3. 开发环境搭建：内核版本、工具链与库的安装验证

搭建 eBPF 网络观测开发环境是进入“流量可视化与自动化配置”课程的第一步。一个完整的环境需要满足内核版本要求、安装 LLVM/Clang 工具链、集成 libbpf 库以及部署 bpftool 工具。本章将逐一拆解这些组件的安装与验证步骤，确保后续实验能够顺利运行。

3.1 Linux 内核版本要求

eBPF 程序直接运行在内核中，因此内核版本决定了可用的 eBPF 特性。对于网络观测场景，建议使用 5.10 LTS 或更高版本的内核，以获得稳定的 BPF 跟踪点、XDP 支持以及 BPF 映射类型。

3.2 LLVM/Clang 工具链安装

eBPF 程序通常使用 C 语言编写，并通过 LLVM/Clang 编译为 BPF 字节码。推荐安装 LLVM 12+ 版本，以确保对 BPF 目标（bpfel）的完整支持。

安装步骤（Ubuntu/Debian 系）

# 添加 LLVM 官方仓库
wget -O - https://apt.llvm.org/llvm-snapshot.gpg.key | sudo apt-key add -
sudo add-apt-repository "deb http://apt.llvm.org/$(lsb_release -cs)/ llvm-toolchain-$(lsb_release -cs)-14 main"

# 安装 Clang 和 LLVM
sudo apt update
sudo apt install -y clang-14 llvm-14 lld-14

# 设置默认版本（可选）
sudo update-alternatives --install /usr/bin/clang clang /usr/bin/clang-14 100
sudo update-alternatives --install /usr/bin/llc llc /usr/bin/llc-14 100

验证编译能力

# 编写一个最小的 eBPF 程序并编译
cat << 'EOF' > test_bpf.c
#include <linux/bpf.h>
#include <bpf/bpf_helpers.h>

SEC("tracepoint/syscalls/sys_enter_write")
int trace_write(void *ctx) {
    bpf_printk("write syscall triggered\n");
    return 0;
}

char _license[] SEC("license") = "GPL";
EOF

# 编译为 BPF 目标
clang -O2 -target bpf -c test_bpf.c -o test_bpf.o

# 检查编译产物
file test_bpf.o
# 输出应包含 "ELF 64-bit LSB relocatable, eBPF"

3.3 libbpf 库安装

libbpf 是用户空间与内核 BPF 子系统交互的核心库，负责加载、验证和附加 BPF 程序。推荐使用 libbpf 1.0+ 版本，它原生支持 CO-RE（一次编译，到处运行）特性。

从源码安装（推荐）

# 克隆 libbpf 仓库
git clone https://github.com/libbpf/libbpf.git
cd libbpf/src

# 编译并安装
make -j$(nproc)
sudo make install

# 更新动态链接库缓存
sudo ldconfig

验证安装

# 检查头文件位置
ls /usr/local/include/bpf/
# 应包含 bpf.h、libbpf.h、btf.h 等

# 检查库文件
ls /usr/local/lib64/libbpf*
# 应包含 libbpf.a 和 libbpf.so

# 编写测试程序验证链接
cat << 'EOF' > test_libbpf.c
#include <bpf/libbpf.h>
#include <stdio.h>

int main() {
    struct bpf_object *obj;
    printf("libbpf version: %s\n", libbpf_version_string());
    return 0;
}
EOF

gcc -o test_libbpf test_libbpf.c -lbpf
./test_libbpf
# 输出类似 "libbpf version: 1.3.0"

3.4 bpftool 工具安装与验证

bpftool 是调试和管理 eBPF 程序的瑞士军刀，支持查看已加载的程序、映射、BTF 信息以及进行性能分析。

安装方法

# 方法一：从内核源码编译（推荐）
git clone --depth 1 https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git
cd linux/tools/bpf/bpftool
make -j$(nproc)
sudo make install

# 方法二：使用发行版包管理器
# Ubuntu/Debian
sudo apt install -y linux-tools-common linux-tools-$(uname -r)

# CentOS/RHEL
sudo yum install -y bpftool

验证与常用命令

# 查看 bpftool 版本
bpftool --version

# 列出当前系统所有已加载的 BPF 程序
bpftool prog list

# 查看 BPF 映射信息
bpftool map list

# 检查 BTF 是否可用（CO-RE 依赖）
bpftool btf list

# 显示内核支持的 eBPF 特性
bpftool feature probe

3.5 环境验证流程图

下图展示了从内核检查到最终验证的完整流程，帮助你在搭建环境时快速定位问题。

3.6 常见问题与解决方案

3.7 环境搭建清单

完成上述步骤后，使用以下清单进行最终确认，确保所有组件就绪：

• 内核版本：uname -r ≥ 5.10
• LLVM/Clang：clang --version 显示版本 ≥ 12，且支持 target bpf
• libbpf：/usr/local/include/bpf/libbpf.h 存在，libbpf_version_string() 返回正常版本号
• bpftool：bpftool --version 正常输出，bpftool feature probe 显示 BTF 可用
• 编译测试：能够成功编译 test_bpf.o 并生成 ELF 格式的 BPF 字节码