2. eBPF 核心技术原理

eBPF 并非简单的内核钩子集合，而是一个在内核中运行的沙箱化虚拟机平台。理解其核心架构——虚拟机、指令集、Map/Prog 类型、Helper 函数以及 CO-RE 机制——是构建可靠网络观测制品库的基石。本章将逐一拆解这些技术组件。

2.1 eBPF 虚拟机架构

eBPF 虚拟机是一个基于寄存器的、事件驱动的轻量级执行引擎，运行在内核空间。它通过严格的验证器确保程序安全性，并通过 JIT (Just-In-Time) 编译器将字节码转换为原生机器码以提升性能。

2.2 BPF 指令集与寄存器模型

eBPF 拥有自己的 RISC 风格指令集，包含 11 个 64 位寄存器（R0-R10）和一个程序计数器（PC）。指令编码固定为 64 位，支持算术、逻辑、跳转、函数调用和内存访问等操作。

2.3 eBPF Map 与 Prog 类型

Map 是 eBPF 的核心数据结构，用于在内核态与用户态之间、以及不同 eBPF 程序之间共享数据。Prog 类型则定义了程序可以挂载的内核事件类型。

常用 Map 类型

核心 Prog 类型

• BPF_PROG_TYPE_KPROBE：动态插桩到内核函数入口/出口，用于函数调用追踪。
• BPF_PROG_TYPE_TRACEPOINT：挂载到内核静态跟踪点，接口稳定，适合生产环境。
• BPF_PROG_TYPE_XDP：在网络驱动层（网卡收到包后、协议栈处理前）执行，实现高性能包处理（如 DDoS 防御、负载均衡）。
• BPF_PROG_TYPE_SOCKET_FILTER：在套接字层过滤数据包，是经典 tcpdump 的现代实现。
• BPF_PROG_TYPE_CGROUP_SKB：在 cgroup 级别控制网络流量，用于容器网络策略。

2.4 Helper 函数

Helper 函数是 eBPF 程序与内核交互的唯一“白名单”接口。它们提供了访问内核数据结构、操作网络包、管理 Map 条目、获取时间戳等能力，而无需直接访问内核内存。

• bpf_map_lookup_elem / bpf_map_update_elem：操作 Map 的基础函数。
• bpf_get_current_pid_tgid / bpf_get_current_comm：获取触发事件的进程上下文。
• bpf_skb_load_bytes / bpf_skb_store_bytes：安全读取/修改网络包数据。
• bpf_perf_event_output / bpf_ringbuf_output：将事件数据高效推送到用户态。
• bpf_get_stackid：获取内核或用户态调用栈，用于性能分析。

2.5 CO-RE (Compile Once - Run Everywhere) 机制

CO-RE 是 eBPF 解决内核版本差异问题的关键方案。传统 eBPF 程序需要为每个内核版本重新编译，因为内核数据结构（如 struct task_struct）的字段偏移量会变化。CO-RE 通过以下组件实现一次编译、到处运行：

1. BTF (BPF Type Format)：内核提供自身的类型信息（结构体定义、字段偏移等），通常由 CONFIG_DEBUG_INFO_BTF 启用。
2. BPF 程序中的重定位信息：编译器（Clang）在生成 BPF 字节码时，不直接硬编码字段偏移，而是记录“访问哪个结构体的哪个字段”的抽象信息。
3. libbpf 库：在加载 BPF 程序时，libbpf 读取目标内核的 BTF 信息，动态计算字段的实际偏移量，并修补 BPF 指令中的立即数。