2. eBPF 基础回顾：程序类型、Map 机制与流量监控中的探针应用

在深入 Hubble 流量可视化与配额校准之前，必须夯实 eBPF 的核心基础。eBPF 并非单一技术，而是一套由程序类型、Map 数据结构和探针挂载点构成的完整沙箱执行框架。本章将聚焦于流量监控场景，梳理这三者的协作关系。

2.1 eBPF 程序类型：按挂载场景分类

eBPF 程序类型决定了它能在内核的哪个子系统、哪个事件点被触发。在流量监控领域，最常用的类型如下：

2.2 eBPF Map：内核与用户态的共享数据桥梁

eBPF 程序运行在内核沙箱中，无法直接调用用户态函数。Map 是唯一受支持的内核态-用户态数据交换通道。Map 类型多样，流量监控中最核心的几种如下：

• BPF_MAP_TYPE_HASH：键值对存储，用于记录连接五元组 → 字节计数、包计数。
• BPF_MAP_TYPE_PERCPU_HASH：每个 CPU 独立副本，消除锁竞争，适合高吞吐流量统计。
• BPF_MAP_TYPE_RINGBUF / BPF_MAP_TYPE_PERF_EVENT_ARRAY：将事件流从内核推送到用户态，Hubble 使用 Ringbuf 传输连接事件。
• BPF_MAP_TYPE_ARRAY：固定大小索引数组，常用于全局配置或配额阈值。

2.3 Kprobe 与 Tracepoint：动态与静态探针的选择

流量监控需要在内核网络路径的关键函数上插入观测点。Kprobe 和 Tracepoint 是两种主要手段，其差异直接影响可观测性的稳定性：

2.4 流量监控中的探针协作流程

下图展示了从数据包到达网卡到用户态 Hubble 获取连接事件的完整 eBPF 探针协作路径：

2.5 配额校准场景中的 eBPF 数据流

在配额校准故障排查中，eBPF 程序需要同时维护实时计数器和配额阈值。下图展示了典型的多 Map 协作架构：

2.6 关键代码片段：流量计数 eBPF 程序骨架

以下是一个简化版的流量计数 eBPF 程序，展示了 Kprobe 挂载、Map 操作与配额检查的核心逻辑：

// 配额阈值 Map：key = cgroup_id, value = 字节上限
struct {
    __uint(type, BPF_MAP_TYPE_HASH);
    __uint(max_entries, 1024);
    __type(key, u64);
    __type(value, u64);
} quota_map SEC(".maps");

// 实时计数器 Map：Per-CPU，key = 五元组, value = 累计字节
struct {
    __uint(type, BPF_MAP_TYPE_PERCPU_HASH);
    __uint(max_entries, 65536);
    __type(key, struct flow_key);
    __type(value, u64);
} counter_map SEC(".maps");

// 事件通知 Ringbuf
struct {
    __uint(type, BPF_MAP_TYPE_RINGBUF);
    __uint(max_entries, 1 << 16);
} event_ringbuf SEC(".maps");

SEC("kprobe/tcp_sendmsg")
int trace_tcp_sendmsg(struct pt_regs *ctx)
{
    struct flow_key key = extract_flow_key(ctx);
    u64 cgroup_id = bpf_get_current_cgroup_id();

    // 1. 查询配额阈值
    u64 *quota = bpf_map_lookup_elem(&quota_map, &cgroup_id);
    if (!quota) return 0;  // 未配置配额，跳过

    // 2. 更新 Per-CPU 计数器
    u64 *count = bpf_map_lookup_elem(&counter_map, &key);
    u64 size = PT_REGS_PARM2(ctx);  // 获取数据包大小
    if (count) {
        __sync_fetch_and_add(count, size);
    } else {
        u64 init = size;
        bpf_map_update_elem(&counter_map, &key, &init, BPF_ANY);
    }

    // 3. 检查是否超限
    if (*count > *quota) {
        struct quota_event *evt = bpf_ringbuf_reserve(&event_ringbuf,
                                                      sizeof(*evt), 0);
        if (evt) {
            evt->cgroup_id = cgroup_id;
            evt->current_bytes = *count;
            evt->quota_bytes = *quota;
            bpf_ringbuf_submit(evt, 0);
        }
    }
    return 0;
}