3、eBPF技术原理：eBPF虚拟机架构、eBPF程序类型（kprobe/tracepoint/xdp）、eBPF Map与数据传递

eBPF（extended Berkeley Packet Filter）是一项革命性的内核技术，允许用户在操作系统内核中安全、高效地运行沙箱化程序。在节点池容量规划场景中，eBPF 提供了零侵扰、高精度的观测能力，是构建现代云原生监控基础设施的核心基石。本节将深入剖析 eBPF 的虚拟机架构、主要程序类型以及关键的数据传递机制——eBPF Map。

3.1 eBPF 虚拟机架构

eBPF 并非直接运行用户编写的 C 代码，而是通过一个在内核中实现的轻量级虚拟机来执行经过验证的字节码。这个架构确保了即使程序逻辑有误，也不会导致内核崩溃或安全漏洞。

下图展示了 eBPF 程序从编写到挂载执行的完整生命周期与虚拟机架构：

eBPF 虚拟机具有以下关键特性：

• 寄存器模型： 提供 10 个通用寄存器（R0-R10），其中 R0 用于返回值，R1-R5 用于函数参数传递，R10 为栈帧指针。
• 指令集： 精简的 64 位 RISC 指令集，包含算术、逻辑、内存访问、跳转和辅助函数调用指令。
• 辅助函数（Helper Functions）： 程序不能直接调用内核函数，而是通过预定义的辅助函数安全地获取内核数据或执行特定操作。
• JIT 编译： 将 eBPF 字节码编译为本地机器码，实现接近原生内核模块的执行性能。

3.2 eBPF 程序类型

eBPF 程序必须挂载到特定的内核事件上才能被触发执行。不同的程序类型决定了程序可以访问的数据和上下文。在节点池观测场景中，最常用的三种类型是 kprobe、tracepoint 和 XDP。

3.2.1 kprobe 与 kretprobe

kprobe 允许动态地插入到几乎任何内核函数的指令之前（kprobe）或之后（kretprobe）。这对于调试和性能分析非常强大，但需要开发者对内核内部结构有深入了解。

// kprobe 示例：监控 tcp_connect 系统调用
SEC("kprobe/tcp_connect")
int kprobe__tcp_connect(struct pt_regs *ctx) {
    // 获取目标 IP 地址
    // 更新 eBPF Map 记录连接数
    return 0;
}

3.2.2 tracepoint

tracepoint 是内核开发者预定义的静态跟踪点，具有稳定的参数格式。使用 tracepoint 编写的 eBPF 程序在不同内核版本间具有更好的可移植性。

// tracepoint 示例：监控系统调用 enter
SEC("tracepoint/syscalls/sys_enter_execve")
int tracepoint__sys_enter_execve(struct trace_event_raw_sys_enter *ctx) {
    // 获取进程 PID 和命令名
    // 记录到 eBPF Map
    return 0;
}

3.2.3 XDP（eXpress Data Path）

XDP 是 Linux 内核中最高性能的数据包处理框架，它在网卡驱动层、甚至在 SKB（Socket Buffer）分配之前就处理数据包。这使得 XDP 能够实现极低的延迟和极高的吞吐量。

// XDP 示例：丢弃特定源 IP 的数据包
SEC("xdp")
int xdp_drop_ip(struct xdp_md *ctx) {
    // 解析以太网帧和 IP 头
    // 检查源 IP 是否在黑名单中
    // 返回 XDP_DROP 或 XDP_PASS
    return XDP_PASS;
}

3.3 eBPF Map 与数据传递

eBPF 程序本身是无状态的，无法在两次调用之间保存数据。eBPF Map 是内核中的一种高效键值存储结构，用于在 eBPF 程序之间、以及 eBPF 程序与用户态程序之间共享数据。

下图展示了 eBPF Map 在数据采集与传递中的核心地位：

常用的 eBPF Map 类型及其在节点池观测中的应用：

3.4 小结