2. eBPF技术基础：eBPF架构、eBPF程序类型、eBPF Map、eBPF在Cilium中的应用

eBPF（extended Berkeley Packet Filter）是Linux内核中一种革命性的沙箱技术，允许用户在不修改内核源码或加载内核模块的情况下，安全高效地在内核空间运行自定义程序。Cilium正是基于eBPF实现了网络、可观测性与安全策略。理解eBPF是掌握Cilium通信机制的前提。

2.1 eBPF架构

eBPF架构由用户空间、内核验证器/即时编译器（JIT）以及内核钩子三部分组成。程序通过系统调用（bpf()）加载，经过严格验证后由JIT编译为原生机器码执行。

2.2 eBPF程序类型

eBPF程序类型决定了其附着点和可访问的上下文。Cilium主要使用以下几种类型：

2.3 eBPF Map

eBPF Map是内核空间与用户空间、以及不同eBPF程序之间共享数据的核心数据结构。Map类型决定了存储方式和访问性能。

常用Map类型对比

// 示例：使用libbpf创建Hash Map
struct bpf_map_def SEC("maps") my_map = {
    .type = BPF_MAP_TYPE_HASH,
    .key_size = sizeof(u32),
    .value_size = sizeof(struct my_value),
    .max_entries = 65536,
};

2.4 eBPF在Cilium中的应用

Cilium将eBPF的能力系统化地应用于容器网络的每个环节，实现了高性能、可编程的数据平面。

Cilium中eBPF的关键应用细节

• 网络策略执行：Cilium在TC Ingress/Egress钩子中加载eBPF程序，通过bpf_map_lookup_elem()查询Identity Map，实现基于安全身份的L3/L4/L7策略，无需iptables规则遍历。
• 服务负载均衡：利用XDP程序在网卡驱动层直接完成DNAT和反向转换，实现每秒百万级新建连接，延迟降低至微秒级。
• 连接跟踪：使用LRU_HASH Map维护连接跟踪表，支持NAT和策略状态跟踪，避免内核conntrack的性能瓶颈。
• Hubble可观测性：通过Tracepoint和Kprobe程序捕获网络事件，使用Ringbuf Map将事件高效传递到用户空间的Hubble组件。

eBPF程序生命周期管理