2、eBPF核心技术：eBPF程序类型、eBPF Map与Helper、eBPF在内核网络路径中的钩子点

eBPF（extended Berkeley Packet Filter）是Linux内核中一种革命性的沙箱技术，它允许用户在不修改内核源码或加载内核模块的情况下，安全、高效地注入自定义程序。在节点池容量规划场景中，eBPF是Hubble流量模型的数据采集基石。理解eBPF的程序类型、数据交互机制（Map与Helper）以及内核网络路径中的钩子点，是构建精准流量模型的前提。

2.1 eBPF程序类型：按功能域划分

eBPF程序类型决定了程序可以挂载的位置、可访问的上下文以及允许调用的Helper函数。不同的程序类型服务于不同的内核子系统。下表列出了与网络监控和节点池容量规划最相关的几种类型：

2.2 eBPF Map与Helper：程序与内核的桥梁

eBPF程序本身是无状态的，它通过 eBPF Map 实现数据持久化、状态共享以及用户空间通信。Map是内核中的键值存储结构，支持多种数据类型。Helper函数则是eBPF程序与内核交互的唯一合法接口。

2.2.1 核心Map类型

2.2.2 关键Helper函数

Helper函数让eBPF程序能够安全地读取内核状态、操作Map或生成事件。以下是与网络监控密切相关的Helper：

• bpf_map_lookup_elem / bpf_map_update_elem：对Map进行读写操作，是数据聚合的基础。
• bpf_perf_event_output：将数据通过perf事件或Ringbuf发送到用户空间，Hubble依赖此接口获取实时流。
• bpf_skb_load_bytes / bpf_skb_store_bytes：读取或修改网络包数据，用于解析协议头。
• bpf_get_current_cgroup_id：获取当前进程所属的CGroup ID，用于关联Pod。
• bpf_ktime_get_ns：获取高精度时间戳，用于计算延迟和速率。

2.3 eBPF在内核网络路径中的钩子点

eBPF程序通过挂载到内核网络路径的特定钩子点来捕获和处理数据包。理解这些钩子点的位置和顺序，对于设计流量采集策略至关重要。下图展示了数据包从网卡到用户空间socket的完整路径及eBPF可挂载的关键钩子点：

2.3.1 钩子点优先级与数据可见性

不同钩子点对数据包的可见性和修改能力不同，这直接影响流量模型的精度：

• XDP：在分配skb之前执行，只能看到原始帧，无法使用skb相关Helper。适合做包过滤和简单统计。
• TC (Ingress/Egress)：在协议栈内部执行，可以访问完整的skb结构，支持修改包内容、标记、重定向。是Hubble采集Pod流量的主要钩子点。
• CGroup SKB：在Socket层执行，可以精确关联到CGroup（即Pod），适合做Pod级别的流量策略和统计。
• KPROBE/TRACING：不直接处理数据包，而是监控内核函数调用（如 tcp_v4_do_rcv），用于采集连接级指标（延迟、重传、窗口大小）。

2.4 综合架构：eBPF在Hubble流量模型中的位置

下图展示了eBPF程序、Map、Helper以及钩子点如何协同工作，构成Hubble流量模型的数据采集层：

2.5 实战要点：编写网络监控eBPF程序

以下是一个简化的eBPF代码片段，展示如何在TC钩子点统计Pod的入向流量，并将结果写入PERCPU_HASH Map：

// tc_ingress_stats.c (简化示例)
#include <linux/bpf.h>
#include <linux/pkt_cls.h>
#include <bpf/bpf_helpers.h>

// 定义每CPU哈希表，key为cgroup_id，value为字节计数
struct {
    __uint(type, BPF_MAP_TYPE_PERCPU_HASH);
    __uint(max_entries, 1024);
    __type(key, __u64);
    __type(value, __u64);
} pod_ingress_bytes SEC(".maps");

SEC("tc")
int tc_ingress_func(struct __sk_buff *skb) {
    __u64 cgroup_id = bpf_get_current_cgroup_id();
    __u64 *bytes = bpf_map_lookup_elem(&pod_ingress_bytes, &cgroup_id);
    if (bytes) {
        __sync_fetch_and_add(bytes, skb->len);
    } else {
        __u64 initial = skb->len;
        bpf_map_update_elem(&pod_ingress_bytes, &cgroup_id, &initial, BPF_NOEXIST);
    }
    return TC_ACT_OK;
}

char _license[] SEC("license") = "GPL";