2. eBPF 基础：架构、内核钩子、程序类型、验证器与 JIT 编译器
eBPF（extended Berkeley Packet Filter）是一项革命性的内核技术，允许用户在操作系统内核中安全、高效地运行沙箱化程序。它无需修改内核源码或加载内核模块，即可实现对网络、安全、性能追踪等子系统的深度观测与控制。本章将拆解 eBPF 的核心架构，并逐一解析其关键组件。
2.1 eBPF 整体架构
eBPF 并非单一组件，而是一套完整的指令集、执行环境与工具链体系。其架构可抽象为 用户空间、内核空间 与 BPF 映射（Maps） 三层交互模型。
2.2 内核钩子（Kernel Hooks）
eBPF 程序必须附着（attach）到特定的内核事件上才能被触发执行。这些附着点被称为 内核钩子。根据事件类型，钩子可分为以下几大类：
| 钩子类别 | 典型附着点 | 触发时机 | 网络观测用途 |
|---|---|---|---|
| kprobes / kretprobes | 任意内核函数入口/返回 | 函数调用时 | 追踪内核网络协议栈函数（如 tcp_v4_connect） |
| tracepoints | 内核预定义的静态跟踪点 | 特定事件发生时 | 捕获 net:netif_receive_skb 等网络事件 |
| XDP (eXpress Data Path) | 网络驱动层（网卡收到包后） | 最早的网络包处理点 | 高性能包过滤、DDoS 防护、负载均衡 |
| TC (Traffic Control) | 内核网络协议栈的 ingress/egress | 包进入/离开协议栈时 | 流量整形、包标记、QoS 策略 |
| Socket Filters | socket 层 | 数据包收发时 | 基于 socket 的流量过滤与统计 |
| cgroup hooks | cgroup 关联的网络事件 | 进程网络操作时 | 容器网络策略、带宽控制 |
实践提示： 在网络观测场景中，XDP 和 TC 是最常用的两个钩子。XDP 位于驱动层，性能极高但可编程能力有限；TC 位于协议栈内部，可访问更丰富的元数据（如 socket 信息），适合做精细化流量观测。
2.3 BPF 程序类型
eBPF 根据附着点和功能定义了多种程序类型。每种类型决定了程序可以访问的上下文结构、辅助函数（helper functions）以及返回值语义。以下是网络观测领域最关键的几种类型：
- BPF_PROG_TYPE_XDP：附着于 XDP 钩子，处理最早期的网络包。返回动作包括
XDP_DROP、XDP_PASS、XDP_TX等。 - BPF_PROG_TYPE_SCHED_CLS：附着于 TC 钩子（ingress/egress），可对包进行分类、修改或重定向。是网络观测制品库中最常用的类型之一。
- BPF_PROG_TYPE_SOCKET_FILTER：附着于 socket 层，用于过滤或观测特定 socket 的流量。
- BPF_PROG_TYPE_CGROUP_SKB：附着于 cgroup 的 socket 缓冲区，用于容器网络的出入站控制。
- BPF_PROG_TYPE_TRACING：用于 kprobe/tracepoint/fentry/fexit 等追踪类钩子，适合观测内核网络函数行为。
关键区别： XDP 程序无法直接访问 socket 或内核协议栈的元数据（如 TCP 序列号），而 TC 程序可以通过
skb 指针访问完整的协议栈上下文。因此，流量可视化 通常选择 TC 钩子 + BPF_PROG_TYPE_SCHED_CLS 组合。
2.4 验证器（Verifier）
验证器是 eBPF 安全性的基石。它负责在程序加载到内核之前，对 BPF 字节码进行静态分析，确保其不会破坏内核稳定性。验证器执行以下关键检查：
- 控制流完整性：确保程序无死循环、无不可达指令、无越界跳转。所有循环必须在编译时展开或受边界限制。
- 指针安全：禁止解引用未经验证的指针；禁止将任意整数转换为指针；禁止越界访问栈或映射。
- 辅助函数白名单：程序只能调用当前程序类型允许的辅助函数（如
bpf_map_lookup_elem、bpf_skb_load_bytes）。 - 栈大小限制：eBPF 程序的栈空间固定为 512 字节，验证器会检查栈使用是否溢出。
- 程序大小限制：单条 eBPF 程序最多包含 4096 条指令（部分内核版本可放宽至 100 万条）。
常见验证失败原因： 未初始化变量、循环次数不可预测、指针算术越界、调用未授权的辅助函数。编写 eBPF 程序时，建议使用
__always_inline 和内联循环来避免验证器报错。
2.5 JIT 编译器
JIT（Just-In-Time）编译器将验证通过的 BPF 字节码转换为目标 CPU 架构的本地机器指令，从而大幅提升执行效率。没有 JIT 时，eBPF 程序运行在一个慢速的模拟解释器中。
| 特性 | 解释器模式 | JIT 编译模式 |
|---|---|---|
| 执行速度 | 慢（每条指令需解码+分发） | 快（直接执行本地指令） |
| 启动延迟 | 无（即时执行） | 有（首次加载需编译） |
| 内存占用 | 低（共享字节码） | 较高（每个程序有独立编译产物） |
| 适用场景 | 调试、低频率事件 | 生产环境、高频率网络包处理 |
在 x86_64 架构上，JIT 编译器会将 BPF 指令一一映射为 x86 指令，并执行寄存器分配优化。对于网络观测场景，启用 JIT 是必须的，否则 XDP/TC 程序无法达到线速处理性能。
2.6 BPF 映射（Maps）
BPF 映射是内核空间与用户空间之间交换数据的核心机制。eBPF 程序将观测结果写入映射，用户空间程序通过 bpf() 系统调用读取或更新映射内容。常见的映射类型包括：
- BPF_MAP_TYPE_HASH：哈希表，用于存储键值对，如五元组 → 流量统计。
- BPF_MAP_TYPE_ARRAY：固定大小数组，索引访问，适合存储 CPU 核心维度的计数器。
- BPF_MAP_TYPE_PERCPU_HASH / PERCPU_ARRAY：每 CPU 独立副本，避免锁竞争，适合高频率计数。
- BPF_MAP_TYPE_RINGBUF：高性能环形缓冲区，用于将事件流式传输到用户空间，是网络观测制品库的首选。
网络观测最佳实践： 使用
BPF_MAP_TYPE_RINGBUF 传输网络包元数据（时间戳、长度、五元组），使用 BPF_MAP_TYPE_PERCPU_HASH 维护聚合统计（如每秒包数、字节数），避免全局锁带来的性能瓶颈。