📚 课程目录第1章课程导论

1. eBPF 技术全景

eBPF（extended Berkeley Packet Filter）是一项革命性的内核沙箱技术，允许用户在操作系统内核中安全、高效地运行自定义程序，而无需修改内核源码或加载内核模块。本章从发展历史、内核版本演进、与内核模块的对比以及核心应用场景四个维度，构建 eBPF 技术的完整知识图谱。

eBPF 并非一蹴而就，其演进经历了从网络包过滤工具到通用内核可编程平台的蜕变。下表梳理了关键里程碑与对应内核版本。

时间 / 内核版本	里程碑事件	核心能力
1992 (BPF)	Steven McCanne 和 Van Jacobson 在 BSD 系统中提出 BPF	用户态网络包过滤，tcpdump 核心引擎
2014 (Linux 3.18)	Alexei Starovoitov 将 eBPF 合入主线内核	寄存器架构、JIT 编译、Map 数据结构、kprobe/tracepoint 挂载
2016 (Linux 4.8-4.10)	XDP（eXpress Data Path）与 TC BPF 成熟	网卡驱动层高速包处理、流量控制
2018 (Linux 4.15-4.20)	BPF 跟踪能力增强（BCC、bpftrace 生态爆发）	perf_event、raw_tracepoint、BPF_PROG_TYPE_TRACING
2020 (Linux 5.5-5.10)	BPF CO-RE（Compile Once – Run Everywhere）	BTF 类型信息、BPF 骨架、libbpf 标准化
2022+ (Linux 5.15-6.x)	BPF 调度器、BPF 安全模块、BPF 轻量级隧道	struct_ops、BPF LSM、BPF Netkit

关键认知： eBPF 的演进本质是“从网络专用到通用可编程”的跨越。CO-RE 机制的引入解决了 eBPF 程序在不同内核版本间的移植难题，是 eBPF 从实验室走向大规模生产环境的基石。

在 eBPF 出现之前，内核模块是扩展内核功能的唯一途径。两者在安全性、开发效率、可移植性等方面存在本质差异。

对比维度	eBPF 程序	内核模块
安全性	严格验证器（Verifier）检查，禁止非法内存访问、死循环	无运行时安全沙箱，Bug 可直接导致内核崩溃
开发语言	受限 C（eBPF C 子集），编译为 BPF 字节码	完整 C/C++，可调用任意内核 API
内核版本兼容性	CO-RE + BTF 实现跨版本兼容	需针对不同内核版本重新编译，维护成本高
加载与卸载	用户态通过 bpf() 系统调用动态加载，无需重启	insmod/rmmod，需 root 权限，卸载不干净可能残留
性能开销	JIT 编译后接近原生，无上下文切换	函数调用开销，但无额外沙箱开销
适用场景	观测、网络、安全策略、性能调优	设备驱动、文件系统、调度器、硬件交互

选型建议： 对于网络观测、安全策略、性能追踪等场景，优先选择 eBPF。只有当需要深度操作内核数据结构、实现新硬件驱动或修改核心调度逻辑时，才考虑内核模块。eBPF 不是内核模块的完全替代品，而是互补方案。

eBPF 的三大核心应用领域为网络、安全和观测。下图展示了 eBPF 程序在内核中的挂载点与数据流。

XDP（eXpress Data Path）： 在网卡驱动层（RX 队列）直接处理数据包，实现 DDoS 防御、负载均衡、包过滤，性能可达 10M+ pps。
TC BPF： 在 Linux 流量控制层进行包转发、整形、封装/解封装，支持容器网络策略（Cilium、Calico 核心引擎）。
Socket Filter / BPF_PROG_TYPE_SOCK_OPS： 在 socket 层实现连接跟踪、拥塞控制、透明代理。