📚 课程目录第2章 eBPF基础回顾

2. eBPF基础回顾：eBPF程序类型、Map机制、Helper函数在隔离场景中的作用

在深入租户隔离架构之前，必须厘清eBPF的三个核心基础构件——程序类型（Program Type）、Map机制与Helper函数。这三者共同决定了eBPF在隔离场景中的能力边界与实现路径。

2.1 eBPF程序类型：挂载点决定隔离粒度

eBPF程序类型本质上是内核预定义的事件挂载点。每种类型对应一个或一组内核子系统事件，程序挂载后在该事件触发时执行。在租户隔离场景中，不同程序类型提供了不同层次的观测与干预能力。

程序类型	挂载点	隔离场景作用
`BPF_PROG_TYPE_KPROBE`	内核函数入口/返回	监控系统调用、文件操作、网络栈行为，识别租户异常
`BPF_PROG_TYPE_TRACEPOINT`	内核静态跟踪点	捕获预定义事件（如`sys_enter`），低开销隔离审计
`BPF_PROG_TYPE_XDP`	网卡驱动层	租户网络流量早期过滤、DDoS防护、带宽隔离
`BPF_PROG_TYPE_SCHED_CLS`	TC（流量控制）	容器网络QoS、流量整形、租户间网络策略执行
`BPF_PROG_TYPE_CGROUP_SKB`	cgroup套接字	容器级网络访问控制，限制租户出站/入站流量
`BPF_PROG_TYPE_LSM`	Linux安全模块钩子	强制访问控制（MAC），实现租户资源隔离策略
`BPF_PROG_TYPE_PERF_EVENT`	性能计数器	租户CPU/内存使用率监控，资源超限检测

关键洞察：隔离场景中，BPF_PROG_TYPE_CGROUP_SKB与BPF_PROG_TYPE_LSM是控制平面最常用的两类程序类型。前者直接绑定到cgroup层级，天然支持容器级隔离；后者通过LSM钩子实现不可绕过的强制策略，适合多租户安全基线。

2.2 eBPF Map机制：隔离状态的共享与隔离

Map是eBPF程序与用户态控制平面之间共享数据的核心通道，也是隔离状态的存储载体。Map类型的选择直接影响隔离场景下的数据一致性、并发安全与性能。

2.2.1 常用Map类型与隔离适配

Map类型	数据结构	隔离场景适用性
`BPF_MAP_TYPE_HASH`	哈希表	租户ID→策略映射，适合动态配置
`BPF_MAP_TYPE_ARRAY`	固定大小数组	租户资源配额、计数器，低延迟访问
`BPF_MAP_TYPE_PERCPU_HASH`	Per-CPU哈希	租户流量统计，避免锁竞争
`BPF_MAP_TYPE_PERCPU_ARRAY`	Per-CPU数组	租户CPU时间片统计，无锁读取
`BPF_MAP_TYPE_LRU_HASH`	LRU淘汰哈希	租户连接跟踪，内存受限场景
`BPF_MAP_TYPE_RINGBUF`	环形缓冲区	租户事件日志，高效用户态通知

隔离陷阱：使用BPF_MAP_TYPE_HASH存储租户策略时，必须将租户ID作为Key的一部分（如struct { u32 tenant_id; u32 policy_id; }），否则不同租户的策略可能互相覆盖。Per-CPU类型虽然性能优异，但用户态读取时需要聚合所有CPU数据，存在时间窗口不一致问题。

2.2.2 Map隔离架构示意

下图展示了eBPF Map在租户隔离场景中的核心位置——它既是eBPF程序与用户态控制平面的数据桥梁，也是不同租户策略的隔离存储层。

2.3 Helper函数：安全的内核能力调用

Helper函数是eBPF程序与内核交互的唯一安全接口。eBPF程序不能直接调用内核函数，必须通过Helper函数完成数据获取、状态修改、事件通知等操作。在隔离场景中，Helper函数的选择决定了隔离策略的可实现性与安全性。

2.3.1 隔离场景关键Helper函数

Helper函数	功能	隔离场景用途
`bpf_get_current_cgroup_id()`	获取当前进程cgroup ID	识别租户归属，实现cgroup级隔离
`bpf_get_current_pid_tgid()`	获取PID/TGID	进程级隔离审计
`bpf_get_current_uid_gid()`	获取UID/GID	用户级隔离策略
`bpf_map_lookup_elem()`	查询Map元素	读取租户策略配置
`bpf_map_update_elem()`	更新Map元素	动态调整租户配额
`bpf_skb_set_mark()`	设置skb标记	网络流量染色，配合TC策略
`bpf_skb_cgroup_id()`	获取skb所属cgroup	网络包租户溯源
`bpf_perf_event_output()`	输出性能事件	租户行为日志上报
`bpf_get_ns_current_pid_tgid()`	获取命名空间内PID	容器内进程隔离识别

最佳实践：在LSM程序中使用bpf_get_current_cgroup_id()结合bpf_map_lookup_elem()，可以实现不可绕过的租户资源隔离。例如：在BPF_LSM_MAC__FILE_OPEN钩子中，根据当前cgroup ID查询Map中的文件访问白名单，拒绝越权访问。

2.4 三者的隔离协同关系

程序类型、Map机制、Helper函数在隔离场景中并非孤立工作，而是形成三层协同架构：

挂载层（程序类型）：决定隔离策略在哪个内核事件点生效，如网络入口（XDP）、系统调用（Kprobe）、文件访问（LSM）。
数据层（Map机制）：存储租户策略、配额、状态，支持用户态控制平面动态调整。
能力层（Helper函数）：提供安全的内核交互接口，使eBPF程序能获取上下文、查询策略、输出事件。

这种分层设计使得控制平面可以在用户态统一管理租户策略，而数据平面在内核态高效执行隔离逻辑，两者通过Map实现松耦合通信。

2.5 隔离场景中的关键约束

程序类型限制：并非所有程序类型都支持所有Helper函数。例如，XDP程序不能调用bpf_get_current_cgroup_id()，因为XDP运行在驱动层，尚无进程上下文。设计隔离策略时必须查阅程序类型→Helper可用性矩阵。
Map并发安全：多CPU同时访问Map时，BPF_MAP_TYPE_HASH存在隐式锁，但BPF_MAP_TYPE_ARRAY的更新操作不是原子的。隔离场景中建议使用BPF_MAP_TYPE_PERCPU_*避免锁竞争。
Helper函数开销：bpf_get_current_cgroup_id()涉及cgroup层级遍历，高频调用可能影响性能。在数据平面（如XDP）中应尽量减少此类调用，或通过Map缓存优化。
安全验证：eBPF验证器会检查Helper函数的参数合法性。隔离策略中传递的租户ID必须经过校验，防止注入攻击。

实战建议：在构建租户隔离系统时，优先选择BPF_PROG_TYPE_CGROUP_SKB + BPF_MAP_TYPE_PERCPU_HASH + bpf_get_current_cgroup_id()组合。这一组合天然支持容器级隔离，Per-CPU Map保证高性能统计，cgroup ID提供不可伪造的租户标识。