📚 课程目录第4章控制平面核心职责

4. 控制平面核心职责：策略下发、生命周期管理、状态同步、审计与监控

在 eBPF 租户隔离架构中，控制平面是集群的“大脑”，负责将安全与网络意图转化为内核中的 eBPF 程序与映射。本章深入剖析控制平面的四大核心职责：策略下发、生命周期管理、状态同步以及审计与监控。理解这些职责的工程实现，是构建高可用、可观测的多租户 eBPF 基础设施的前提。

4.1 策略下发：从声明式意图到内核指令

策略下发是控制平面的首要任务。它需要将用户或运维人员定义的高级策略（如“租户 A 禁止访问租户 B 的数据库”）转换为 eBPF 字节码和映射键值对，并原子性地加载到内核中。

  核心流程： 策略接收 → 编译/校验 → 差异化计算 → 原子加载 → 回滚确认。

阶段	职责	关键技术
策略接收	通过 CRD、gRPC 或 REST API 接收策略变更	Kuberentes Informer、etcd watch
编译/校验	将高级策略编译为 eBPF 字节码，并执行静态校验	LLVM-11+、libbpf、Cilium 策略引擎
差异化计算	对比当前生效策略与目标策略，生成最小变更集	Map diff、程序替换算法
原子加载	通过 `bpf()` 系统调用批量加载程序与映射	BPF_F_REPLACE、BPF_PROG_ATTACH
回滚确认	加载失败时自动回滚至上一稳定版本	版本快照、事务日志

工程实践： 建议在控制平面中维护一个“策略版本树”。每次下发前，先计算当前内核中 eBPF 映射的指纹，与目标指纹对比，避免无效下发。对于大规模集群（>1000 节点），可采用分片下发策略，降低控制平面瞬时负载。

4.2 生命周期管理：eBPF 程序的生老病死

控制平面必须精确管理每个 eBPF 程序的生命周期，包括加载、附着、更新、卸载和资源回收。在多租户场景下，生命周期管理还需考虑租户粒度的隔离与配额。

租户隔离陷阱： 当卸载租户 A 的程序时，必须确保其引用的 eBPF 映射（Map）也被清理，否则租户 B 可能通过共享映射残留读取到 A 的敏感数据。建议为每个租户分配独立的 BPF 文件系统挂载命名空间（bpffs）。

4.3 状态同步：控制平面与数据平面的心跳

控制平面需要实时感知数据平面（内核 eBPF 程序）的运行状态，包括程序是否存活、映射使用率、策略命中计数等。状态同步机制决定了控制平面的响应速度与一致性模型。

推模式（Push）： 数据平面通过 perf_event 环形缓冲区或 BPF 尾部调用主动上报状态变更。延迟低，但可能在高频事件下压垮控制平面。
拉模式（Pull）： 控制平面定期通过 bpf(BPF_MAP_LOOKUP_ELEM) 轮询关键映射。实现简单，但存在轮询间隔内的状态盲区。
混合模式： 对关键事件（如程序崩溃、策略拒绝）使用推模式；对统计类指标（如包计数、字节数）使用拉模式，并配合自适应采样。

维度	推模式	拉模式
延迟	微秒级	秒级（取决于轮询周期）
控制平面负载	高（需处理所有事件）	低（可控制频率）
数据一致性	最终一致（可能丢事件）	强一致（读取时快照）
适用场景	安全告警、连接跟踪	流量统计、资源配额

4.4 审计与监控：可观测性的基石

审计与监控是控制平面不可分割的职责。它不仅要记录“谁在何时下发了什么策略”，还要监控 eBPF 程序自身的健康状态与性能开销。

4.4.1 审计日志关键字段

{
  "timestamp": "2025-03-21T10:30:00Z",
  "operator": "admin@example.com",
  "action": "POLICY_CREATE",
  "tenant_id": "tenant-42",
  "policy_name": "deny-cross-ns-db",
  "program_id": "bpf_prog_xyz",
  "checksum": "sha256:abc123...",
  "result": "SUCCESS",
  "latency_ms": 45
}

4.4.2 监控指标体系

控制平面指标： 策略下发延迟（P50/P99）、编译队列深度、API 请求速率、etcd 事务冲突率。
数据平面指标： eBPF 程序执行时间（通过 bpf_ktime_get_ns() 自测）、映射内存占用、尾调用命中率、丢弃包计数。
租户级指标： 每个租户的活跃程序数、映射大小、每秒策略评估次数。

性能开销控制： eBPF 程序内的监控埋点应遵循“零开销采样”原则。对于每租户的审计日志，建议在数据平面使用 bpf_ringbuf_reserve() 批量提交，避免每次策略评估都触发一次内核到用户态的事件推送。