1. 课程导论：eBPF 技术背景、网络观测在 K8s 中的重要性、课程目标与前置知识
1.1 eBPF 技术背景：从内核可观测性到云原生基石
eBPF（extended Berkeley Packet Filter）是一项革命性的 Linux 内核技术，它允许用户在无需修改内核源码或加载内核模块的情况下，安全、高效地在内核中运行沙箱化程序。eBPF 最初源于 BPF（Berkeley Packet Filter），用于网络数据包过滤，但如今已演变为一个通用的内核运行时引擎，覆盖网络、安全、可观测性、性能调优等多个领域。
核心价值： eBPF 将内核从“黑盒”转变为“可编程的透明平台”，使得开发者能够动态注入观测逻辑，而无需重启系统或重新编译内核。
eBPF 程序通过 bpftrace、libbpf 或 cilium/ebpf 等工具链编写，经过验证器（Verifier）严格检查后，由 JIT 编译器转换为原生机器码执行。其典型工作流程如下：
- 编写 eBPF 程序（C 或 Rust 语言）
- 编译为 BPF 字节码（使用 LLVM/Clang）
- 加载到内核（通过
bpf()系统调用） - 内核验证器检查（确保安全终止、无循环、无越界访问）
- JIT 编译并附加到事件（如网络包、系统调用、内核函数）
- 数据收集与用户态交互（通过 BPF Maps、Perf Events 或 Ring Buffer）
关键里程碑： 2014 年，Alexei Starovoitov 将 eBPF 合并入 Linux 内核主线（3.18 版本），开启了内核可编程的新时代。2020 年后，eBPF 在云原生生态中爆发，成为 Cilium、Falco、Pixie 等项目的核心技术。
1.2 网络观测在 K8s 中的重要性：为什么传统方法失效？
Kubernetes 网络模型具有高度动态、多租户、服务网格化等特点，传统基于 iptables、tcpdump 或 sidecar 代理的观测手段面临以下挑战：
| 挑战维度 | 传统方法（iptables / tcpdump / sidecar） | eBPF 方案优势 |
|---|---|---|
| 性能开销 | iptables 规则链随 Pod 数量线性增长，延迟高；sidecar 代理增加额外网络跳数 | eBPF 在内核态直接处理，零拷贝、无上下文切换，性能损耗 < 5% |
| 可见性粒度 | 仅能捕获 IP/端口级别，无法感知 Pod 标签、Service、命名空间等 K8s 语义 | eBPF 可关联内核事件与 K8s 元数据，实现 Pod 级、Service 级、应用协议级观测 |
| 动态适应性 | Pod 创建/销毁需重新加载规则，存在观测盲区 | eBPF 程序动态附加到 cgroup、网络设备，自动感知 Pod 生命周期变化 |
| 安全与隔离 | sidecar 代理需特权容器，增加攻击面 | eBPF 运行在内核沙箱中，无需修改应用容器，最小权限原则 |
| 协议深度解析 | 需手动部署代理或修改应用代码 | eBPF 可解析 HTTP/2、gRPC、DNS、TLS 握手等七层协议，无需侵入应用 |
现实痛点： 在大型 K8s 集群（1000+ 节点）中，iptables 规则数可达数十万条，导致网络延迟增加 30% 以上，且故障排查时难以定位“丢包发生在哪一跳”。eBPF 网络观测正是为解决这些“观测性债”而生。
下图展示了 eBPF 在 K8s 网络观测中的核心位置：
1.3 课程目标：构建可复用的 eBPF 网络观测模板制品库
本课程旨在帮助学员掌握在 Kubernetes 环境中，使用 eBPF 技术构建生产级网络观测能力的完整方法论。课程结束后，学员将能够：
- 理解 eBPF 核心概念：验证器、BPF Maps、程序类型、附加点、CO-RE（一次编译，到处运行）
- 掌握 K8s 网络观测关键指标：延迟、吞吐、丢包、重传、连接数、协议分布
- 独立部署 eBPF 观测工具：Cilium Hubble、Pixie、Pixie Operator、bpftrace 等
- 构建自定义 eBPF 观测程序：使用 Go 语言 +
cilium/ebpf库编写、编译、加载 eBPF 程序 - 设计可复用的制品库：将 eBPF 程序、K8s YAML、Helm Chart、Grafana Dashboard 打包为标准制品
- 实现生产级运维：性能调优、安全加固、故障排查、版本管理
最终交付物： 一套完整的《K8s 环境 eBPF 网络观测模板制品库》，包含 10+ 个可复用的 eBPF 观测模板、配套 K8s 部署清单、Grafana 监控面板以及 CI/CD 集成示例。
1.4 前置知识：你需要具备哪些基础？
本课程面向有一定经验的云原生工程师，建议具备以下前置技能：
| 知识领域 | 具体要求 | 推荐学习资源 |
|---|---|---|
| Linux 基础 | 熟悉 Linux 内核概念（进程、网络栈、系统调用）、常用命令行工具（ip、ss、tcpdump、perf） |
《Linux 内核设计与实现》第 1-5 章 |
| Kubernetes 运维 | 能独立部署 K8s 集群（kubeadm 或托管集群）、理解 Pod/Service/NetworkPolicy/CNI 概念 | CKA 认证课程或《Kubernetes in Action》 |
| 编程语言 | 至少掌握 Go 或 C 语言基础（eBPF 程序使用 C 编写，用户态工具使用 Go） | Go 语言官方教程 / 《C 程序设计语言》 |
| 网络协议 | 理解 TCP/IP 协议栈、HTTP/2、gRPC、DNS 基本工作原理 | 《TCP/IP 详解》卷 1 |
| 容器与镜像 | 熟悉 Dockerfile 编写、镜像构建、容器运行时（containerd/CRI-O） | Docker 官方文档 |
学习建议： 如果你对 eBPF 完全陌生，建议先阅读 eBPF 官方介绍 并完成 cilium/ebpf 仓库中的示例。本课程第 2 章会提供快速入门实验环境。
1.5 课程内容概览
本课程共 30 章，分为 5 个模块：
| 模块 | 章节范围 | 核心内容 |
|---|---|---|
| 基础篇 | 第 1-6 章 | eBPF 原理、K8s 网络模型、观测工具选型、环境搭建 |
| 实战篇 | 第 7-15 章 | 编写 eBPF 程序（XDP/TC/Tracepoint）、用户态 Go 工具、K8s 集成 |
| 制品库篇 | 第 16-22 章 | 模板设计、Helm Chart 打包、Grafana Dashboard 自动化、CI/CD 流水线 |
| 进阶篇 | 第 23-27 章 | 性能优化、安全沙箱、多集群观测、大规模集群压测 |
| 案例篇 | 第 28-30 章 | 生产故障排查实战、服务网格观测、边缘 K8s 场景 |
重要提示： 本课程所有实验均在 Linux 内核 5.10+ 环境下验证（推荐 Ubuntu 22.04 / CentOS 8 Stream）。请确保你的实验环境满足内核版本要求，否则部分 eBPF 特性（如 BPF CO-RE、BPF Timestamp）可能不可用。
现在，让我们正式开启 eBPF 网络观测的云原生之旅！