1. 课程导论：eBPF与Hubble技术概览、模板制品库的概念、故障排查与自动化回滚的价值
1.1 eBPF 技术概览：内核可编程的基石
eBPF（extended Berkeley Packet Filter）是一项革命性的内核技术，允许用户在 Linux 内核中安全、高效地运行沙箱化程序，而无需修改内核源码或加载内核模块。它本质上是一个在内核事件（系统调用、网络包、函数入口/出口等）触发时执行的微型虚拟机指令集。
核心价值： eBPF 将内核从“固定功能”转变为“可编程”，为可观测性、网络、安全、性能调优等领域提供了前所未有的灵活性和性能。
| 特性 | 传统内核模块 | eBPF 程序 |
|---|---|---|
| 安全性 | 无边界，可导致内核崩溃或安全漏洞 | 通过验证器（Verifier）确保安全，禁止无限循环、非法内存访问 |
| 开发效率 | 需要内核编程经验，编译后需重启或动态加载 | 使用 C/Rust 编写，通过 LLVM 编译为 BPF 字节码，热加载 |
| 可移植性 | 强依赖内核版本和配置 | 通过 CO-RE（Compile Once – Run Everywhere）实现跨内核版本兼容 |
| 性能开销 | 较高，上下文切换和函数调用开销大 | JIT 编译为原生指令，事件驱动，开销极低 |
1.2 Hubble：基于 eBPF 的 Kubernetes 网络可观测性引擎
Hubble 是 Cilium 开源项目中的网络可观测性层，它利用 eBPF 程序在内核态捕获网络流量、服务依赖和性能指标，并以用户友好的方式呈现。它解决了传统工具（如 tcpdump、iptables 日志）在云原生环境中缺乏上下文、性能差、难以聚合的问题。
1.3 模板制品库：标准化故障排查的“弹药库”
在复杂的云原生环境中，每次故障排查都从零开始编写 eBPF 脚本或 Hubble 查询语句，效率低下且容易出错。模板制品库 是一个集中存储、版本管理和按需分发 eBPF 程序与 Hubble 查询模板的仓库。它将专家经验固化为可复用的“制品”，实现故障排查的标准化和自动化。
类比理解： 模板制品库就像运维领域的“GitHub + Docker Hub”。GitHub 管理代码版本，Docker Hub 分发容器镜像；模板制品库则管理 eBPF/Hubble 排查模板的版本与分发。
| 制品类型 | 示例 | 用途 |
|---|---|---|
| eBPF 程序模板 | tcp_retransmit.bpf.c |
捕获 TCP 重传事件，分析网络质量 |
| Hubble Flow 查询 | dns_latency_high.json |
过滤 DNS 响应延迟 > 100ms 的流 |
| Hubble Metrics 告警规则 | pod_network_drop.yaml |
当 Pod 网络丢包率超过 1% 时触发告警 |
| 回滚策略模板 | rollback_cilium_policy.yaml |
定义回滚 CiliumNetworkPolicy 的步骤 |
1.4 故障排查与自动化回滚的价值
将 eBPF/Hubble 的深度可观测能力与模板制品库的标准化能力相结合，可以构建一个“发现-诊断-恢复”的自动化闭环，显著提升 SRE 团队的故障响应效率。
关键挑战： 自动化回滚必须谨慎设计。回滚策略模板应包含“回滚前检查”、“灰度回滚”、“回滚后验证”等步骤，避免因回滚操作引入二次故障。本课程后续章节将详细讲解如何构建安全的回滚流水线。
1.5 本章小结
- eBPF 提供了内核级可编程能力，是 Hubble 的技术基石。
- Hubble 将 eBPF 能力转化为 Kubernetes 网络可观测性工具，提供流量、指标和拓扑视图。
- 模板制品库 将专家排查经验固化为可复用、版本化的制品，实现标准化。
- 自动化回滚 基于诊断结果，从制品库中选取回滚策略模板，快速恢复服务，形成运维闭环。
本课程将深入讲解如何设计模板制品库、编写高效的 eBPF/Hubble 排查模板，并构建可靠的自动化回滚流水线，帮助 SRE 团队从被动救火转向主动防御。