1. 课程导论：eBPF技术背景、网络观测与配额校准的关系、课程目标与学习路径
1.1 eBPF 技术背景：从内核可观测性到网络数据面
eBPF（extended Berkeley Packet Filter）是一项革命性的 Linux 内核技术，允许用户在无需修改内核源码或加载内核模块的前提下，安全、高效地注入自定义程序。其核心机制通过内核验证器（Verifier）确保程序安全性，并通过即时编译（JIT）生成原生机器码，将执行效率提升至接近内核原生水平。
在网络领域，eBPF 的演进经历了三个关键阶段：
| 阶段 | 时间范围 | 核心能力 | 典型应用 |
|---|---|---|---|
| BPF 原始期 | 1992 – 2013 | 内核态包过滤，仅用于 tcpdump | 网络抓包、防火墙规则匹配 |
| eBPF 扩展期 | 2014 – 2019 | 通用内核编程框架，引入 Map、Helper、Tracepoint | 性能剖析、容器网络、安全监控 |
| eBPF 数据面期 | 2020 – 至今 | XDP、TC BPF、cgroup BPF 全面覆盖网络数据面 | 负载均衡、服务网格、云原生网络策略 |
关键认知： eBPF 将网络观测从“采样统计”升级为“全量、实时、可编程”的内核级数据采集，这是后续配额校准的数据基础。
1.2 网络观测与配额校准的关系：数据驱动的闭环
传统资源配额（如连接数限制、带宽上限、并发会话数）通常基于静态配置或经验公式设定，缺乏对真实网络行为的感知。eBPF 网络观测提供了三个维度的校准驱动力：
- 观测层（What）：通过 eBPF 程序挂载到 XDP、TC、Socket 等钩子点，采集每包/每流的元数据（延迟、重传、吞吐、连接状态）。
- 分析层（Why）：将观测数据聚合为资源使用画像，识别配额瓶颈（如连接耗尽、突发丢包、CPU 软中断过载）。
- 校准层（How）：基于画像动态调整配额参数，实现资源分配与真实负载的匹配。
实践要点： 校准不是一次性动作。每次配额调整后，观测层应继续采集至少 3 个完整业务周期（如 15 分钟窗口）的数据，验证调整效果，避免震荡。
1.3 课程目标与学习路径
本课程旨在培养学员具备以下核心能力：
- 理解 eBPF 网络观测技术栈：掌握 XDP、TC、Socket BPF 的程序模型与数据采集方法。
- 构建配额校准指标体系：从观测数据中提取连接数、吞吐、重传率、CPU 开销等关键指标。
- 实现动态配额调整策略：基于 eBPF Map 实现用户态控制面与内核态数据面的实时交互。
- 落地生产级校准系统：结合 Cilium、Katran 等开源项目，设计可扩展的配额校准架构。
学习路径分为四个阶段，建议按顺序推进：
| 阶段 | 章节范围 | 核心产出 | 前置要求 |
|---|---|---|---|
| 基础篇 | 第 1 – 8 章 | eBPF 开发环境搭建、基础观测程序编写 | Linux 基础、C 语言、网络协议栈 |
| 观测篇 | 第 9 – 16 章 | 连接级/流级观测工具链、数据聚合管道 | eBPF Map、Perf Event 机制 |
| 校准篇 | 第 17 – 24 章 | 配额模型设计、动态调整算法、A/B 测试框架 | 控制理论、统计基础 |
| 实战篇 | 第 25 – 30 章 | 生产级校准系统部署、性能调优、故障排查 | Kubernetes、服务网格基础 |
避坑提示： 不要跳过基础篇直接进入校准篇。eBPF 的 Verifier 约束、Map 并发模型、Perf Event 丢失处理等细节，是后续配额校准系统稳定性的关键前提。建议每章完成后完成配套实验，积累至少 20 小时的 eBPF 编程经验再进入校准篇。
1.4 课程配套资源与交付物
每章均包含以下标准化交付物，确保理论与实践紧密结合：
- 讲义正文：包含概念讲解、架构图、对比表格、代码示例。
- 实验代码仓库：每章对应一个独立目录，包含完整的 eBPF 程序、用户态控制面代码、Makefile 与测试脚本。
- 能力自测题：10 道选择题 + 2 道编程题，覆盖本章核心知识点。
- 故障场景复现：通过 Docker Compose 模拟配额超限、观测数据丢失、校准震荡等典型问题。
本课程所有代码基于 Linux Kernel 5.15+ 与 libbpf v1.0+，推荐使用 Ubuntu 22.04 或 CentOS Stream 9 作为实验环境。