1. 课程导论：eBPF技术背景、Hubble项目定位、Cilium生态与Hubble的关系、课程目标与学习路径
1.1 eBPF技术背景：内核可编程的革命
eBPF（extended Berkeley Packet Filter）是一项革命性的内核技术，允许用户在Linux内核中安全、高效地运行沙箱化程序，而无需修改内核源代码或加载内核模块。它最初源于网络数据包过滤，现已演变为一个通用的内核可编程平台，覆盖网络、安全、观测、性能调优等多个领域。
核心能力：eBPF通过在内核中插入钩子（Hook）点，动态加载用户定义的字节码，实现对系统事件的实时捕获、过滤与处理。其数据路径完全在内核态完成，避免了传统用户态-内核态上下文切换的开销，性能损耗极低。
eBPF的典型应用场景包括：
- 网络观测：捕获网络数据包、跟踪连接状态、分析协议延迟。
- 安全监控：检测系统调用异常、文件访问违规、容器逃逸行为。
- 性能分析：追踪CPU调度、内存分配、磁盘I/O等内核事件。
- 故障排查：定位网络丢包、服务延迟、资源争用等根因。
为什么eBPF适合网络观测？ 传统网络观测工具（如tcpdump、iptables）要么性能开销大，要么功能受限。eBPF可以在内核网络栈的任意位置插入观测点，以纳秒级精度捕获数据，且对生产环境几乎无影响。
1.2 Hubble项目定位：Cilium的观测层
Hubble是Cilium生态中的网络观测与安全可视化组件，专门为Kubernetes环境设计。它利用Cilium的eBPF数据平面，自动捕获集群中所有Pod、Service、Node之间的网络流量，并提供实时流日志、服务依赖图、指标监控和故障排查能力。
| 特性 | 说明 |
|---|---|
| 流日志 | 记录每个网络连接的源/目的IP、端口、协议、字节数、时间戳、Verdict（允许/丢弃） |
| 服务依赖图 | 自动生成集群内服务间的通信拓扑，可视化展示流量路径 |
| 指标监控 | 提供TCP RTT、丢包率、吞吐量、连接数等关键网络指标 |
| 故障排查 | 支持按标签、命名空间、IP、端口等维度过滤流日志，快速定位异常流量 |
| 安全审计 | 记录被网络策略拒绝的流量，辅助安全合规审计 |
注意：Hubble本身不执行网络策略，它只负责观测和记录。网络策略的执行由Cilium的eBPF数据平面完成。Hubble是“眼睛”，Cilium是“手”。
1.3 Cilium生态与Hubble的关系
Cilium是一个基于eBPF的云原生网络、安全与观测平台，而Hubble是其内置的观测子系统。两者关系可以概括为：
- Cilium：提供eBPF数据平面，负责网络策略、负载均衡、加密通信等核心功能。
- Hubble：作为Cilium的观测层，从Cilium的eBPF程序中提取网络事件，聚合、存储并提供查询接口。
在Cilium架构中，Hubble以DaemonSet形式运行在每个节点上，通过Unix Socket与Cilium Agent通信，获取eBPF事件流。Hubble Relay组件负责聚合多节点的数据，对外提供统一的gRPC API。用户可以通过hubble observe命令行、Hubble UI或Prometheus指标来消费这些数据。
1.4 课程目标与学习路径
本课程旨在帮助学员系统掌握使用Hubble进行Kubernetes网络观测与故障排查的技能。课程从eBPF基础原理出发，逐步深入到Hubble的部署、配置、数据查询、可视化以及实战故障排查。
| 模块 | 核心内容 | 学习产出 |
|---|---|---|
| 基础篇 | eBPF原理、Cilium架构、Hubble组件 | 理解Hubble在Cilium生态中的定位 |
| 部署篇 | 安装Cilium、启用Hubble、配置UI | 搭建完整的Hubble观测环境 |
| 查询篇 | hubble observe CLI、流日志过滤、JSON输出 | 熟练使用CLI进行网络数据查询 |
| 可视化篇 | Hubble UI服务依赖图、指标面板 | 通过可视化界面分析网络拓扑 |
| 指标篇 | Prometheus指标暴露、Grafana仪表盘 | 构建网络监控看板 |
| 故障排查篇 | 丢包定位、延迟分析、策略冲突排查 | 独立解决常见网络故障 |
| 进阶篇 | 自定义eBPF观测点、Hubble插件开发 | 扩展Hubble观测能力 |
学习建议：本课程需要一定的Linux和Kubernetes基础。建议学员在实验环境中跟随操作，每个模块都配有可复现的实战案例。课程末尾的故障排查篇将综合运用前面所有知识，模拟真实生产环境中的网络问题。
1.5 为什么选择Hubble进行网络观测？
在Kubernetes环境中，网络观测面临诸多挑战：Pod IP动态变化、服务网格加密流量、多租户隔离等。Hubble通过eBPF技术，提供了其他工具难以比拟的优势：
- 零侵入：无需修改应用代码、无需Sidecar代理，直接在内核层捕获数据。
- 全量覆盖：自动感知集群中所有网络连接，包括被网络策略拒绝的流量。
- 低开销：eBPF程序在内核态运行，CPU和内存消耗极低，适合生产环境长期开启。
- 原生Kubernetes集成：直接理解Pod、Service、Namespace等Kubernetes对象，输出带标签的流日志。
一句话总结：Hubble = eBPF内核观测能力 + Kubernetes网络语义 + 可视化故障排查工具。它是云原生时代网络观测的事实标准。