2. eBPF技术基础：架构、内核钩子、程序类型、Map与Helper函数
在深入Cilium的蓝绿发布网络性能调优之前，必须掌握eBPF的核心技术基础。eBPF（extended Berkeley Packet Filter）是一种在内核中运行沙箱化程序的技术，它允许用户在不修改内核源码或加载内核模块的情况下，安全、高效地扩展内核功能。本章将系统梳理eBPF的架构、关键组件及其工作机制。
2.1 eBPF整体架构
eBPF架构分为用户空间和内核空间两部分，通过系统调用和BPF Map进行交互。其核心设计理念是“安全”与“高效”：所有eBPF程序在加载前必须通过验证器（Verifier）的严格检查，确保不会导致内核崩溃或死锁；同时，通过JIT（Just-In-Time）编译器将字节码转换为本地机器指令，实现接近原生的执行性能。
架构要点：eBPF程序本身是无状态的，所有状态数据必须通过BPF Map进行存储和共享。用户空间程序通过bpf()系统调用与内核中的eBPF程序交互，实现数据读取、策略更新和事件监控。
2.2 内核钩子（Kernel Hooks）
eBPF程序必须挂载到特定的内核钩子上才能被触发执行。不同的钩子决定了程序的触发时机、上下文信息和可执行的操作。在Cilium的网络性能调优场景中，最常用的钩子是XDP和TC。
| 钩子类型 | 触发位置 | 上下文 | 典型用途 |
|---|---|---|---|
| XDP | 网卡驱动层（最早） | struct xdp_md | DDoS防御、负载均衡、包过滤（性能最高） |
| TC (Traffic Control) | 内核网络协议栈 | struct __sk_buff | 流量整形、策略路由、容器网络策略 |
| Tracepoint | 内核静态跟踪点 | 特定结构体 | 性能分析、故障诊断、系统调用监控 |
| Kprobe/Kretprobe | 内核函数入口/返回 | struct pt_regs | 动态跟踪、内核函数参数/返回值捕获 |
| cgroup | cgroup控制器 | 特定结构体 | 容器网络策略、资源隔离、套接字控制 |
| Socket Filter | 套接字层 | struct __sk_buff | 套接字级别的包过滤、数据重定向 |
性能对比：XDP在网卡驱动层处理包，绕过内核协议栈，延迟通常在微秒级；TC在协议栈内处理，延迟在毫秒级。在蓝绿发布场景中，XDP用于高速流量切换，TC用于精细化策略控制。
2.3 eBPF程序类型
eBPF定义了多种程序类型，每种类型对应特定的钩子和上下文结构。程序类型决定了eBPF程序可以访问的数据和可以调用的Helper函数。
- BPF_PROG_TYPE_XDP：挂载到XDP钩子，处理网络包，支持返回动作（XDP_DROP、XDP_PASS、XDP_TX、XDP_REDIRECT）。
- BPF_PROG_TYPE_SCHED_CLS / BPF_PROG_TYPE_SCHED_ACT：挂载到TC钩子，用于流量分类和动作执行。
- BPF_PROG_TYPE_KPROBE：挂载到kprobe钩子，用于内核函数动态跟踪。
- BPF_PROG_TYPE_TRACEPOINT：挂载到tracepoint钩子，用于静态跟踪点。
- BPF_PROG_TYPE_CGROUP_SKB：挂载到cgroup钩子，用于控制cgroup内套接字的网络访问。
- BPF_PROG_TYPE_SOCKET_FILTER：挂载到套接字层，用于过滤套接字数据。
- BPF_PROG_TYPE_SK_LOOKUP：用于套接字查找重定向，Cilium Service Mesh的核心组件。
2.4 eBPF Map
BPF Map是eBPF程序与用户空间之间、以及不同eBPF程序之间共享数据的核心机制。Map以键值对的形式存储数据，支持多种数据类型和操作。在Cilium中，Map用于存储端点信息、策略规则、连接跟踪表等关键数据。
| Map类型 | 描述 | 键/值类型 | Cilium使用场景 |
|---|---|---|---|
| BPF_MAP_TYPE_HASH | 哈希表，快速查找 | 任意固定大小 | 策略规则表、端点映射 |
| BPF_MAP_TYPE_ARRAY | 数组，索引访问 | 整数索引 | 统计计数器、全局配置 |
| BPF_MAP_TYPE_LRU_HASH | LRU淘汰哈希表 | 任意固定大小 | 连接跟踪表（CT Map） |
| BPF_MAP_TYPE_PERCPU_HASH | Per-CPU哈希表 | 任意固定大小 | 高性能计数器（无锁） |
| BPF_MAP_TYPE_PROG_ARRAY | 程序数组，尾调用 | 整数索引 | XDP/TC程序链、策略跳转 |
| BPF_MAP_TYPE_SOCKHASH | 套接字哈希映射 | 套接字描述符 | 服务网格、套接字重定向 |
性能注意事项：在蓝绿发布的高并发场景下，建议优先使用Per-CPU类型的Map（如BPF_MAP_TYPE_PERCPU_HASH）来避免锁竞争。同时，合理设置Map的最大容量，防止内存溢出或频繁的LRU淘汰影响性能。
2.5 Helper函数
Helper函数是eBPF程序与内核交互的桥梁。eBPF程序不能直接调用内核函数，必须通过Helper函数来执行受限的操作，如数据包修改、Map操作、获取当前时间、打印日志等。每个Helper函数都有明确的签名和权限要求。
以下是在Cilium网络性能调优中常用的Helper函数：
- bpf_map_lookup_elem / bpf_map_update_elem / bpf_map_delete_elem：Map的增删改查操作。
- bpf_redirect_map：将数据包重定向到指定Map中记录的设备或CPU，XDP高性能转发的核心。
- bpf_skb_change_head / bpf_skb_pull_data：修改数据包头部，用于封装/解封装隧道协议。
- bpf_get_current_pid_tgid / bpf_get_current_comm：获取当前进程信息，用于审计和监控。
- bpf_perf_event_output：将数据发送到用户空间的perf事件缓冲区，用于日志和监控。
- bpf_ktime_get_ns：获取高精度时间戳，用于延迟测量和性能分析。
// 示例：XDP程序中使用Helper函数进行包重定向
// 该代码片段展示了Cilium中XDP程序的核心逻辑
#include <linux/bpf.h>
#include <bpf/bpf_helpers.h>
// 定义用于重定向的Map
struct {
__uint(type, BPF_MAP_TYPE_DEVMAP);
__uint(max_entries, 256);
__type(key, __u32);
__type(value, struct bpf_devmap_val);
} cilium_xdp_redirect_map SEC(".maps");
SEC("xdp")
int cilium_xdp_ingress(struct xdp_md *ctx) {
void *data_end = (void *)(long)ctx->data_end;
void *data = (void *)(long)ctx->data;
struct ethhdr *eth = data;
__u32 ifindex;
// 检查数据包长度
if (data + sizeof(*eth) > data_end)
return XDP_DROP;
// 根据目的MAC或IP查找目标接口索引
// ... (查找逻辑，通常涉及bpf_map_lookup_elem)
// 使用bpf_redirect_map进行高性能重定向
return bpf_redirect_map(&cilium_xdp_redirect_map, ifindex, 0);
}
Helper函数版本兼容性：不同的内核版本支持的Helper函数数量和签名不同。Cilium通过CO-RE（Compile Once - Run Everywhere）技术，在运行时根据内核版本动态选择可用的Helper函数，确保跨内核版本的兼容性。