2. eBPF基础：eBPF虚拟机架构、指令集、验证器与JIT编译器、eBPF程序类型概述

eBPF（extended Berkeley Packet Filter）是Linux内核中一种革命性的沙箱化运行时环境，允许用户在不修改内核源码或加载内核模块的情况下，安全高效地注入自定义程序。理解eBPF的底层架构是掌握Cilium网络优化的前提。本节将深入剖析eBPF虚拟机的核心组件、指令集设计、安全验证机制以及程序类型分类。

2.1 eBPF虚拟机架构

eBPF并非模拟一个完整的CPU，而是一个轻量级的、事件驱动的虚拟指令集架构。它被设计为运行在内核上下文中，拥有独立的寄存器、指令集和辅助函数调用约定。其核心架构如下图所示：

eBPF虚拟机由以下几个关键组件构成：

• 寄存器模型：eBPF拥有11个64位寄存器（R0-R10），其中R0用于函数返回值，R1-R5用于函数参数传递，R6-R9为通用寄存器，R10为栈帧指针。
• 栈空间：最大512字节，用于局部变量存储，不支持动态分配。
• 辅助函数调用：eBPF程序不能直接调用内核函数，必须通过预定义的辅助函数（helper functions）与内核交互，确保安全。
• eBPF Maps：内核态与用户态共享数据的关键结构，支持哈希表、数组、LRU、Per-CPU等多种类型。

2.2 eBPF指令集与编码格式

eBPF指令集采用固定长度64位编码，设计简洁高效。每条指令由操作码、目标寄存器、源寄存器以及立即数/偏移量组成。指令格式如下表所示：

位域	63:32	31:16	15:0
字段	立即数 (imm)	偏移量 (off)	源寄存器 (src_reg)
位域	31:0	15:0	31:16
字段	目标寄存器 (dst_reg)	操作码 (opcode)	指令类别 (class)

指令集主要分为以下几类：

• ALU (算术逻辑指令)：ADD、SUB、MUL、DIV、AND、OR、LSH、RSH等，支持64位和32位操作。
• JMP (跳转指令)：JEQ、JGT、JGE、JSET、CALL、EXIT等，支持条件跳转和函数调用。
• LD/ST (加载/存储指令)：LDXW、LDXH、LDXB、STW、STH、STB等，用于访问栈、数据包和Map。
• 特殊指令：LD_ABS/LD_IND用于网络数据包上下文中的/间接加载。

2.3 eBPF验证器与JIT编译器

验证器（Verifier）是eBPF安全性的基石，JIT编译器则是性能的关键。两者协同工作，确保eBPF程序既安全又高效。

2.3.1 验证器工作原理

验证器在加载阶段对eBPF字节码进行静态分析，主要执行以下检查：

1. 控制流完整性：构建控制流图（CFG），确保所有路径都终止于EXIT指令，不存在死循环或不可达代码。
2. 栈边界检查：验证所有内存访问（读/写）都在栈空间（0-512字节）或数据包边界内。
3. 指针类型安全：区分可读指针、可写指针和标量值，禁止对未验证的指针进行算术运算。
4. 辅助函数参数检查：确保传递给辅助函数的参数类型和数量正确。
5. 路径敏感分析：模拟程序执行路径，跟踪寄存器状态和栈状态，检测潜在的空指针解引用或越界访问。

2.3.2 JIT编译器

JIT（Just-In-Time）编译器将验证通过的eBPF字节码转换为目标CPU的本地机器指令，消除了解释执行的开销。主要特性包括：

• 架构支持：x86_64、ARM64、RISC-V、s390x等主流架构。
• 寄存器映射：将eBPF虚拟寄存器映射到物理CPU寄存器，减少内存访问。
• 指令选择：将eBPF指令序列优化为高效的本地指令序列，例如将条件跳转映射为CPU的条件码。
• 尾调用优化：支持eBPF程序之间的尾调用（tail call），避免栈溢出。

以下是一个简单的eBPF程序示例，展示其加载和验证流程：

// 示例：eBPF程序统计接收到的数据包数量
#include <linux/bpf.h>
#include <bpf/bpf_helpers.h>

struct {
    __uint(type, BPF_MAP_TYPE_ARRAY);
    __uint(max_entries, 1);
    __type(key, __u32);
    __type(value, __u64);
} pkt_count SEC(".maps");

SEC("xdp")
int count_packets(struct xdp_md *ctx) {
    __u32 key = 0;
    __u64 *count = bpf_map_lookup_elem(&pkt_count, &key);
    if (count) {
        __sync_fetch_and_add(count, 1);
    }
    return XDP_PASS;
}

char _license[] SEC("license") = "GPL";

2.4 eBPF程序类型概述

eBPF程序类型决定了程序可以挂载到哪个内核事件点、可以访问哪些上下文结构以及允许调用哪些辅助函数。Cilium主要使用网络相关的程序类型。下表列出了核心的程序类型及其用途：

程序类型	挂载点	上下文结构	典型用途
BPF_PROG_TYPE_XDP	网络驱动层（RX队列）	struct xdp_md	DDoS防御、负载均衡、包过滤（Cilium CNI）
BPF_PROG_TYPE_SCHED_CLS	TC（Traffic Control）入/出方向	struct __sk_buff	容器网络策略、带宽管理、流量镜像
BPF_PROG_TYPE_SOCKET_FILTER	套接字层	struct __sk_buff	套接字级别过滤、DNS监控
BPF_PROG_TYPE_KPROBE	内核函数入口/出口	struct pt_regs	内核性能分析、故障诊断
BPF_PROG_TYPE_TRACEPOINT	内核静态跟踪点	跟踪点特定结构	系统调用追踪、网络事件监控
BPF_PROG_TYPE_CGROUP_SKB	CGroup网络控制器	struct __sk_buff	容器出站/入站流量控制
BPF_PROG_TYPE_FLOW_DISSECTOR	网络流分类	struct __sk_buff	自定义流哈希计算

在Cilium中，XDP和TC程序是数据路径的核心。XDP程序在网卡驱动层处理数据包，具有极低的延迟；TC程序则在协议栈中处理，提供更丰富的网络语义支持。两者结合，实现了Cilium高性能的容器网络方案。