2. eBPF 基础回顾：eBPF 程序生命周期、BPF 映射、BPF 辅助函数、BPF 类型格式 (BTF)
在深入 eBPF 网络观测与租户隔离之前，必须牢固掌握 eBPF 的核心基础。本节将系统回顾 eBPF 程序的完整生命周期、数据交互的 BPF 映射、内核交互的辅助函数，以及支撑可移植性的 BTF 机制。这些概念是后续构建跨环境迁移仪表盘对账的基石。
2.1 eBPF 程序生命周期
一个 eBPF 程序从编写到卸载，经历严格的验证、加载、附加与运行阶段。理解这一生命周期有助于诊断观测链路中的故障点。
| 阶段 | 关键动作 | 说明 |
|---|---|---|
| 编写 | 使用 C/Rust 编写 eBPF 内核态代码 | 受限于 eBPF 指令集与验证器约束，不能包含循环（除非有界）、内核函数调用（除辅助函数） |
| 编译 | clang/LLVM 生成 eBPF 字节码 | 目标架构为 bpfel/bpfeb，生成 .o 文件 |
| 验证 | 内核 BPF 验证器静态分析 | 检查控制流图、栈深度、指针安全、循环边界；拒绝任何可能使内核崩溃的程序 |
| 加载 | bpf() 系统调用将字节码注入内核 | 内核分配 BPF 程序对象，生成文件描述符 |
| 附加 | 将程序挂载到事件源（kprobe/tracepoint/xdp/tc 等） | 通过 libbpf / bpftool 或框架完成绑定 |
| 运行 | 事件触发时执行 eBPF 字节码 | 运行在 BPF 虚拟机中，可访问映射与辅助函数 |
| 卸载 | 关闭文件描述符或使用 bpftool detach | 内核释放程序对象，映射引用计数归零后自动销毁 |
关键点： 验证阶段是 eBPF 安全性的核心。在跨环境迁移中，不同内核版本的验证器行为可能略有差异，导致同一份字节码在 A 环境通过、在 B 环境被拒绝。BTF 与 CO-RE 正是为了解决此问题。
2.2 BPF 映射 (BPF Maps)
BPF 映射是 eBPF 程序与用户态、以及 eBPF 程序之间共享数据的核心结构。映射以键值对形式存储，支持多种类型，每种类型针对不同场景优化。
| 映射类型 | 用途 | 典型场景 |
|---|---|---|
BPF_MAP_TYPE_HASH |
通用哈希表，键值可变长 | 连接跟踪、流统计、配置查找 |
BPF_MAP_TYPE_ARRAY |
固定大小数组，索引为键 | 全局计数器、per-CPU 统计、尾调用表 |
BPF_MAP_TYPE_PERCPU_HASH |
每 CPU 哈希，减少锁竞争 | 高吞吐包计数、延迟直方图 |
BPF_MAP_TYPE_RINGBUF |
高性能环形缓冲区，支持可变长数据 | 事件日志、网络包采样、指标推送 |
BPF_MAP_TYPE_STACK_TRACE |
存储内核栈跟踪 | 性能剖析、异常路径诊断 |
实践建议： 在租户隔离场景中，建议为每个租户分配独立的映射实例（如 per-tenant hash map），或在映射键中嵌入租户 ID 字段。前者隔离性更强，后者资源利用率更高。仪表盘对账时，需确保映射的键空间不跨租户泄漏。
2.3 BPF 辅助函数 (BPF Helper Functions)
eBPF 程序不能直接调用内核函数，必须通过内核提供的辅助函数与系统交互。辅助函数是 eBPF 程序获取网络包数据、读取时间、操作映射、输出日志的唯一合法途径。
- 数据获取类：
bpf_get_current_pid_tgid()、bpf_get_current_comm()、bpf_ktime_get_ns()— 用于获取上下文信息与时间戳。 - 网络包操作类：
bpf_skb_load_bytes()、bpf_skb_store_bytes()、bpf_skb_pull_data()— 安全读取/修改网络包数据。 - 映射操作类：
bpf_map_lookup_elem()、bpf_map_update_elem()、bpf_map_delete_elem()— 所有映射访问的入口。 - 事件输出类：
bpf_perf_event_output()、bpf_ringbuf_output()— 将数据推送到用户态。 - 辅助决策类：
bpf_get_smp_processor_id()、bpf_get_numa_node_id()— 获取运行时拓扑信息。
兼容性注意： 不同内核版本支持的辅助函数集合不同。在跨环境迁移时，必须检查目标内核的
/sys/kernel/debug/tracing/available_helpers 或使用 BTF 信息确认函数可用性。使用不存在的辅助函数会导致加载失败。
2.4 BPF 类型格式 (BTF)
BTF (BPF Type Format) 是 eBPF 生态实现 一次编译、到处运行 (CO-RE) 的核心技术。BTF 将内核数据结构布局、函数签名、枚举值等类型信息以紧凑的二进制格式嵌入内核或 BPF 对象中。
| 特性 | 无 BTF 的传统方式 | 有 BTF 的 CO-RE 方式 |
|---|---|---|
| 字段偏移 | 硬编码在字节码中，内核版本升级后失效 | 通过 BPF CO-RE 重定位，运行时自动调整 |
| 结构体大小 | 假设固定，实际可能因内核配置变化 | BTF 提供精确大小，验证器自动校验 |
| 枚举值 | 手动维护常量表，容易过时 | 直接引用 BTF 枚举，编译时解析 |
| 跨版本兼容 | 需要为每个内核版本单独编译 | 一份 ELF 文件兼容多个内核版本 |
对账场景价值： 在跨环境迁移中，源端与目标端的内核版本、结构体布局可能不同。BTF + CO-RE 确保同一份 eBPF 观测程序在两端加载后，访问的
struct sk_buff、struct sock 等字段偏移自动修正，仪表盘对账数据不会因内核差异而产生结构性偏差。