1. 课程导论：eBPF 技术背景、Hubble 项目简介、节点池巡检与告警联动的价值
1.1 eBPF 技术背景：从内核可观测性到网络安全的基石
eBPF（extended Berkeley Packet Filter）是一项革命性的 Linux 内核技术，它允许用户在无需修改内核源码或加载内核模块的情况下，安全、高效地注入自定义的沙箱程序。eBPF 程序通过内核验证器（verifier）的严格检查后，由即时编译器（JIT）转换为原生机器码执行，从而在保证安全性的同时，提供接近原生的性能。
在云原生环境中，eBPF 已成为网络可观测性、性能分析和安全监控的事实标准。其核心优势在于：
- 零侵入性：无需修改应用代码或重启服务，即可捕获系统调用、网络数据包、函数执行等内核事件。
- 高性能：事件处理路径完全在内核态完成，避免了传统用户态代理带来的上下文切换和数据拷贝开销。
- 可编程性：通过 C / Rust / Go 等语言编写 eBPF 程序，动态挂载到 kprobe、tracepoint、XDP、TC 等钩子点。
关键指标： 在生产环境中，基于 eBPF 的网络监控方案相比传统 sidecar 代理，CPU 开销降低约 60%–80%，内存占用减少 50% 以上，延迟增加通常小于 5%。
1.2 Hubble 项目简介：Cilium 生态中的网络可观测性引擎
Hubble 是 Cilium 开源项目原生的网络可观测性层，它利用 eBPF 技术深度捕获 Kubernetes 集群中的网络流量、服务依赖和身份信息。Hubble 不仅提供实时的流量可视化，还支持基于流（Flow）的审计日志、DNS 监控、HTTP/gRPC 协议解析以及安全策略的实时验证。
Hubble 的核心组件与功能：
| 组件 | 功能描述 | 数据来源 |
|---|---|---|
| Hubble Agent | 运行在每个 Kubernetes 节点上，通过 eBPF 程序捕获节点上所有 Pod 的网络流量，生成流事件。 | Cilium eBPF 数据路径 |
| Hubble Relay | 集群级聚合层，从所有 Hubble Agent 收集流事件，提供全局查询和过滤能力。 | gRPC 流 |
| Hubble UI | 基于 Web 的可视化界面，展示服务拓扑、实时流量、策略执行状态。 | Relay API |
| hubble CLI | 命令行工具，支持实时观察流量、导出 JSON 格式的流日志、执行过滤查询。 | Relay / Agent gRPC |
| Hubble Metrics | 暴露 Prometheus 格式的指标，包括流量速率、丢包率、TCP 状态、DNS 延迟等。 | Agent 内部计数器 |
实践要点： Hubble 的流事件包含完整的 5 元组（源/目的 IP、端口、协议）、Kubernetes 身份标签（Pod、Service、Namespace）、应用层协议信息（HTTP 方法、路径、返回码、gRPC 状态码）以及 Verdict（允许/拒绝/丢弃）。这些字段是后续告警联动的基础数据源。
1.3 节点池巡检与告警联动的价值
在大型 Kubernetes 集群中，节点池（Node Pool）通常承载着不同敏感等级或业务属性的工作负载。传统的网络监控方案往往以集群或 Namespace 为粒度，缺乏对节点池级别的精细化流量审计和异常检测能力。本课程提出的“节点池巡检”方案，旨在解决以下核心痛点：
- 流量审计粒度粗：无法区分同一集群内不同节点池的流量行为基线，导致误报率高。
- 告警上下文缺失：安全告警仅包含 IP 和端口，缺乏 Kubernetes 身份标签和策略执行结果，难以快速定位问题 Pod。
- 巡检效率低：依赖人工登录节点执行 tcpdump 或查看日志，无法实现周期性、自动化的节点池健康检查。
通过 Hubble 流事件与节点池标签的关联，我们可以构建一个自动化的巡检与告警联动体系：
| 能力维度 | 传统方案 | 本课程方案（eBPF + Hubble） |
|---|---|---|
| 数据采集 | sidecar 代理 / 用户态抓包 | 内核态 eBPF 零侵入采集 |
| 审计粒度 | 集群 / Namespace | 节点池 + Pod + Service + 身份标签 |
| 告警上下文 | 5 元组 + 时间戳 | 5 元组 + 身份标签 + Verdict + 应用协议字段 |
| 巡检方式 | 手动 / 定时脚本 | 自动化流分析 + 基线对比 + 策略验证 |
| 告警联动 | 独立告警系统，无关联 | Hubble 事件 → 告警引擎 → 自动隔离 / 策略更新 |
注意： 节点池巡检并非简单的流量统计，而是需要结合 Cilium NetworkPolicy 的执行结果（Verdict）来判断流量是否合规。例如，一个节点池内的 Pod 如果频繁出现 DROPPED 状态的流事件，可能意味着策略配置错误或存在横向移动攻击。
本课程将带领学员从零搭建基于 Hubble 的节点池巡检系统，涵盖 eBPF 数据采集、Hubble 流事件处理、Prometheus 指标暴露、告警规则配置以及自动化联动响应。通过本课程的学习，学员将掌握：
- 如何利用 Hubble CLI 和 API 获取节点池级别的流量审计数据。
- 如何编写 PromQL 查询语句，检测节点池流量异常（如突发 DNS 查询、非标准端口通信、大量 DROPPED 事件）。
- 如何将 Hubble 事件与 Alertmanager、PagerDuty 等告警系统联动，实现秒级响应。
- 如何通过 Cilium 的 NetworkPolicy 和 Hubble 的 Verdict 字段，验证节点池安全策略的有效性。
课程产出： 一套完整的、可直接部署在生产环境的节点池巡检与告警联动方案，包含 Hubble 配置模板、Prometheus 告警规则、Grafana 巡检仪表盘以及自动化响应脚本。