📚 课程目录第1章课程导论

1. 课程导论：eBPF技术演进与租户隔离的行业痛点

1.1 eBPF 技术演进：从内核观测到安全执行

eBPF（extended Berkeley Packet Filter）起源于 1992 年 BSD 系统的网络包过滤工具，经过 30 余年演进，已蜕变为 Linux 内核的“可编程沙箱”。其核心能力是允许用户在无需修改内核源码或加载内核模块的前提下，安全、高效地注入自定义字节码，在内核态执行观测、过滤、转发和安全策略。

关键里程碑如下：

阶段	时间	核心能力	租户隔离相关性
BPF 起源	1992	网络包过滤（tcpdump）	无直接关联
eBPF 重构	2014	通用内核可编程、Map 数据结构、JIT 编译	奠定安全注入基础
CO-RE 与 BTF	2019	一次编译、到处运行，解决内核版本依赖	降低多租户内核适配成本
安全执行框架	2020+	LSM BPF、XDP、TC、cgroup BPF	直接支撑租户隔离策略

核心认知： eBPF 不是传统内核模块的替代品，而是内核的“可编程观测与控制面”。它通过验证器（Verifier）保证安全性，通过 JIT 保证性能，通过 Map 实现内核态与用户态的数据交换。

1.2 租户隔离的行业痛点：传统方案的边界

在云原生环境中，多租户隔离是安全基座。传统隔离方案在性能、粒度、可观测性方面存在显著短板：

网络隔离（CNI/NetworkPolicy）： 基于 iptables/IPVS 或 eBPF 的数据路径，但策略执行点位于网络栈，无法感知进程级上下文。
内核安全模块（SELinux/AppArmor）： 策略静态、更新复杂，难以适应动态容器调度场景。
Seccomp 与 Capabilities： 系统调用过滤粒度粗，无法拦截内核内部资源访问（如文件、网络、进程）。
用户态代理（Sidecar/Envoy）： 性能损耗高，且无法覆盖内核态资源竞争。

下表对比了主流隔离方案与 eBPF 方案的差异：

维度	传统方案（iptables/SELinux/Seccomp）	eBPF 方案
执行点	用户态或内核边界	内核内部（网络栈、系统调用、LSM 钩子）
策略粒度	IP:Port / 系统调用号 / 文件路径	进程 PID、cgroup ID、内核对象指针、Map 键值
动态性	需重启服务或重载规则	热加载、热更新，无中断
可观测性	日志事后分析	实时追踪、直方图、延迟分析
性能损耗	随规则数量线性增长	接近零开销（JIT + 哈希查找）

行业痛点总结： 传统方案无法同时满足“细粒度 + 高性能 + 动态更新 + 内核级可见性”四个要求。eBPF 是当前唯一能在内核态同时提供观测、过滤、安全执行三大能力的通用技术。

1.3 为什么需要 eBPF 实现租户隔离？

eBPF 之所以成为租户隔离的核心技术，源于其独特的架构优势：

内核态执行，零上下文切换： 策略直接在内核数据路径上执行，无需陷入用户态，延迟可控制在微秒级。
程序化策略，而非静态规则： 通过 eBPF Map 动态维护租户白名单/黑名单，支持运行时策略变更。
全栈可观测性： 可追踪每个系统调用、网络包、文件操作、进程创建，为隔离策略提供实时反馈。
安全验证器保障： 所有 eBPF 程序必须通过验证器检查（循环限制、指针安全、类型匹配），杜绝内核崩溃。
与 cgroup 深度集成： 通过 cgroup BPF 实现容器粒度的资源隔离与安全策略。

  核心论点： eBPF 不是“另一种隔离工具”，而是“隔离架构的底层基础设施”。它允许安全团队以编程方式定义“内核态租户边界”，而无需修改内核或依赖特定容器运行时。

1.4 eBPF 租户隔离架构总览

下图展示了 eBPF 在云原生租户隔离中的核心位置与数据流：

上图清晰展示了从租户层到内核策略执行层的完整数据流。eBPF 控制面作为核心枢纽，负责将租户标识（cgroup ID、PID）与隔离策略映射到内核钩子，最终在 XDP、TC、LSM 等关键路径上执行细粒度隔离。

1.5 本章小结：eBPF 隔离的不可替代性

性能优势： eBPF 在内核态直接执行，避免用户态-内核态切换，延迟降低 10-100 倍。
粒度优势： 可基于 PID、cgroup、内核对象指针实现进程级、容器级隔离。
动态优势： 策略热加载，无需重启容器或重载内核模块。
安全优势： 验证器保证程序安全，Map 隔离防止租户间数据泄露。
生态优势： 与 Cilium、Falco、Tetragon 等云原生安全项目深度集成。