3. 流量可视化基础：网络流量模型、五元组、数据包捕获原理

流量可视化是网络可观测性的核心入口。要理解 eBPF 如何实现高效的流量监控与配额校准，首先需要掌握三个基础概念：网络流量模型（描述流量如何产生与流动）、五元组（标识每条流的唯一钥匙）、数据包捕获原理（从网卡到应用的全路径）。

3.1 网络流量模型：从宏观到微观

网络流量模型帮助我们理解数据在网络中的行为模式。从可视化角度，流量模型通常分为三个层次：

下图展示了从应用层到物理层的流量模型分层结构，以及 eBPF 在各层的探测点：

3.2 五元组：网络流的唯一标识

五元组是网络通信中最核心的标识结构，它由五个字段唯一确定一条网络连接：

• 源 IP 地址：发起通信的主机 IP
• 目的 IP 地址：接收通信的主机 IP
• 源端口号：发起端应用层端口
• 目的端口号：接收端应用层端口
• 传输层协议：TCP 或 UDP（或 SCTP 等）

下表展示了五元组在流量可视化中的典型应用场景：

3.3 数据包捕获原理：从网卡到 eBPF

数据包捕获是流量可视化的底层基础。传统捕获方式与 eBPF 捕获方式在路径和性能上存在显著差异：

3.3.1 传统数据包捕获路径

1. 网卡接收：数据帧到达网卡，通过 DMA 写入内核缓冲区
2. 内核协议栈处理：依次经过链路层、网络层、传输层
3. 套接字分发：根据五元组匹配到对应的 socket
4. 用户态捕获：libpcap / AF_PACKET 从内核缓冲区拷贝数据到用户态
5. 应用处理：tcpdump / Wireshark 等工具进行解析和展示

3.3.2 eBPF 数据包捕获路径

eBPF 通过在内核中注入安全高效的钩子程序，实现了零拷贝或极低开销的捕获：

• XDP（eXpress Data Path）：在网卡驱动层直接处理数据包，无需经过完整协议栈
• TC（Traffic Control）：在协议栈入口/出口处挂载 eBPF 程序
• 套接字过滤器：通过 BPF_PROG_TYPE_SOCKET_FILTER 在 socket 层过滤

下图对比了传统捕获与 eBPF 捕获的路径差异：

3.4 五元组在 eBPF 中的提取与统计

在 eBPF 程序中，五元组的提取通常发生在 XDP 或 TC 钩子中。以下是一个简化的 eBPF 代码片段，展示如何从数据包中提取五元组并更新统计映射：

// 五元组结构定义
struct flow_key {
    __u32 src_ip;
    __u32 dst_ip;
    __u16 src_port;
    __u16 dst_port;
    __u8  protocol;
};

// 统计映射：五元组 → 字节数/包数
struct {
    __uint(type, BPF_MAP_TYPE_HASH);
    __uint(max_entries, 65536);
    __type(key, struct flow_key);
    __type(value, struct flow_stats);
} flow_stats_map SEC(".maps");

// XDP 钩子程序
SEC("xdp")
int xdp_flow_monitor(struct xdp_md *ctx) {
    void *data_end = (void *)(long)ctx->data_end;
    void *data = (void *)(long)ctx->data;

    // 解析以太网头
    struct ethhdr *eth = data;
    if ((void *)(eth + 1) > data_end) return XDP_PASS;

    // 解析 IP 头
    struct iphdr *ip = data + sizeof(*eth);
    if ((void *)(ip + 1) > data_end) return XDP_PASS;

    // 提取五元组
    struct flow_key key = {};
    key.src_ip = ip->saddr;
    key.dst_ip = ip->daddr;
    key.protocol = ip->protocol;

    // 解析传输层端口
    if (ip->protocol == IPPROTO_TCP) {
        struct tcphdr *tcp = (void *)ip + (ip->ihl * 4);
        if ((void *)(tcp + 1) > data_end) return XDP_PASS;
        key.src_port = tcp->source;
        key.dst_port = tcp->dest;
    } else if (ip->protocol == IPPROTO_UDP) {
        struct udphdr *udp = (void *)ip + (ip->ihl * 4);
        if ((void *)(udp + 1) > data_end) return XDP_PASS;
        key.src_port = udp->source;
        key.dst_port = udp->dest;
    }

    // 更新统计
    struct flow_stats *stats = bpf_map_lookup_elem(&flow_stats_map, &key);
    if (stats) {
        __sync_fetch_and_add(&stats->bytes, data_end - data);
        __sync_fetch_and_add(&stats->packets, 1);
    } else {
        struct flow_stats new_stats = {.bytes = data_end - data, .packets = 1};
        bpf_map_update_elem(&flow_stats_map, &key, &new_stats, BPF_ANY);
    }

    return XDP_PASS;
}

3.5 流量可视化数据流总结

综合以上内容，流量可视化的完整数据流可以概括为以下步骤：

1. 捕获：通过 eBPF XDP/TC 钩子在内核中捕获每个数据包
2. 解析：提取五元组（源/目的 IP、端口、协议）
3. 聚合：按五元组为 key，在 eBPF map 中累加字节数和包数
4. 输出：用户态程序通过 perf_event 或 map 读取统计结果
5. 可视化：将聚合后的流量数据以图表、拓扑等形式呈现