3、网络观测核心原理：网络数据包路径、内核协议栈关键钩子点、eBPF如何捕获网络事件
要构建高效的 eBPF 网络观测制品库，首先必须理解网络数据包在内核中的完整旅程。本章将深入剖析数据包从网卡到用户空间的路径、内核协议栈的关键钩子点，以及 eBPF 程序如何在这些钩子点捕获网络事件并导出指标。
3.1 网络数据包在内核中的完整路径
一个网络数据包从物理网卡到达用户态应用程序，需要经过多个内核子系统。理解这一路径是定位观测点的基础。
关键路径阶段： 网卡接收 → 驱动层 → 内核协议栈（IP 层、TCP/UDP 层）→ Socket 层 → 用户态。
下表总结了数据包接收路径中的核心阶段及其职责：
| 阶段 | 所在层级 | 核心操作 | 关键数据结构 |
|---|---|---|---|
| 网卡接收 | 硬件/驱动 | DMA 写入 Ring Buffer，触发硬中断 | sk_buff 分配 |
| NAPI 轮询 | 驱动层 | 关闭硬中断，软中断轮询收包 | napi_struct |
| IP 层处理 | 网络层 | 路由查找、分片重组、Netfilter 钩子 | ip_rcv, nf_hook |
| 传输层处理 | 传输层 | TCP 重组、UDP 接收队列 | tcp_v4_rcv, udp_rcv |
| Socket 层 | 会话层 | 数据放入 Socket 接收缓冲区 | sock, sk_receive_queue |
下图展示了数据包从网卡到用户态应用程序的完整流程，并标注了 eBPF 可以挂载的关键探测点：
3.2 内核协议栈关键钩子点
eBPF 程序可以挂载到内核协议栈的不同层级。选择合适的钩子点决定了观测的粒度、性能和可观测范围。以下是生产环境中最重要的钩子点对比：
| 钩子点类型 | 挂载位置 | 捕获时机 | 性能开销 | 典型用途 |
|---|---|---|---|---|
| XDP | 网卡驱动层 | 数据包进入内核前 | 极低 | DDoS 防护、包过滤、早期丢弃 |
| TC (cls_bpf) | 网络设备层 | 数据包入/出协议栈前 | 低 | 流量控制、QoS、包修改 |
| Netfilter (kprobe) | IP 层钩子 | 路由决策前后 | 中 | 连接跟踪、NAT 观测 |
| tracepoint | 协议栈稳定点 | TCP/UDP 事件触发时 | 低-中 | 连接生命周期、重传、延迟 |
| kprobe/kretprobe | 任意内核函数 | 函数入口/返回 | 中-高 | 自定义深度追踪、调试 |
最佳实践： 对于网络观测制品库，优先使用 tracepoint 和 XDP/TC。tracepoint 提供稳定的 ABI，适合长期指标采集；XDP/TC 适合高性能包处理场景。kprobe 应作为补充手段，用于 tracepoint 覆盖不到的细节。
3.3 eBPF 如何捕获网络事件
eBPF 程序通过挂载到上述钩子点，在内核事件发生的瞬间执行自定义逻辑。捕获网络事件的核心流程包括：
- 事件触发： 数据包到达钩子点（如 XDP 或 tracepoint），内核调用挂载的 eBPF 程序。
- 上下文提取： eBPF 程序从
__sk_buff或pt_regs中提取五元组、长度、时间戳等信息。 - 指标计算： 在 eBPF 程序中使用 BPF_MAP_TYPE_PERCPU_HASH 或 BPF_MAP_TYPE_ARRAY 进行计数器累加、延迟计算。
- 数据导出： 通过 BPF_MAP_TYPE_PERF_EVENT_ARRAY 或 BPF_MAP_TYPE_RINGBUF 将事件推送到用户态。
- Prometheus 转换： 用户态采集器读取 map 数据，转换为 Prometheus 指标格式。
以下是一个典型的 eBPF 程序捕获 TCP 连接事件的代码片段：
// 定义事件结构体
struct tcp_event {
__u32 saddr;
__u32 daddr;
__u16 sport;
__u16 dport;
__u64 timestamp_ns;
};
// BPF 映射：用于导出事件
struct {
__uint(type, BPF_MAP_TYPE_RINGBUF);
__uint(max_entries, 1 << 24); // 16MB
} tcp_events SEC(".maps");
// 挂载到 tracepoint: tcp/tcp_connect
SEC("tracepoint/tcp/tcp_connect")
int trace_tcp_connect(struct trace_event_raw_tcp_event_sk *ctx) {
struct tcp_event *event;
event = bpf_ringbuf_reserve(&tcp_events, sizeof(*event), 0);
if (!event) return 0;
// 从 socket 结构中提取信息
struct sock *sk = (struct sock *)ctx->skaddr;
event->saddr = BPF_CORE_READ(sk, __sk_common.skc_rcv_saddr);
event->daddr = BPF_CORE_READ(sk, __sk_common.skc_daddr);
event->sport = BPF_CORE_READ(sk, __sk_common.skc_num);
event->dport = BPF_CORE_READ(sk, __sk_common.skc_dport);
event->timestamp_ns = bpf_ktime_get_ns();
bpf_ringbuf_submit(event, 0);
return 0;
}
注意事项： eBPF 程序运行在内核上下文，受限于严格的验证器规则。不能调用任意内核函数，不能使用循环（除非有界），栈大小限制为 512 字节。所有数据提取必须使用
BPF_CORE_READ 宏以保证兼容性。
3.4 从捕获到 Prometheus 指标
eBPF 捕获的原始事件需要经过用户态处理才能成为 Prometheus 指标。下图展示了从内核事件到 Prometheus 指标的完整数据流：
用户态采集器（如基于 Go 或 Rust 的 eBPF 加载器）通过 bpf_object__open 和 bpf_object__load 加载 eBPF 程序，然后周期性地从 BPF Map 中读取数据，转换为 Prometheus 的 Counter、Gauge 或 Histogram 指标类型，最终通过 HTTP 端点暴露。
核心指标设计原则：
- Counter：用于累计事件计数，如连接数、重传数、丢包数。
- Gauge：用于瞬时值，如当前活跃连接数、队列深度。
- Histogram：用于延迟分布，如 TCP 握手延迟、数据包处理耗时。
- 标签（Labels）：包含五元组、协议类型、接口名、方向等维度。
通过本章的学习，你应该能够清晰地描述网络数据包在内核中的路径，识别关键钩子点，并理解 eBPF 如何将内核事件转化为可观测的 Prometheus 指标。这是后续构建网络观测制品库的理论基础。