1. 课程导论：什么是 eBPF？什么是 Deployment 水位？为什么需要监控节点级 Deployment 水位？课程目标与前置知识
1.1 什么是 eBPF？
eBPF（extended Berkeley Packet Filter）是一项革命性的 Linux 内核技术，允许用户在无需修改内核源码或加载内核模块的前提下，安全、高效地在内核中运行沙箱化程序。eBPF 程序通过内核验证器（verifier）检查后，由即时编译器（JIT）转换为原生机器码，挂载到内核事件钩子（如系统调用、网络事件、函数入口/出口、跟踪点等）上执行。
核心价值： eBPF 将内核从“黑盒”变为“可编程观测层”，使得 SRE 和平台工程师能够以极低开销、高安全性地实现细粒度的性能监控、网络观测、安全审计与故障诊断。
一句话理解： eBPF 是 Linux 内核的“动态插桩”框架，让用户可以在内核态安全地运行自定义的观测或控制逻辑。
1.2 什么是 Deployment 水位？
在 Kubernetes 集群中，Deployment 水位 是指单个节点上运行的 Deployment 工作负载（Pod 实例）对节点资源的实际占用程度与剩余容量的综合度量。它不是一个单一指标，而是一组反映节点承载压力的关键指标集合：
| 水位维度 | 关键指标 | 说明 |
|---|---|---|
| CPU 水位 | CPU 使用率 / CPU Throttling 时间 | 节点 CPU 是否接近饱和，是否存在 CPU 节流 |
| 内存水位 | 内存使用率 / OOM 事件频率 | 节点内存是否充足，是否存在 OOM Kill 风险 |
| 网络水位 | 网络吞吐量 / 连接数 / 丢包率 | 节点网络带宽与连接是否成为瓶颈 |
| 磁盘 I/O 水位 | 磁盘读写延迟 / IOPS / 队列深度 | 节点存储子系统是否过载 |
| Pod 密度水位 | 节点 Pod 数量 / 容器数量 | 节点是否接近 Pod 容量上限（默认 110） |
注意： 传统监控工具（如 cAdvisor、Prometheus node_exporter）通常只能提供粗粒度的聚合数据，无法精确到“哪个 Deployment 的哪个 Pod 在什么时间点导致了节点水位异常”。eBPF 可以填补这一空白。
1.3 为什么需要监控节点级 Deployment 水位？
在大型 Kubernetes 集群中，节点级 Deployment 水位监控是保障集群稳定性与资源利用率的关键环节。以下是核心原因：
- 避免“吵闹的邻居”效应： 一个 Deployment 的突发流量或资源泄漏可能挤占同节点其他 Deployment 的资源，导致全局性能抖动。eBPF 可以精确识别肇事者。
- 精准的弹性伸缩决策： HPA（Horizontal Pod Autoscaler）基于平均 CPU/内存触发扩缩容，但无法感知节点级资源争抢。结合 eBPF 的节点水位数据，可以做出更智能的调度决策。
- 故障根因定位加速： 当节点出现 OOM、CPU 节流或网络丢包时，eBPF 可以快速回溯到具体的进程、容器甚至系统调用，将定位时间从小时级缩短到分钟级。
- 资源利用率优化： 通过精细化的水位监控，可以识别出资源过度预留或浪费的 Deployment，指导 Request/Limit 调整，提升集群整体装箱率。
- 安全与合规： 监控异常的网络连接、文件 I/O 或系统调用模式，及时发现被入侵或异常行为的容器。
一句话总结： 没有节点级 Deployment 水位监控，Kubernetes 集群就像没有仪表盘的飞机——你只知道它在飞，但不知道它什么时候会失速。
1.4 课程目标与前置知识
课程目标
完成本课程后，你将能够：
- 理解 eBPF 的核心原理与编程模型（C 与 libbpf / BCC 框架）。
- 掌握使用 eBPF 采集节点级 CPU、内存、网络、磁盘 I/O 水位数据的方法。
- 学会将 eBPF 数据与 Kubernetes 元数据（Pod、Deployment、Namespace）关联。
- 构建实时的 Deployment 水位仪表盘，并设置告警规则。
- 基于水位数据实施节点级调优策略（如 CPU pinning、内存限制调整、网络 QoS）。
- 在生产环境中安全部署 eBPF 监控组件（如 Cilium、Pixie 或自研 Agent）。
前置知识要求
| 领域 | 具体要求 |
|---|---|
| Linux 基础 | 熟悉进程、文件系统、网络协议栈基本概念；会使用 perf、strace、top 等工具 |
| Kubernetes 基础 | 理解 Pod、Deployment、Node、Namespace 概念；会使用 kubectl 常用命令 |
| 编程语言 | 具备 C 语言基础（能阅读简单内核代码）；了解 Python 或 Go 基本语法 |
| 监控基础 | 了解 Prometheus、Grafana 基本使用；理解指标（Metric）与标签（Label）概念 |
建议： 如果你对 eBPF 完全陌生，建议先阅读 Brendan Gregg 的《BPF Performance Tools》 前两章，或观看本课程附录中的“eBPF 快速入门”视频。
1.5 eBPF 与 Kubernetes 水位监控架构总览
下图展示了 eBPF 在 Kubernetes 节点级水位监控中的核心位置与数据流：
1.6 本章小结
- eBPF 是 Linux 内核的可编程观测框架，为水位监控提供了安全、高效、细粒度的数据采集能力。
- Deployment 水位 是节点上 CPU、内存、网络、磁盘 I/O 和 Pod 密度的综合度量，直接影响集群稳定性。
- 监控节点级水位 可以避免资源争抢、优化弹性伸缩、加速故障定位、提升资源利用率。
- 本课程将带领你从原理到实战，掌握基于 eBPF 的 Kubernetes 水位监控与调优技能。
下一站： 第 2 章我们将深入 eBPF 编程模型，从第一个 eBPF 程序开始，理解如何在内核中安全地采集事件数据。