2. eBPF 基础回顾：程序类型、Map 机制、验证器与 JIT 编译
在深入网络观测与租户隔离之前，必须重新夯实 eBPF 的核心基础。本章聚焦于 eBPF 程序的挂载类型、数据交换的 Map 机制、安全准入的验证器以及性能关键的 JIT 编译。这四个模块构成了 eBPF 在 Linux 内核中安全、高效运行的基石。
2.1 eBPF 程序类型：挂载点与执行上下文
eBPF 程序并非独立运行，而是挂载到内核的特定事件或路径上。不同的程序类型决定了其触发时机、可访问的上下文以及能力范围。在网络观测场景中，最核心的三种类型是 XDP、TC 和 kprobe。
| 程序类型 | 挂载点 | 触发时机 | 核心能力 | 典型场景 |
|---|---|---|---|---|
| XDP | 网卡驱动层（最早） | 数据包到达网卡，未进入协议栈 | 高速丢包、转发、重写、封装 | DDoS 防御、负载均衡、包过滤 |
| TC | 内核协议栈（ingress/egress） | 数据包进入/离开协议栈 | 流量整形、QoS、隧道封装、包修改 | 容器网络策略、带宽控制、CNI 插件 |
| kprobe | 内核函数入口/出口 | 任意内核函数被调用时 | 动态插桩、观测内核行为、参数/返回值捕获 | 系统调用追踪、函数延迟分析、内核 Bug 定位 |
选型建议： 在租户隔离场景中，XDP 用于租户入口的快速过滤与限速，TC 用于协议栈内的流量标记与策略执行，kprobe 则用于观测控制平面与数据平面的交互延迟。
2.2 BPF Map 机制：内核与用户态的数据桥梁
BPF Map 是 eBPF 程序与用户态程序之间、以及不同 eBPF 程序之间交换数据的核心数据结构。它本质上是一个键值存储，由内核管理，支持多种类型以满足不同场景。
- 哈希表 (BPF_MAP_TYPE_HASH)：基于键的快速查找，适用于动态配置、会话状态、租户策略表。
- 数组 (BPF_MAP_TYPE_ARRAY)：固定大小，索引访问，适用于计数器、统计信息、全局标志。
- Per-CPU 数组/哈希 (BPF_MAP_TYPE_PERCPU_ARRAY / PERCPU_HASH)：每个 CPU 独立副本，消除锁竞争，适用于高性能计数器。
- 程序数组 (BPF_MAP_TYPE_PROG_ARRAY)：存储其他 eBPF 程序的 fd，实现尾调用 (Tail Call)，用于构建可组合的处理流水线。
- 环形缓冲区 (BPF_MAP_TYPE_RINGBUF)：高效、有序、支持可变长度数据的用户态通知机制，替代 perf_event_array。
Map 操作关键点：
- 原子性： 内核侧对 Map 的更新操作是原子的，但用户态与内核态并发访问时需注意一致性。
- 并发控制： Per-CPU 类型天然无锁；哈希表在并发更新时可能触发内核内部锁，需评估性能影响。
- 生命周期： Map 由持有其文件描述符的进程管理。若用户态进程退出且未关闭 fd，Map 会被销毁。可通过 BPF 文件系统 (bpffs) 实现持久化。
2.3 BPF 验证器：安全准入的守门人
BPF 验证器是 eBPF 安全模型的核心。它确保加载到内核的 eBPF 程序不会导致内核崩溃、死锁或信息泄露。验证过程分为两个阶段：
- 第一阶段：静态检查 (Check)
- 确保程序不会访问超出栈或数据包范围的内存。
- 确保程序不会执行未初始化的寄存器或内存。
- 确保程序不会包含循环（除非有界且可证明终止）。
- 确保程序不会调用被禁止的内核辅助函数。
- 第二阶段：有向无环图 (DAG) 检查
- 将程序的控制流图转换为 DAG，模拟所有可能的执行路径。
- 跟踪每个寄存器和栈槽的状态（类型、范围、可空性）。
- 确保所有路径上的内存访问都是安全的。
验证器常见拒绝原因：
- 未初始化变量： 读取未赋值的寄存器或栈变量。
- 越界访问： 访问数据包或 Map 时索引超出范围。
- 不可达循环： 循环次数无法在编译时确定。
- 指针泄漏： 将内核指针传递给用户态。
- 辅助函数参数错误： 传递了类型不匹配的参数。
2.4 JIT 编译：从字节码到原生指令
JIT (Just-In-Time) 编译器将 eBPF 字节码转换为目标 CPU 的原生机器指令，从而消除解释执行的开销，实现接近原生内核模块的性能。
- 工作原理： 在程序加载时，JIT 编译器将 eBPF 指令一一映射为 x86_64、ARM64 等架构的指令，并进行寄存器分配、指令选择等优化。
- 性能收益： 相比解释执行，JIT 编译通常能带来 3-10 倍 的性能提升，尤其是在数据包处理路径上。
- 调试与可观测性： 可通过
/proc/net/bpf_jit_enabled查看 JIT 状态。内核也提供了bpf_jit_dump等调试接口，用于输出生成的机器码。
性能优化提示： 在容器化或虚拟化环境中，确保宿主机内核开启了 BPF JIT 编译（通常默认开启）。对于延迟敏感的网络观测程序，JIT 是必须启用的特性。
2.5 综合对比：程序类型与 Map 的协同
在实际的租户隔离方案中，单一程序类型往往无法满足所有需求。通常需要多种程序类型与 Map 协同工作，形成完整的数据处理链路。
| 协同模式 | 程序 A | 程序 B | 共享 Map | 典型用途 |
|---|---|---|---|---|
| XDP → TC 流水线 | XDP (ingress) | TC (ingress) | Per-CPU 数组 (传递标记) | XDP 快速过滤后，TC 执行精细化策略 |
| kprobe 观测 + XDP 控制 | kprobe (内核函数) | XDP (网卡驱动) | 哈希表 (动态黑名单) | kprobe 检测到异常行为，动态更新 XDP 的过滤规则 |
| TC 标记 + 用户态读取 | TC (egress) | 用户态程序 | 环形缓冲区 (事件通知) | TC 记录每个租户的流量统计，通过 Ringbuf 实时推送给用户态监控 |
性能关键路径： 在 XDP 或 TC 中访问 Map 时，优先使用 Per-CPU 类型 以避免锁竞争。对于需要跨 CPU 共享的数据（如全局租户策略），使用 BPF_MAP_TYPE_HASH 并注意更新频率。用户态读取 Map 时，使用 BPF_F_MMAPABLE 标志可减少系统调用次数。