1. 课程导论：Hubble 与 eBPF 的关系、Cilium 生态中的定位、配额校准的痛点

1.1 从 eBPF 到 Hubble：可观测性的技术基石

eBPF（extended Berkeley Packet Filter）是 Linux 内核的一种革命性沙箱技术，允许用户在不修改内核源码或加载内核模块的前提下，安全、高效地注入自定义程序。在云原生网络场景中，eBPF 提供了对数据包、系统调用、内核事件的细粒度钩子能力，是 Cilium 和 Hubble 的底层执行引擎。

Hubble 本质上是 Cilium 的可观测性层，它利用 eBPF 程序在内核态采集网络流、DNS 请求、TCP 状态变化等事件，并通过用户态组件进行聚合、存储和暴露。两者关系可以概括为：eBPF 提供数据采集能力，Hubble 提供数据消费与可视化能力。

1.2 Cilium 生态中的定位：Hubble 不是独立产品

在 Cilium 生态中，Hubble 是作为可观测性子系统存在的，与 Cilium 的网络策略、负载均衡、加密通信等核心功能深度绑定。下表清晰展示了 Hubble 在 Cilium 整体架构中的位置与职责：

1.3 配额校准的痛点：为什么需要专门排查？

在 Kubernetes 多租户或资源管控场景中，运维团队经常需要基于 Hubble 的流量数据来校准网络配额（如带宽上限、连接数限制、DNS 请求频率）。然而，实际生产中 Hubble 的流量统计与底层 eBPF 的原始计数之间经常出现偏差，导致配额校准失败或误判。以下是常见的痛点分类：

• 计数口径不一致： Hubble 统计的是应用层解析后的流量（如 HTTP 请求数），而 eBPF 在 TC/XDP 层统计的是原始网络包字节数。两者之间缺少统一的转换因子。
• 丢包与重传干扰： eBPF 程序可能因为 map 满、CPU 限速或内核内存压力而丢事件，导致 Hubble 看到的流量低于实际值。
• 标签丢失或错误： Hubble 依赖 Cilium 身份（Identity）来关联流量与工作负载。当身份同步延迟或策略变更时，流量可能被错误归入“未知”类别，影响配额归属。
• 多副本聚合误差： 在多个 Cilium Agent 节点上，Hubble Relay 需要合并来自不同节点的流日志。时间戳对齐、重复去重、排序等环节都可能引入计数误差。
• eBPF map 竞争： 高并发场景下，多个 eBPF 程序同时写入同一个 map，可能导致计数器原子性失效，出现少计或多计。

1.4 课程核心目标与学习路径

本课程将围绕以下三个核心目标展开：

1. 理解 Hubble 与 eBPF 的数据链路： 从 eBPF 程序挂载点 → map 读写 → Hubble 用户态采集 → Relay 聚合 → UI 展示，完整掌握数据流转路径。
2. 掌握配额校准的排查方法： 通过实战案例，学会使用 bpftool、cilium monitor、hubble observe、PromQL 等工具定位计数偏差的根因。
3. 建立可观测性运维体系： 将 Hubble 的流量数据与 CiliumNetworkPolicy、带宽管理器、DNS 限速等配额机制联动，形成闭环校准流程。

下表总结了本课程各章节的核心知识点分布：