3. 控制平面接口基础：bpf() 系统调用详解

在 eBPF 租户隔离架构中，控制平面是用户态与内核态 eBPF 子系统交互的唯一通道。所有程序加载、映射创建、事件绑定等操作，最终都通过同一个系统调用入口——bpf() 完成。理解 bpf() 的调用语义与关键命令，是构建租户隔离策略的基石。

3.1 bpf() 系统调用总览

bpf() 是一个多路复用的系统调用，原型定义在 linux/bpf.h 中：

#include <linux/bpf.h>

int bpf(int cmd, union bpf_attr *attr, unsigned int size);

3.2 BPF_PROG_LOAD：程序加载的核心命令

BPF_PROG_LOAD 是使用最频繁的命令，负责将用户态编写的 eBPF 字节码加载到内核，并完成验证、JIT 编译与挂载准备。其关键字段如下：

3.3 BPF_MAP_CREATE：映射创建与数据平面基础

映射（Map）是 eBPF 程序与用户态、程序与程序之间共享数据的核心结构。BPF_MAP_CREATE 命令用于创建各类映射实例：

// 典型 BPF_MAP_CREATE 调用示例（C 语言）
union bpf_attr attr = {
    .map_type    = BPF_MAP_TYPE_HASH,
    .key_size    = sizeof(__u32),
    .value_size  = sizeof(struct tenant_metrics),
    .max_entries = 1024,
    .map_flags   = BPF_F_NO_PREALLOC,
};
strncpy((char *)&attr.map_name, "tenant_metrics", 16);
int map_fd = bpf(BPF_MAP_CREATE, &attr, sizeof(attr));

3.4 关键命令对比与调用流程

除 BPF_PROG_LOAD 和 BPF_MAP_CREATE 外，控制平面还包含多个辅助命令。下表列出与租户隔离最相关的命令：

3.5 控制平面与数据平面的联动关系

控制平面通过 bpf() 系统调用完成配置与编排，而数据平面则在内核中通过映射和程序直接处理网络包或事件。两者通过以下机制联动：

• 映射共享： 控制平面通过 BPF_MAP_UPDATE_ELEM 写入配置，数据平面程序通过 bpf_map_lookup_elem() 辅助函数读取。
• 程序挂载： 控制平面通过 BPF_PROG_ATTACH 将程序绑定到 cgroup、网络设备或 tracepoint，数据平面随后自动触发执行。
• 事件通知： 数据平面通过 bpf_perf_event_output() 将事件推送到用户态，控制平面通过 perf 环形缓冲区或 BPF 迭代器消费。

3.6 租户隔离视角下的调用约束

在多租户环境中，bpf() 系统调用的每个命令都需要附加隔离约束：

• BPF_PROG_LOAD： 必须校验程序类型是否在租户允许的白名单内；限制 insn_cnt 防止恶意大程序；通过 log_buf 大小限制防止内核内存泄露。
• BPF_MAP_CREATE： 按租户配额限制 max_entries 和 value_size；强制使用 BPF_F_NO_PREALLOC 避免预分配耗尽内存。
• BPF_PROG_ATTACH： 仅允许租户将程序挂载到其所属的 cgroup 或网络命名空间内，禁止跨租户挂载。
• BPF_OBJ_PIN / BPF_OBJ_GET： 使用租户隔离的 bpffs 路径前缀（如 /sys/fs/bpf/tenant-{id}/），防止对象泄露。