3. eBPF 开发环境搭建：内核版本要求、LLVM/Clang 工具链、libbpf 库、bpftool 与 bcc 工具集安装

搭建一个稳定、可复现的 eBPF 开发环境是进行网络观测与性能调优的前提。本章将系统梳理从内核版本选型到核心工具链安装的完整流程，确保你能够在不同发行版上快速获得一致的开发体验。

3.1 内核版本要求与配置检查

eBPF 功能深度依赖内核特性。不同内核版本对 eBPF 的支持能力差异显著，建议根据开发目标选择对应的最低内核版本。

检查当前内核版本与 eBPF 相关配置：

# 查看内核版本
uname -r

# 检查 eBPF 核心配置是否启用
cat /boot/config-$(uname -r) | grep -E "CONFIG_BPF|CONFIG_BPF_SYSCALL|CONFIG_BPF_JIT|CONFIG_BPF_EVENTS"

关键配置项必须为 y 或 m：

• CONFIG_BPF：eBPF 核心框架
• CONFIG_BPF_SYSCALL：bpf() 系统调用
• CONFIG_BPF_JIT：JIT 编译支持
• CONFIG_BPF_EVENTS：perf 事件与 eBPF 集成
• CONFIG_DEBUG_INFO_BTF：BTF 类型信息（CO-RE 必需）

3.2 LLVM/Clang 工具链安装

eBPF 程序通常使用 C 语言编写，并通过 LLVM/Clang 编译为 BPF 字节码。Clang 的 BPF 后端是当前最成熟的编译方案。

安装步骤（以 Ubuntu 22.04 / Debian 12 为例）：

# 更新包索引
sudo apt update

# 安装 LLVM/Clang 全家桶（版本 14+ 推荐）
sudo apt install -y llvm clang

# 验证安装
clang --version
llc --version | grep "BPF"

版本选择建议：

# 创建测试文件 test_bpf.c
echo '#include <linux/bpf.h>
char LICENSE[] SEC("license") = "GPL";
SEC("xdp")
int xdp_pass(struct xdp_md *ctx) { return XDP_PASS; }' > test_bpf.c

# 编译为 BPF 目标文件
clang -O2 -target bpf -c test_bpf.c -o test_bpf.o

# 查看编译后的节区信息
llvm-objdump -h test_bpf.o

3.3 libbpf 库安装

libbpf 是 eBPF 程序加载与管理的核心用户态库，也是 CO-RE 方案的基础依赖。它从内核源码中独立出来，以库的形式提供给开发者。

安装方式一：系统包管理器（推荐）

# Ubuntu/Debian
sudo apt install -y libbpf-dev

# CentOS/RHEL 8+
sudo dnf install -y libbpf-devel

# 验证 pkg-config 能找到 libbpf
pkg-config --libs --cflags libbpf

安装方式二：从源码编译（获取最新特性）

# 克隆 libbpf 仓库
git clone https://github.com/libbpf/libbpf.git
cd libbpf/src

# 编译并安装到系统路径
make
sudo make install

# 更新动态链接库缓存
sudo ldconfig

libbpf 版本与内核版本对应关系：

3.4 bpftool 与 bcc 工具集安装

bpftool 是内核提供的 eBPF 调试与管理工具；bcc（BPF Compiler Collection）则是一套基于 Python 的高阶 eBPF 工具集，适合快速原型开发。

3.4.1 bpftool 安装

# 方式一：从系统包管理器安装
sudo apt install -y linux-tools-$(uname -r) linux-tools-generic

# 方式二：从内核源码编译（推荐，版本更匹配）
git clone --depth 1 https://github.com/libbpf/bpftool.git
cd bpftool/src
make
sudo make install

# 验证安装
bpftool --version
bpftool feature list

bpftool 常用子命令速查：

3.4.2 bcc 工具集安装

# Ubuntu/Debian
sudo apt install -y bpfcc-tools python3-bpfcc

# CentOS/RHEL 8+
sudo dnf install -y bcc-tools python3-bcc

# 验证安装（列出所有 bcc 工具）
ls /usr/share/bcc/tools/ | head -20

bcc 核心工具速览：

• execsnoop：跟踪进程执行事件
• tcpconnect：监控 TCP 连接建立
• tcplife：查看 TCP 会话生命周期
• runqlat：调度延迟分布
• biolatency：块 I/O 延迟分布
• profile：CPU 采样火焰图

3.5 开发环境整体架构

下图展示了 eBPF 开发环境中各组件之间的依赖关系与数据流：

3.6 环境验证清单

完成上述安装后，建议执行以下验证步骤，确保所有组件正常工作：

1. 内核版本与配置：uname -r 确认版本 ≥ 5.10；cat /boot/config-$(uname -r) | grep CONFIG_DEBUG_INFO_BTF=y 确认 BTF 启用。
2. Clang BPF 编译：使用 3.2 节的测试文件编译 .o 文件，确认无报错。
3. libbpf 链接：编写一个简单的 C 程序调用 bpf_object__open 并链接 -lbpf，确认编译通过。
4. bpftool 功能：bpftool feature list 输出应包含 map: hash, array, percpu_hash 等类型。
5. bcc 运行：sudo execsnoop-bpfcc 能捕获到新进程创建事件。