📚 课程目录第3章网络延迟基础

3. 网络延迟基础：定义、组成与测量方法

网络延迟是衡量数据包从源端传输到目的端所经历的总时间。在 eBPF 网络观测与多团队协作中，延迟是判断网络健康度、定位性能瓶颈的核心指标。理解延迟的精确构成，是后续进行延迟曲线交接与制品库管理的前提。

3.1 延迟的定义

网络延迟（Network Latency），通常指单向延迟（One-Way Delay, OWD）或往返时间（Round-Trip Time, RTT）。在 eBPF 观测场景中，我们更关注端到端的单向延迟，因为它能更准确地反映网络路径中每个节点的真实耗时。

延迟类型	定义	典型测量场景
单向延迟 (OWD)	数据包从发送端到接收端的单程时间	eBPF 在发送端和接收端分别捕获时间戳
往返时间 (RTT)	数据包从发送端到接收端再返回发送端的总时间	ping、TCP 握手、HTTP 请求/响应
应用层延迟	从应用发起请求到收到响应的完整耗时	eBPF uprobe 跟踪用户态函数调用

协作提示： 在多团队制品库中，建议统一使用 单向延迟 (OWD) 作为基线指标，避免因 RTT 中的对称性假设（如路径对称、负载对称）导致偏差，尤其是在云原生环境中，南北向与东西向流量路径往往不对称。

3.2 延迟的组成

一个数据包从源端发出到目的端接收，其总延迟由四个基本部分组成。理解每个部分的产生机制，有助于在 eBPF 观测中精准定位延迟来源。

3.3 延迟的测量方法

在 eBPF 网络观测中，延迟测量需要兼顾精度、开销和可观测性。以下是三种主流的测量方法及其适用场景。

3.3.1 主动探测法

通过构造探测报文（如 ICMP Ping、TCP SYN、UDP 探针）主动注入网络，测量往返时间。该方法简单直观，但会引入额外流量，且可能被中间设备（如防火墙、负载均衡器）过滤或修改。

# 使用 ping 测量 RTT
ping -c 10 10.0.0.1

# 使用 hping3 构造 TCP SYN 探测
hping3 -S -p 80 -c 5 10.0.0.1

3.3.2 被动观测法（eBPF 核心方法）

利用 eBPF 在内核态捕获数据包的时间戳，无需修改应用代码或注入探测流量。通过 kprobe/tracepoint 在网卡驱动、协议栈关键路径上挂载探针，记录数据包到达和离开的时间点。

// eBPF 伪代码：在 __netif_receive_skb 和 dev_queue_xmit 处捕获时间戳
struct pt_regs ctx;
u64 ts_in = bpf_ktime_get_ns();  // 入口时间戳
// ... 处理逻辑 ...
u64 ts_out = bpf_ktime_get_ns(); // 出口时间戳
u64 latency = ts_out - ts_in;    // 内核态延迟

  eBPF 测量优势： 零额外网络流量、纳秒级精度、可关联进程/容器/cgroup、支持直方图聚合（如 BPF_MAP_TYPE_HISTOGRAM）。

3.3.3 时间戳同步法

在分布式系统中，测量单向延迟需要发送端和接收端的时间戳同步。常用方案包括：

NTP/PTP 同步： 精度可达微秒级（NTP）或纳秒级（PTP），适用于数据中心内部。
硬件时间戳： 利用网卡（如 Intel E810、Mellanox ConnectX）的 PTP 硬件时间戳，消除软件栈抖动。
逻辑时钟校正： 通过往返测量估算时钟偏移，在 eBPF 中动态校正单向延迟。

3.4 延迟测量对比表

测量方法	精度	额外开销	适用场景	eBPF 集成度
主动探测 (Ping)	毫秒级	中等（额外流量）	连通性验证、基础 RTT 监控	低（需独立工具）
被动观测 (eBPF)	纳秒级	极低（内核态采样）	细粒度延迟分析、应用关联	高（原生支持）
硬件时间戳 (PTP)	亚微秒级	低（硬件卸载）	高性能网络、金融交易	中（需网卡驱动支持）
逻辑时钟校正	微秒级	低（计算校正）	容器化环境、无 PTP 支持	高（eBPF 内计算）

3.5 延迟曲线与多团队协作

在多团队协作中，延迟曲线（Latency Curve）是制品库中最重要的交付物之一。它通常以时间序列或百分位分布（P50/P95/P99）的形式呈现，用于交接网络性能基线。

协作风险提示： 不同团队使用不同的测量方法（如 A 团队用 eBPF 被动观测，B 团队用 Ping 主动探测），会导致延迟曲线不可比。制品库必须强制要求每条延迟曲线附带 测量元数据（方法、精度、采样周期、时钟同步方式），否则拒绝入库。

3.6 延迟测量中的常见陷阱

时钟不同步： 分布式节点间 NTP 偏移超过 1ms 时，单向延迟测量结果不可信。建议在 eBPF 中同时记录本地和远端时间戳，并计算偏移校正。
采样偏差： 仅在高负载时采集数据，或仅采集成功请求（忽略重传/丢包），会导致延迟曲线过于乐观。应使用 eBPF 的 BPF_MAP_TYPE_PERCPU_HASH 全量采样。
测量点不一致： 一个团队在网卡驱动层测量，另一个团队在 socket 层测量，两者相差可达数十微秒。制品库应统一测量点层级（如统一在 __netif_receive_skb 和 tcp_v4_rcv 之间）。
排队延迟被忽略： 主动探测法通常无法反映真实流量下的排队延迟，因为探测包可能被优先处理。eBPF 被动观测可以捕获真实数据包的排队等待时间。