1. 课程导论：Loki快照与eBPF网络观测概述、课程目标与受众、整体架构图
1.1 课程背景与核心痛点
在云原生微服务架构中，网络观测面临三大挑战：
- 数据爆炸：容器网络流量每秒产生TB级数据，传统日志系统存储成本高昂。
- 观测盲区：内核态网络事件（如TCP重传、丢包、连接队列溢出）难以被用户态工具捕获。
- 回退风险：节点池升级或配置变更后，缺乏快速回退到“已知正常状态”的机制。
本课程提出Loki快照 + eBPF网络观测的联合方案：利用eBPF在内核态零侵扰采集网络指标，通过Loki快照实现低成本、可回溯的节点池巡检与回退演练。
核心价值：将eBPF的实时观测能力与Loki的长期存储/快照回退能力结合，构建“观测-巡检-回退”闭环。
1.2 课程目标与受众
| 角色 | 学习目标 | 前置知识 |
|---|---|---|
| SRE / 运维工程师 | 掌握Loki快照配置、eBPF网络指标采集、节点池巡检自动化、回退演练流程 | Kubernetes基础、Prometheus/Loki基本使用 |
| 可观测性工程师 | 理解eBPF网络观测数据模型、Loki快照存储策略、巡检基线设计 | Linux网络协议栈基础、Grafana使用经验 |
| 平台架构师 | 评估eBPF+Loki快照方案在集群规模下的性能与成本，设计回退演练架构 | 云原生架构设计、容量规划经验 |
1.3 整体架构图
下图展示了本课程的核心架构：eBPF探针采集内核网络事件，经Promtail推送至Loki；Loki快照模块定期对节点池网络指标做“时间点快照”；巡检引擎对比快照基线，触发回退演练。
1.4 课程核心模块
本课程共30章，分为四大模块：
- 基础篇（第1-8章）：Loki快照原理、eBPF网络观测基础、环境搭建。
- 观测篇（第9-16章）：eBPF采集TCP/UDP/DNS指标、Loki快照策略配置、Grafana可视化。
- 巡检篇（第17-24章）：节点池巡检基线设计、自动化巡检流水线、异常告警。
- 回退篇（第25-30章）：快照回退演练设计、节点池回滚验证、混沌工程结合。
实验环境：课程提供基于Kind的3节点K8s集群 + eBPF CO-RE探针 + Loki 2.9+ 的完整部署脚本，所有操作可在本地笔记本完成。
1.5 关键技术栈
| 组件 | 版本 | 作用 |
|---|---|---|
| Loki | ≥ 2.9 | 日志存储、快照管理、查询 |
| eBPF (Cilium / libbpf) | CO-RE | 内核网络事件采集（tcp_connect, tcp_retransmit, skb_drop等） |
| Promtail | ≥ 2.9 | eBPF指标格式转换、推送至Loki |
| Grafana | ≥ 10 | 巡检仪表盘、快照对比视图 |
| Kubernetes | ≥ 1.27 | 节点池管理、Pod网络命名空间 |
1.6 课程产出
- 一套可复用的eBPF网络观测指标采集器（含源码与部署YAML）。
- 一套Loki快照巡检流水线（GitOps + Argo Workflows）。
- 一套节点池回退演练剧本（含混沌工程注入与快照恢复验证）。
- 一份巡检基线设计模板（TCP重传率、连接成功率、DNS延迟等SLO）。
注意：本课程所有eBPF探针均基于CO-RE（Compile Once, Run Everywhere）技术，无需在目标节点安装内核头文件，但要求内核版本 ≥ 5.10。