2. eBPF 基础原理：eBPF 虚拟机、BPF 指令集、Map 与 Prog 类型、内核验证器与 JIT 编译
eBPF 并非一个简单的内核钩子框架，其底层依赖一套完整的虚拟化执行环境。理解 eBPF 虚拟机、指令集、Map/Prog 类型以及验证器与 JIT 编译机制，是掌握 eBPF 网络观测性能调优的基石。本章将逐一拆解这些核心组件，并揭示它们如何协同工作，确保安全、高效地在内核中执行用户定义的程序。
2.1 eBPF 虚拟机架构
eBPF 虚拟机是一个运行在内核空间的轻量级、沙箱化的虚拟执行环境。它并非模拟完整的 CPU，而是定义了一套专用的寄存器模型和指令集，用于执行经过验证的 BPF 字节码。
核心设计理念： 安全性优先，性能次之。所有 BPF 程序在加载前必须通过内核验证器的严格检查，确保不会导致内核崩溃或死锁。
虚拟机主要包含以下组件：
- 11 个 64 位寄存器 (R0-R10)： R0 用于存储函数返回值与程序退出值；R1-R5 用于传递函数参数；R6-R9 为被调用者保存的通用寄存器；R10 为只读的栈帧指针。
- 512 字节的栈空间： 每个 BPF 程序拥有独立的栈，用于局部变量存储。栈大小固定，不可动态扩展。
- 程序计数器 (PC)： 指向当前正在执行的指令地址。
- 辅助函数 (Helper Functions)： 一组由内核提供的、经过安全封装的 API。BPF 程序不能直接调用内核函数，只能通过辅助函数与内核交互（如读取数据、操作 Map、获取时间戳等）。
2.2 BPF 指令集与指令编码
BPF 指令集采用固定长度 64 位编码，设计简洁高效，便于验证和 JIT 编译。每条指令包含操作码、目标寄存器、源寄存器以及一个立即数或偏移量。
| 字段 | 位宽 (Bits) | 描述 |
|---|---|---|
| opcode | 8 | 指令操作码，定义操作类型（如 ALU、跳转、加载/存储） |
| dst_reg | 4 | 目标寄存器编号 (R0-R10) |
| src_reg | 4 | 源寄存器编号 (R0-R10) |
| offset | 16 | 用于跳转指令的偏移量或内存访问的偏移量 |
| immediate | 32 | 32 位立即数常量 |
指令主要分为以下几类：
- ALU 指令： 算术与逻辑运算（ADD、SUB、AND、OR、LSH、RSH、NEG、MOD、XOR、MOV）。
- 跳转指令： 条件/无条件跳转（JA、JEQ、JGT、JGE、JLT、JLE、JSET、JNE）。
- 加载/存储指令： 从栈、Map、数据包或上下文读取/写入数据（LDX、STX、ST）。
- 辅助函数调用指令： 通过 CALL 指令调用内核辅助函数。
- 返回指令： EXIT，结束程序执行并返回 R0 中的值。
性能提示： 在编写 BPF 程序时，应优先使用 32 位 ALU 指令（如 W 后缀），因为 64 位指令在部分架构上可能产生更高的 JIT 编译开销。
2.3 Map 与 Prog 类型
Map 是 eBPF 中用于数据存储和共享的核心数据结构，而 Prog 类型则定义了程序可以挂载的内核事件类型。
2.3.1 核心 Map 类型
| Map 类型 | 用途 | 典型场景 |
|---|---|---|
| BPF_MAP_TYPE_HASH | 通用哈希表，键值对存储 | 连接跟踪、统计计数 |
| BPF_MAP_TYPE_ARRAY | 固定大小数组，索引访问 | 全局配置、计数器 |
| BPF_MAP_TYPE_PERCPU_HASH | Per-CPU 哈希表，避免锁竞争 | 高并发统计 |
| BPF_MAP_TYPE_PERCPU_ARRAY | Per-CPU 数组，高性能计数器 | 包速率统计 |
| BPF_MAP_TYPE_RINGBUF | 高性能环形缓冲区，用于将数据从内核传递到用户空间 | 事件日志、网络包采样 |
| BPF_MAP_TYPE_STACK_TRACE | 存储内核栈跟踪信息 | 性能剖析、延迟分析 |
2.3.2 常用 Prog 类型
- BPF_PROG_TYPE_XDP： 挂载在网络驱动层，用于最早期的包处理（过滤、转发、丢弃），性能极高。
- BPF_PROG_TYPE_SCHED_CLS： 挂载在 TC（Traffic Control）层，用于流量整形、QoS 和包重定向。
- BPF_PROG_TYPE_KPROBE： 动态内核探针，可挂载到任意内核函数入口或出口，用于观测内核行为。
- BPF_PROG_TYPE_TRACEPOINT： 静态内核跟踪点，性能比 kprobe 更稳定，接口更规范。
- BPF_PROG_TYPE_SOCKET_FILTER： 挂载到 socket 上，用于过滤特定类型的网络数据包。
- BPF_PROG_TYPE_CGROUP_SKB： 用于 cgroup 级别的网络包控制，常用于容器网络策略。
2.4 内核验证器与 JIT 编译
这两个组件是 eBPF 安全性和高性能的保障。验证器确保程序安全，JIT 编译器将字节码转换为本地机器码以提升执行效率。
2.4.1 内核验证器 (Verifier)
验证器是 eBPF 的安全闸门。它在程序加载时执行静态分析，拒绝任何可能危害内核稳定性的程序。验证过程包括：
- 控制流完整性检查： 确保程序不会形成循环，所有跳转目标都是有效的指令地址。验证器会模拟程序执行，构建有向无环图 (DAG)。
- 栈边界检查： 确保所有内存访问（读/写栈）都在 512 字节范围内，防止栈溢出。
- 指针类型检查： 严格区分可读指针、可写指针和标量值。禁止对未经验证的指针进行算术运算或解引用，防止内核内存泄漏。
- 辅助函数参数检查： 验证传递给辅助函数的参数类型和数量是否正确。
- 程序大小限制： 早期版本限制为 4096 条指令，现代内核已放宽至 100 万条，但仍需通过验证。
常见验证失败原因： 未初始化的变量访问、越界内存访问、无限循环、指针算术错误、调用未授权的辅助函数。在编写 BPF 程序时，应时刻考虑验证器的约束。
2.4.2 JIT 编译 (Just-In-Time Compilation)
JIT 编译器将验证通过的 BPF 字节码转换为目标 CPU 架构（x86_64、ARM64、RISC-V 等）的原生机器码。这消除了解释执行的开销，使 eBPF 程序能够以接近原生内核模块的速度运行。
| 特性 | 解释执行 | JIT 编译 |
|---|---|---|
| 执行速度 | 慢，每条指令都需要解码和分发 | 快，直接执行原生机器码 |
| 启动开销 | 低，无需编译 | 中等，需要编译时间 |
| 代码大小 | 小，仅存储字节码 | 较大，生成原生指令 |
| 调试难度 | 相对容易，有字节码跟踪工具 | 较难，需要理解汇编 |
| 内核默认行为 | 当 JIT 编译失败或禁用时回退 | 首选模式，默认启用 |
JIT 编译过程通常包含以下步骤：
- 指令转换： 将每条 BPF 指令映射为一条或多条原生 CPU 指令。
- 寄存器分配： 将 BPF 虚拟寄存器映射到物理 CPU 寄存器。
- 优化： 消除冗余指令，进行常量折叠等简单优化。
- 代码生成： 在可执行内存区域生成最终的机器码。
性能调优建议： 在部署 eBPF 网络观测程序前，应确认内核已启用 JIT 编译（通过
sysctl net.core.bpf_jit_enable=1 设置）。对于 XDP 程序，JIT 编译是达到线速处理的关键。