2. eBPF基础回顾：程序类型、Map机制、Helper函数与内核钩子

在构建租户隔离控制平面之前，必须重新梳理eBPF的四大核心支柱：程序类型决定了eBPF能做什么；Map机制决定了数据如何在eBPF程序与用户态之间流动；Helper函数是eBPF安全访问内核功能的唯一通道；内核钩子决定了eBPF程序何时被触发。本节从隔离架构视角重新审视这些基础概念。

2.1 eBPF程序类型：按功能域分类

eBPF程序类型本质上是内核预定义的“沙箱模板”，每种类型限定了可访问的内核上下文、可调用的Helper函数集合以及可附加的钩子位置。截至Linux 6.x，内核支持超过30种程序类型。下表列出与租户隔离最相关的核心类型：

2.2 Map机制：跨程序与跨层级的数据交换

eBPF Map是内核中的键值存储结构，是eBPF程序之间、eBPF程序与用户态控制平面之间交换数据的核心通道。Map的类型决定了数据访问的语义与并发模型。

2.2.1 常用Map类型对比

2.2.2 Map操作的关键API

// 用户态控制平面：更新租户策略
int tenant_id = 1001;
struct policy_entry entry = { .allow = 1, .rate_limit = 1000 };
bpf_map_update_elem(map_fd, &tenant_id, &entry, BPF_ANY);

// eBPF内核程序：查找租户策略
struct policy_entry *entry;
entry = bpf_map_lookup_elem(&tenant_policy_map, &tenant_id);
if (entry && entry->allow) {
    // 执行允许逻辑
}

2.3 Helper函数：受限的内核功能调用接口

eBPF程序不能直接调用内核函数，必须通过内核预定义的Helper函数。每个Helper函数都有明确的参数类型、返回值和可调用上下文。Helper函数是eBPF安全模型的核心——它限制了eBPF程序能“做什么”以及“做到什么程度”。

2.3.1 与租户隔离高度相关的Helper函数

2.4 内核钩子：eBPF程序的触发时机

内核钩子是eBPF程序“附着”在内核执行路径上的具体位置。钩子的选择直接决定了隔离策略的生效时机和覆盖范围。从隔离架构角度看，钩子可以分为三类：

• 网络路径钩子： XDP（网卡驱动层）、TC（协议栈入口/出口）、套接字过滤器（Socket Filter）、cgroup套接字（cgroup_skb）。这些钩子覆盖了从物理网卡到容器网络命名空间的完整路径。
• 系统调用钩子： kprobe（动态探针）、tracepoint（静态跟踪点）。用于监控租户进程的敏感系统调用，如 open、execve、connect。
• 安全子系统钩子： LSM（Linux Security Module）钩子，如 file_permission、task_alloc、socket_connect。这些钩子位于内核安全决策点，可以实现强制访问控制。

2.5 核心组件关系图

下图展示了eBPF程序、Map、Helper函数与内核钩子之间的协作关系，以及它们如何共同支撑租户隔离控制平面：

2.6 从基础到隔离架构的映射

理解上述基础组件后，可以建立从eBPF基础概念到租户隔离架构的映射关系：

• 程序类型 → 隔离边界： 每种程序类型对应一个内核子系统边界。选择正确的程序类型就是定义隔离策略的生效范围。
• Map → 隔离状态： Map存储租户ID到策略的映射、租户级别的计数器、连接跟踪表。Map的并发模型直接影响隔离策略的性能。
• Helper函数 → 隔离原语： bpf_get_current_cgroup_id() 是识别租户身份的核心原语；bpf_redirect() 是实现流量隔离的转发原语。
• 内核钩子 → 隔离时机： 钩子的位置决定了隔离策略是在数据包到达网卡时执行（XDP），还是在系统调用返回用户空间前执行（LSM）。