、调用栈记录

  隔离关键点： Map通过文件描述符（fd）进行访问。在容器化环境中，通过挂载eBPF文件系统（bpffs）并管理Map的pin路径，可以实现不同租户之间的Map命名空间隔离。每个租户只能看到自己pin的Map，无法遍历或访问其他租户的Map。

2.3 eBPF验证器与运行时：安全执行的核心保障

eBPF验证器（Verifier）是内核中最为复杂的静态分析引擎之一。它确保所有加载的eBPF程序在运行前满足严格的安全约束。运行时（Runtime）则负责将验证通过的字节码编译为原生机器码（JIT）并安全执行。

2.3.1 验证器的关键检查项

控制流完整性（CFI）： 确保程序不存在循环（除非有界且可证明终止），不存在不可达指令，不存在跳转到指令中间。
栈边界检查： 所有栈访问必须在 MAX_BPF_STACK（512字节）范围内，且不能读取未初始化的栈区域。
指针类型安全： 禁止将标量值当作指针使用，禁止指针算术运算（除 PTR_TO_MAP_VALUE 和 PTR_TO_PACKET 的有限偏移外）。
辅助函数白名单： 每种程序类型只能调用内核预定义的一组辅助函数（helper），禁止直接调用任意内核函数。
Map访问验证： 确保Map键值大小与定义匹配，确保访问的Map文件描述符有效且类型兼容。
尾调用深度限制： 尾调用（Tail Call）链深度不得超过 MAX_TAIL_CALL_CNT（32层）。

隔离风险提示： 验证器虽然强大，但并非万无一失。历史上曾出现过验证器绕过漏洞（如CVE-2021-3490）。在租户隔离架构中，除了依赖验证器，还需要叠加cgroup、命名空间、Capability等内核隔离机制，形成纵深防御。

2.3.2 运行时执行流程

阶段	动作	安全意义
1. 加载	用户态通过 `bpf()` 系统调用传入字节码	内核接管，用户态无法直接修改
2. 验证	验证器执行静态分析（最多100万条指令）	拒绝所有不安全程序
3. JIT编译	将字节码编译为CPU原生指令	消除解释器漏洞风险，提升性能
4. 事件触发	内核事件到达挂载点，调用eBPF程序	程序在内核态执行，但受验证器约束
5. 结果输出	通过Map、辅助函数或perf事件输出	数据只能通过预定义通道流出

2.4 三者协同：隔离的基石

程序类型、Map机制、验证器与运行时三者并非孤立工作，而是形成一个三角协同的安全模型：

程序类型 定义了eBPF程序的能力边界（能做什么）。
Map机制 定义了数据共享的范围（能访问什么）。
验证器与运行时 定义了执行的安全约束（能怎么执行）。