2. eBPF基础回顾：eBPF程序类型、eBPF Map、eBPF Helper函数、eBPF验证器

在深入租户隔离蓝图之前，必须夯实eBPF的核心基础。本章将系统回顾eBPF的四大支柱：程序类型决定了eBPF的挂载点与能力边界；Map提供了内核与用户态、以及不同eBPF程序间的数据交换通道；Helper函数是eBPF程序安全访问内核服务的唯一接口；验证器则保障了整个系统的安全性与稳定性。理解这四者的协同关系，是设计多租户隔离方案的前提。

2.1 eBPF程序类型：能力边界与挂载点

eBPF程序类型定义了程序可以挂载的内核事件类型以及可访问的内核上下文。每种类型都有其特定的输入上下文（Context）和返回值语义。截至Linux 6.x内核，eBPF程序类型已超过30种，以下列出与租户隔离场景最相关的核心类型：

2.2 eBPF Map：内核-用户态数据交换枢纽

eBPF Map是内核中的键值存储结构，是eBPF程序与用户态程序、以及不同eBPF程序之间交换数据的核心机制。Map的生命周期由文件描述符管理，当所有引用关闭时，Map及其数据被释放。在租户隔离场景中，Map用于存储租户策略、统计计数、连接跟踪状态等关键数据。

2.2.1 核心Map类型对比

2.2.2 Map操作的关键系统调用

用户态程序通过bpf()系统调用操作Map，核心命令包括：

• BPF_MAP_CREATE：创建Map，指定类型、key大小、value大小、最大条目数等参数。
• BPF_MAP_LOOKUP_ELEM：根据key查找value。
• BPF_MAP_UPDATE_ELEM：更新或插入键值对。
• BPF_MAP_DELETE_ELEM：删除指定key的条目。
• BPF_MAP_GET_NEXT_KEY：遍历Map，获取下一个key。

// 用户态创建Hash Map的示例（使用libbpf API）
struct bpf_map *map;
int map_fd;

map_fd = bpf_map_create(BPF_MAP_TYPE_HASH,      // Map类型
                        "tenant_policy_map",     // Map名称
                        sizeof(uint32_t),        // Key大小（租户ID）
                        sizeof(struct policy),   // Value大小（策略结构体）
                        1024,                    // 最大条目数
                        NULL);                   // Map属性（可选）
if (map_fd < 0) {
    // 错误处理
}

2.3 eBPF Helper函数：安全访问内核服务的唯一接口

eBPF程序不能直接调用内核函数，必须通过Helper函数来访问内核服务。每个Helper函数都有明确的签名和可访问的上下文，验证器会严格检查调用合法性。Helper函数是eBPF安全模型的核心——它限制了程序能做什么、不能做什么。

2.3.1 常用Helper函数分类

2.4 eBPF验证器：安全与稳定性的守门人

eBPF验证器是内核中一个静态代码分析器，在eBPF程序加载时执行。它确保程序不会导致内核崩溃、死锁或信息泄露。验证器的工作流程分为两个阶段：

1. 第一阶段：CFG（控制流图）检查 — 确保程序没有不可达代码、没有循环（除非有界且可证明终止）、没有异常跳转。
2. 第二阶段：指令级安全检查 — 模拟执行所有路径，检查指针合法性、边界访问、Helper函数参数类型匹配、栈大小限制（最大512字节）等。

2.4.1 验证器关键检查项

2.4.2 验证器对租户隔离的约束

验证器的严格检查对租户隔离方案设计提出了以下约束：

• 程序复杂度限制：验证器对指令数（通常不超过4096条）和栈大小（512字节）的限制，意味着租户策略逻辑必须精简高效。
• 无循环依赖：不能使用循环实现复杂的租户策略遍历，必须通过Map查找或尾调用（Tail Call）来扩展逻辑。
• 指针安全：租户程序不能直接访问内核内存，所有数据访问必须通过Helper函数，这天然防止了租户间的内存越界。
• Map访问隔离：验证器确保程序只能访问其加载时关联的Map，这是实现租户数据隔离的基础机制。

2.5 四大组件协同关系总结

eBPF程序类型、Map、Helper函数和验证器四者构成了一个闭环安全模型：

• 程序类型定义了能力边界和可用的Helper函数集合。
• Helper函数提供了安全访问内核服务的唯一通道，其参数和返回值类型受验证器严格检查。
• Map作为数据存储和交换的媒介，其访问权限由验证器在加载时绑定。
• 验证器在加载时确保整个程序（包括对Helper和Map的使用）是安全的，不会破坏内核稳定性。