2. eBPF基础：程序类型、验证器、映射与辅助函数

eBPF（extended Berkeley Packet Filter）是Linux内核中一种革命性的沙箱化程序执行引擎。它允许用户在不修改内核源码或加载内核模块的情况下，安全、高效地注入自定义代码。本章将深入剖析eBPF的四大核心支柱：程序类型、验证器、映射与辅助函数，为后续网络观测与配额校准打下坚实基础。

2.1 eBPF程序类型：挂载点决定能力

eBPF程序类型决定了程序可以挂载到内核的哪个事件点，以及可以访问哪些上下文数据。每种类型都对应一个特定的内核子系统或功能。以下是网络观测场景中最常用的几种类型：

2.2 eBPF验证器：安全性的守门员

eBPF验证器是内核中一个静态代码分析引擎，它确保所有加载的eBPF程序不会破坏内核稳定性。验证过程分为两个阶段：

1. 第一阶段：CFG（控制流图）检查 — 确保程序无循环、无死代码、指令数不超过上限（通常4096条）。
2. 第二阶段：指令级安全检查 — 模拟执行每条指令，验证指针运算、内存访问边界、辅助函数调用合法性。

验证器会拒绝以下常见违规行为：

• 未检查的指针算术（可能导致越界访问）。
• 未初始化的变量读取。
• 栈上缓冲区溢出。
• 调用未授权的内核辅助函数。

2.3 eBPF映射：内核与用户态的数据桥梁

eBPF映射（Map）是内核中的键值存储结构，用于在eBPF程序之间、eBPF程序与用户态程序之间共享数据。映射类型决定了其数据结构和访问语义。

2.4 eBPF辅助函数：扩展内核能力

辅助函数（Helper Functions）是eBPF程序与内核交互的唯一合法接口。它们提供了一系列预定义的内核服务，如数据包读写、映射操作、时间获取、调试输出等。每个程序类型都有其允许调用的辅助函数白名单。

网络观测中常用的辅助函数包括：

• bpf_map_lookup_elem / bpf_map_update_elem — 映射读写操作。
• bpf_skb_load_bytes / bpf_skb_store_bytes — 安全读取/修改网络包数据。
• bpf_get_current_cgroup_id — 获取当前进程所属cgroup ID，用于配额校准。
• bpf_ktime_get_ns — 获取高精度时间戳，用于延迟测量。
• bpf_perf_event_output — 将数据发送到用户态perf环形缓冲区。

2.5 综合示例：配额校准中的eBPF程序骨架

以下是一个用于cgroup级别网络流量统计的eBPF程序骨架，展示了程序类型、映射和辅助函数的协同工作：

// 文件: quota_monitor.bpf.c
// 程序类型: BPF_PROG_TYPE_CGROUP_SKB

#include <linux/bpf.h>
#include <bpf/bpf_helpers.h>

// 定义每CPU哈希映射，用于存储每个cgroup的流量计数
struct {
    __uint(type, BPF_MAP_TYPE_PERCPU_HASH);
    __uint(max_entries, 1024);
    __type(key, __u64);          // cgroup ID
    __type(value, struct traffic_stats);
} cgroup_traffic_map SEC(".maps");

struct traffic_stats {
    __u64 packets;
    __u64 bytes;
};

SEC("cgroup_skb/ingress")
int cgroup_ingress(struct __sk_buff *skb) {
    __u64 cgroup_id = bpf_get_current_cgroup_id();
    struct traffic_stats *stats, new_stats = {};

    stats = bpf_map_lookup_elem(&cgroup_traffic_map, &cgroup_id);
    if (!stats) {
        // 首次见到该cgroup，初始化计数
        new_stats.packets = 1;
        new_stats.bytes = skb->len;
        bpf_map_update_elem(&cgroup_traffic_map, &cgroup_id, &new_stats, BPF_ANY);
    } else {
        // 原子更新（每CPU无锁）
        __sync_fetch_and_add(&stats->packets, 1);
        __sync_fetch_and_add(&stats->bytes, skb->len);
    }
    return 1; // 允许包通过
}