1. 课程导论：eBPF与Hubble概述、节点池扩缩容的挑战、课程目标与前置知识
1.1 为什么需要eBPF网络观测？
在Kubernetes集群中，网络流量是反映应用健康、服务依赖和资源压力的“第一手信号”。传统网络观测手段（如iptables日志、tcpdump离线抓包、Sidecar代理指标）存在三大痛点：观测盲区大（内核态数据丢失）、性能开销高（上下文切换频繁）、语义缺失（无法关联Pod与TCP流）。
eBPF（extended Berkeley Packet Filter）技术允许在内核中安全地运行沙箱程序，无需修改内核源码或加载内核模块。它能够以极低的开销捕获网络数据包、系统调用和内核事件，并将这些原始事件转化为具有Kubernetes语义的观测数据。
核心价值：eBPF将网络观测从“黑盒”变为“透明内核管道”，为节点池扩缩容提供实时、精准的流量证据。
1.2 Hubble：eBPF网络观测的“数据透镜”
Hubble是Cilium项目开源的eBPF网络观测层，它基于Cilium的eBPF数据路径，提供以下关键能力：
- 服务地图（Service Map）：自动发现集群内所有服务间的TCP/UDP连接关系。
- 流量指标：每秒包数、字节数、TCP RTT、丢包率、重传率。
- DNS监控：捕获Pod发起的DNS查询与响应。
- HTTP/gRPC协议解析：提取请求延迟、状态码、方法路径。
- 身份感知：所有流量自动关联源/目的Pod、Service、Namespace、标签。
| 维度 | 传统观测（Prometheus + kube-proxy） | Hubble（eBPF原生） |
|---|---|---|
| 数据捕获点 | 用户态（Sidecar/Node Exporter） | 内核态（XDP/TC hook点） |
| 性能开销 | 高（上下文切换 + 数据拷贝） | 极低（零拷贝 + 内核旁路） |
| 协议解析深度 | 需配置Sidecar或Proxy | 内核原生解析HTTP/2、gRPC、DNS |
| Pod级关联 | 依赖标签匹配，延迟高 | 直接通过BPF map实时关联 |
| 扩缩容决策支持 | 指标滞后，缺乏连接级信号 | 实时连接数、RTT、重传率 |
课程重点：本课程将深入Hubble的eBPF数据采集管道，教你如何从Hubble Metrics API中提取“连接风暴”、“延迟飙升”、“重传雪崩”等扩缩容关键信号。
1.3 节点池扩缩容的挑战
在Kubernetes集群中，节点池（Node Pool）扩缩容通常依赖CPU/内存利用率等资源型指标。但在生产环境中，这种策略存在严重缺陷：
- 响应滞后：CPU飙高时，流量洪峰已经到达，Pod启动和节点注册需要分钟级时间。
- 信号失真：内存泄漏导致OOM，但CPU利用率可能正常，无法触发扩容。
- 缺乏网络视角：连接数激增、TCP重传率飙升、DNS解析失败等网络信号被完全忽略。
- 缩容误判：CPU下降但仍有长连接存活，盲目缩容导致连接中断。
典型事故场景：某电商平台大促期间，CPU利用率仅60%，但TCP连接数达到节点上限（Pod CIDR耗尽），导致新Pod调度失败，服务雪崩。事后分析发现，Hubble的“连接数/秒”指标在CPU飙升前5分钟就已预警。
1.4 课程目标
通过本课程，你将掌握以下核心能力：
- 部署与配置：在生产集群中部署Cilium + Hubble，开启eBPF网络观测。
- 数据采集：使用Hubble Metrics API采集连接数、RTT、重传率、DNS延迟等关键指标。
- 信号建模：设计基于网络指标的“扩缩容信号”模型（如连接风暴检测、延迟阈值触发）。
- 自动化决策：编写Operator或控制器，将Hubble数据输入Cluster Autoscaler，驱动节点池扩缩容。
- 实战演练：在模拟高并发场景中验证基于网络信号的扩缩容效果。
1.5 前置知识要求
为了获得最佳学习体验，建议你具备以下基础：
| 领域 | 具体要求 | 推荐资源 |
|---|---|---|
| Kubernetes | 熟悉Pod、Service、Node、Deployment、DaemonSet等核心资源；了解kube-scheduler和Cluster Autoscaler基本原理 | 《Kubernetes in Action》第1-10章 |
| Linux网络 | 理解TCP/IP协议栈、socket编程、网络命名空间；了解iptables/netfilter基本概念 | 《TCP/IP详解》卷1 |
| eBPF基础 | 了解eBPF程序类型（XDP、TC、Kprobe）、BPF Map、BPF Verifier；不要求编写eBPF代码 | 《Learning eBPF》第1-4章 |
| Prometheus | 能够编写PromQL查询语句；了解ServiceMonitor和PodMonitor配置 | Prometheus官方文档 |
| Go语言 | 能够阅读和理解Go代码；了解gRPC客户端调用 | 《The Go Programming Language》 |
学习建议：如果你对eBPF完全陌生，不必担心。本课程第2章会提供完整的eBPF概念速览，并附带一个“Hello eBPF”实验环境，帮助你快速上手。