1. 课程导论：流量可视化与 eBPF 配额校准的背景、目标与核心挑战

1.1 背景：从“黑盒”到“可观测”的演进

现代分布式系统与微服务架构的普及，使得网络流量呈现出前所未有的复杂性与动态性。传统的监控手段（如 SNMP、sFlow、NetFlow）在应对高频率、短连接、加密流量时，逐渐暴露出采样率低、内核态数据丢失、应用层关联困难等短板。运维与 SRE 团队常常面临以下困境：

• 流量路径不透明：数据包经过多个中间件、网关、Sidecar，故障发生时难以快速定位丢包或延迟的根因。
• 配额与限速“盲调”：基于静态阈值的限流策略无法适应突发流量，频繁出现误限或漏限，导致服务降级或资源浪费。
• 观测数据与真实行为脱节：传统监控工具依赖内核统计计数，但计数器的更新时机、原子性、溢出处理存在差异，导致“观测到的流量”与“实际通过的流量”之间存在系统性偏差。

eBPF（extended Berkeley Packet Filter）技术的成熟，为上述问题提供了全新的解决路径。eBPF 允许在内核安全地运行沙箱程序，以极低的开销捕获网络事件、跟踪系统调用、聚合连接级指标，从而实现了真正的全量、实时、可编程的流量观测。

1.2 目标：构建可校准的流量观测体系

本课程的核心目标并非仅仅展示 eBPF 如何抓包，而是建立一套“观测-校准-定位”的闭环方法论。具体目标分解如下：

1.3 核心挑战：精度、开销与语义鸿沟

尽管 eBPF 提供了强大的观测能力，但在实际落地“流量可视化 + 配额校准”时，仍面临三大核心挑战：

1. 观测精度与系统开销的平衡：全量捕获每个数据包会带来显著的 CPU 和内存开销。如何在保证关键指标（如 P99 延迟、丢包率）精度的前提下，通过自适应采样或内核聚合降低开销，是工程落地的首要难题。
2. 配额计数器的语义鸿沟：内核的 struct net_device_stats、cgroup v2 的 io.stat、中间件的限流计数器，其更新时机（软中断 vs 进程上下文）、统计口径（字节数 vs 数据包数）、原子性保证各不相同。eBPF 观测到的“真实流量”与这些计数器之间往往存在系统性偏差，需要建立校准映射。
3. 动态环境下的基准漂移：内核版本升级、网卡驱动变更、CPU 频率缩放、NUMA 亲和性调整，都会导致 eBPF 程序的执行路径和开销发生变化。静态的校准模型无法适应这种动态性，需要引入在线校准与异常检测机制。

1.4 课程技术栈与整体架构

本课程围绕以下技术栈展开，并构建了一套分层架构图来直观展示各组件的关系：

• 内核层：eBPF (kprobe/tracepoint/XDP/TC)、cgroup v2、netfilter
• 数据采集层：libbpf / Cilium eBPF、Go 用户态加载器、Ring Buffer / Perf Event
• 校准引擎层：偏差计算模型、滑动窗口统计、异常漂移检测
• 可视化与告警层：Prometheus + Grafana、自定义拓扑图、延迟分解瀑布图

1.5 课程适用人群与前置知识

本课程面向以下三类核心受众，并建议具备相应的前置基础：