2. eBPF 基础：程序类型、验证器、映射与辅助函数

eBPF（extended Berkeley Packet Filter）是 Linux 内核中一种革命性的沙箱化运行时技术，允许用户在不修改内核源码或加载内核模块的情况下，安全高效地注入自定义程序。本章将深入剖析 eBPF 的四大核心组件：程序类型、验证器、映射和辅助函数，为后续构建网络观测与容器性能分析工具奠定基础。

2.1 eBPF 程序类型

eBPF 程序类型决定了程序挂载的内核事件源以及可访问的数据上下文。每种类型都对应特定的内核钩子（hook），例如网络数据包、系统调用、内核函数入口/出口等。选择合适的程序类型是构建高效观测工具的第一步。

2.2 eBPF 验证器

eBPF 验证器（Verifier）是内核中确保程序安全性的静态分析引擎。任何 eBPF 程序在加载时都必须通过验证器的严格检查，以防止程序导致内核崩溃、死锁或信息泄露。验证器主要执行以下两类检查：

• 控制流完整性（CFI）： 验证程序不存在无限循环、不可达代码、越界跳转。程序必须是有向无环图（DAG），确保执行路径有限且可预测。
• 内存安全： 检查所有内存访问（读/写）是否在合法边界内，包括栈、映射和上下文数据。禁止解引用未初始化的指针或访问越界数据。

2.3 eBPF 映射

eBPF 映射（Map）是内核与用户空间之间、以及不同 eBPF 程序之间共享数据的关键数据结构。映射本质上是内核中的键值存储，支持多种类型以满足不同场景需求。

2.4 eBPF 辅助函数

eBPF 辅助函数（Helper Functions）是内核提供给 eBPF 程序的一组安全 API，用于执行受限的操作，如数据包修改、映射操作、获取当前时间、打印日志等。辅助函数是 eBPF 程序与内核交互的唯一合法途径。

以下是在容器网络观测中常用的辅助函数：

• bpf_map_lookup_elem / bpf_map_update_elem： 对映射进行读写操作，是数据共享的基础。
• bpf_get_current_pid_tgid / bpf_get_current_comm： 获取当前进程的 PID、TGID 和进程名，用于关联容器与进程。
• bpf_skb_load_bytes / bpf_skb_store_bytes： 安全读取/修改网络数据包内容，用于协议解析和包编辑。
• bpf_perf_event_output / bpf_ringbuf_output： 将事件数据发送到用户空间，用于观测数据导出。
• bpf_get_ns_current_pid_tgid： 获取命名空间内的 PID，对容器环境至关重要。

2.5 综合示例：eBPF 程序加载与交互流程

以下是一个简化的 eBPF 程序加载流程，展示了验证器、映射和辅助函数如何协同工作：

// 1. 定义映射 (用户空间)
struct bpf_map_def SEC("maps") my_map = {
    .type = BPF_MAP_TYPE_HASH,
    .key_size = sizeof(u32),
    .value_size = sizeof(u64),
    .max_entries = 1024,
};

// 2. eBPF 程序 (内核空间)
SEC("xdp")
int xdp_count_packets(struct xdp_md *ctx) {
    u32 key = 0;
    u64 *count = bpf_map_lookup_elem(&my_map, &key);
    if (count) {
        __sync_fetch_and_add(count, 1);  // 原子递增
    } else {
        u64 init = 1;
        bpf_map_update_elem(&my_map, &key, &init, BPF_ANY);
    }
    return XDP_PASS;
}

// 3. 用户空间读取 (通过 bpf() 系统调用)
// bpftool map dump name my_map