4. eBPF 数据采集：使用 eBPF 进行网络数据包捕获与元数据提取

eBPF（extended Berkeley Packet Filter）是 Linux 内核中革命性的沙箱运行时环境，允许用户在不修改内核源码或加载内核模块的情况下，安全高效地执行自定义程序。在网络流量可视化与配额校准场景中，eBPF 是数据采集的核心引擎，它能够在内核协议栈的关键路径上挂载钩子（Hook），以极低的性能开销捕获原始数据包并提取关键元数据。

4.1 核心捕获机制：XDP 与 TC 钩子

eBPF 提供了两种主要的网络数据包捕获路径，分别位于内核协议栈的不同层级，适用于不同的性能与功能需求。

4.2 元数据提取：从原始帧到结构化信息

eBPF 程序的核心任务是从捕获到的数据包中提取出用于流量可视化和配额计算的元数据。这些元数据通常包括五元组、应用层协议标识、时间戳以及容器/进程标识。

4.2.1 关键元数据字段

• 五元组： 源 IP、目的 IP、源端口、目的端口、传输层协议（TCP/UDP）。
• 时间戳： 内核高精度时间戳（bpf_ktime_get_ns），用于计算流量速率和延迟。
• 数据包长度： 原始帧长度（len）或有效载荷长度。
• 容器/进程标识： cgroup ID、PID、TGID，用于将流量归属到具体的服务或租户。
• 应用层协议： 通过端口或深度包检测（DPI）识别 HTTP、DNS、gRPC 等。

4.2.2 提取示例：TC ingress 程序片段

以下代码展示了如何在 TC ingress 钩子中提取五元组和长度信息，并将其存储到 perf event 中发送到用户空间。

// tc_ingress_kern.c (简化示例)
#include <linux/bpf.h>
#include <linux/if_ether.h>
#include <linux/ip.h>
#include <linux/tcp.h>
#include <bpf/bpf_helpers.h>

struct packet_info {
    __u32 saddr;
    __u32 daddr;
    __u16 sport;
    __u16 dport;
    __u8  protocol;
    __u32 pkt_len;
    __u64 timestamp;
};

struct {
    __uint(type, BPF_MAP_TYPE_PERF_EVENT_ARRAY);
    __uint(key_size, sizeof(__u32));
    __uint(value_size, sizeof(__u32));
} perf_map SEC(".maps");

SEC("tc")
int tc_ingress_func(struct __sk_buff *skb) {
    struct packet_info info = {};
    void *data_end = (void *)(long)skb->data_end;
    void *data = (void *)(long)skb->data;

    // 解析以太网头
    struct ethhdr *eth = data;
    if ((void *)(eth + 1) > data_end) return TC_ACT_OK;

    // 解析 IP 头
    struct iphdr *ip = data + sizeof(*eth);
    if ((void *)(ip + 1) > data_end) return TC_ACT_OK;

    info.saddr = ip->saddr;
    info.daddr = ip->daddr;
    info.protocol = ip->protocol;
    info.pkt_len = skb->len;
    info.timestamp = bpf_ktime_get_ns();

    // 解析 TCP/UDP 头
    if (ip->protocol == IPPROTO_TCP) {
        struct tcphdr *tcp = (void *)ip + sizeof(*ip);
        if ((void *)(tcp + 1) > data_end) return TC_ACT_OK;
        info.sport = bpf_ntohs(tcp->source);
        info.dport = bpf_ntohs(tcp->dest);
    } else if (ip->protocol == IPPROTO_UDP) {
        struct udphdr *udp = (void *)ip + sizeof(*ip);
        if ((void *)(udp + 1) > data_end) return TC_ACT_OK;
        info.sport = bpf_ntohs(udp->source);
        info.dport = bpf_ntohs(udp->dest);
    }

    // 发送到用户空间
    bpf_perf_event_output(skb, &perf_map, BPF_F_CURRENT_CPU,
                          &info, sizeof(info));
    return TC_ACT_OK;
}

4.3 数据采集架构：从内核到用户空间的管道

一个完整的 eBPF 数据采集系统需要将内核中提取的元数据高效、可靠地传递到用户空间的监控或校准程序。下图展示了这一架构的核心组件与数据流。

4.4 性能考量与优化策略

在生产环境中，eBPF 数据采集的性能直接影响业务稳定性。以下是几个关键的优化方向：

• 采样率控制： 对于超高带宽链路（如 100Gbps），建议采用自适应采样或固定比例采样（如 1:1000），避免 perf event 缓冲区溢出。
• Map 类型选择： 使用 BPF_MAP_TYPE_PERF_EVENT_ARRAY 而非 BPF_MAP_TYPE_RINGBUF 时，注意 CPU 亲和性设置，确保读取线程与生产线程绑定在同一核心。
• 校验与边界检查： 在 eBPF 程序中必须对所有指针进行边界检查（如 data + offset < data_end），否则会被 verifier 拒绝加载。
• 批量处理： 用户空间读取程序应使用 perf_buffer__poll() 的批量回调机制，减少系统调用次数。

4.5 元数据提取清单

以下清单总结了在配额校准场景中必须提取的元数据字段及其用途：

4.6 小结