2. eBPF 开发环境搭建

搭建一个稳定、可复现的 eBPF 开发环境是进行流量可视化与故障排查实践的基础。本章将详细讲解从内核版本验证到核心工具链（LLVM/Clang、BCC、bpftrace、libbpf）安装的全流程，并给出各组件之间的依赖关系与版本匹配建议。

2.1 内核版本要求与验证

eBPF 程序直接运行在内核中，因此内核版本决定了可用的 eBPF 特性。不同 eBPF 功能对内核版本的最低要求如下：

验证当前内核版本：

# 查看内核版本
uname -r

# 确认内核是否开启 eBPF 支持（检查 /sys/kernel/btf 是否存在）
ls -la /sys/kernel/btf

# 检查内核配置中 eBPF 相关选项
cat /boot/config-$(uname -r) | grep -E "CONFIG_BPF|CONFIG_DEBUG_INFO_BTF"

2.2 LLVM/Clang 编译器安装

eBPF 程序通常使用 C 语言编写，并通过 LLVM/Clang 编译为 BPF 字节码。LLVM 版本直接影响对 BPF 指令集和 CO-RE 的支持。

版本要求：

• 最低版本：LLVM 10（支持 BPF 原子操作）
• 推荐版本：LLVM 14+（完整支持 BPF CO-RE 和 BTF）
• 最佳版本：LLVM 16+（支持 BPF 循环和更多优化）

安装步骤（以 Ubuntu 22.04 为例）：

# 更新包索引
sudo apt update

# 安装 LLVM 和 Clang
sudo apt install -y llvm clang

# 验证安装版本
llvm-config --version
clang --version

# 安装 BPF 后端支持（可选，用于交叉编译）
sudo apt install -y llvm-dev libclang-dev

2.3 BCC 工具集安装

BCC（BPF Compiler Collection）是 eBPF 开发中最常用的前端工具集，提供了 Python 和 Lua 接口，适合快速编写 eBPF 程序。

BCC 组件结构：

安装步骤：

# 安装 BCC 依赖
sudo apt install -y bison build-essential cmake flex git libedit-dev \
  libllvm14 llvm-14-dev libclang-14-dev python3-dev python3-pip

# 从源码编译安装 BCC（推荐，以获得最新特性）
git clone https://github.com/iovisor/bcc.git
cd bcc
mkdir build && cd build
cmake -DCMAKE_INSTALL_PREFIX=/usr ..
make -j$(nproc)
sudo make install

# 安装 Python 绑定
cd ../src/python
python3 setup.py install

# 验证安装
sudo python3 -c "import bcc; print('BCC version:', bcc.__version__)"

2.4 bpftrace 安装

bpftrace 是一种高级 eBPF 跟踪语言，语法类似 awk，适合快速编写单行命令进行故障排查和性能分析。

安装方式对比：

推荐安装步骤（源码编译）：

# 安装依赖
sudo apt install -y bison cmake flex g++ git libelf-dev zlib1g-dev \
  libfl-dev systemtap-sdt-dev binutils-dev

# 克隆 bpftrace 源码
git clone https://github.com/bpftrace/bpftrace.git
cd bpftrace
mkdir build && cd build
cmake -DCMAKE_BUILD_TYPE=Release ..
make -j$(nproc)
sudo make install

# 验证安装
bpftrace --version

# 快速测试：统计每秒系统调用次数
sudo bpftrace -e 'tracepoint:raw_syscalls:sys_enter { @[comm] = count(); } interval:s:1 { print(@); clear(@); }'

2.5 libbpf 库配置

libbpf 是 eBPF 程序加载和管理的核心用户态库，也是实现 CO-RE（Compile Once – Run Everywhere）的关键组件。

libbpf 在 eBPF 开发中的位置：

配置步骤：

# 方法一：使用系统包管理器安装（推荐）
sudo apt install -y libbpf-dev

# 方法二：从内核源码树获取最新 libbpf
git clone --depth 1 https://github.com/libbpf/libbpf.git
cd libbpf/src
make -j$(nproc)
sudo make install

# 验证 libbpf 版本
pkg-config --modversion libbpf

# 检查 BTF 支持（CO-RE 必需）
ls -la /sys/kernel/btf/vmlinux

2.6 环境验证清单

完成上述安装后，建议执行以下验证脚本，确保所有组件正常工作：

#!/bin/bash
# eBPF 开发环境验证脚本

echo "=== 1. 内核版本 ==="
uname -r

echo "=== 2. LLVM/Clang 版本 ==="
clang --version | head -n 1

echo "=== 3. BCC 安装检查 ==="
python3 -c "import bcc; print('BCC OK')" 2>/dev/null && echo "BCC: OK" || echo "BCC: FAIL"

echo "=== 4. bpftrace 版本 ==="
bpftrace --version 2>/dev/null || echo "bpftrace: NOT FOUND"

echo "=== 5. libbpf 版本 ==="
pkg-config --modversion libbpf 2>/dev/null || echo "libbpf: NOT FOUND"

echo "=== 6. BTF 支持 ==="
if [ -f /sys/kernel/btf/vmlinux ]; then
  echo "BTF: SUPPORTED (CO-RE ready)"
else
  echo "BTF: NOT SUPPORTED"
fi

echo "=== 7. 快速 eBPF 测试 ==="
sudo python3 -c "
from bcc import BPF
prog = '''
int hello(void *ctx) {
    bpf_trace_printk(\"Hello, eBPF!\\n\");
    return 0;
}
'''
b = BPF(text=prog)
b.attach_kprobe(event='__x64_sys_clone', fn_name='hello')
print('eBPF program loaded successfully!')
b.trace_print(fmt='{msg}')
" 2>/dev/null || echo "eBPF test: FAIL"