1. 课程导论
1.1 起源：从内核可观测性到数据路径革命的演进
eBPF（extended Berkeley Packet Filter）并非凭空诞生，其技术演进经历了三个关键阶段：
| 阶段 | 时间 | 核心事件 | 技术突破 |
|---|---|---|---|
| BPF 起源 | 1992 | Steven McCanne & Van Jacobson 在 USENIX 提出 | 用户态包过滤虚拟机，用于 tcpdump |
| eBPF 诞生 | 2014 | Alexei Starovoitov 提交内核补丁（Linux 3.18） | 寄存器架构、JIT编译、Map机制、安全验证器 |
| XDP 落地 | 2016 | Linux 4.8 合入 XDP 基础设施 | 网卡驱动层直接执行 eBPF 程序，零拷贝数据路径 |
关键认知： eBPF 最初的设计目标是为内核提供安全的可编程沙箱，而 XDP 则是 eBPF 在数据路径上的"杀手级应用"。两者结合，使得 Linux 网络协议栈从"不可变的黑盒"转变为"可编程的数据平面"。
1.2 在Linux网络协议栈中的定位
传统 Linux 网络协议栈的数据路径存在明显的性能瓶颈：数据包从网卡到用户态应用需要经过多次拷贝、上下文切换和协议处理。XDP 与 eBPF 的插入位置，彻底改变了这一格局。
定位总结： XDP 位于协议栈的最底层（网卡驱动层），在数据包进入内核协议栈之前即可执行 eBPF 程序。eBPF 钩子则分布在协议栈的多个层次（TC、cgroup、socket），形成"从驱动到应用"的全路径可编程能力。
1.3 数据路径加速的核心价值
XDP 与 eBPF 带来的数据路径加速，其核心价值体现在以下四个维度：
- 零拷贝（Zero Copy）： XDP 在驱动层直接操作 DMA 映射的内存区域，数据包无需拷贝到内核协议栈，更无需拷贝到用户态。
- 提前决策（Early Drop/Redirect）： 在协议栈处理之前即可完成 DDoS 防御、负载均衡、流量过滤等操作，避免无谓的协议栈开销。
- 可编程数据平面（Programmable Data Plane）： 通过 eBPF 程序动态注入，无需修改内核代码即可实现自定义转发逻辑、隧道封装、协议转换。
- 安全沙箱（Safe Execution）： eBPF 验证器确保程序不会导致内核崩溃或死循环，兼顾性能与安全。
1.4 性能对比：传统协议栈 vs XDP/eBPF 加速路径
以下数据基于典型测试环境（Intel Xeon, 25Gbps NIC, 64B 小包）的实测对比：
| 指标 | 传统内核协议栈 | XDP/eBPF 加速 | 提升倍数 |
|---|---|---|---|
| 包处理速率 (PPS) | ~1.5 Mpps | ~25 Mpps | 16x |
| 延迟 (P99) | ~10 μs | ~1 μs | 10x |
| CPU 占用率 | 100% (单核满载) | ~15% | 6x 效率提升 |
| 内存拷贝次数 | 2~3 次 | 0 次 | 零拷贝 |
| 上下文切换 | 多次 (软中断 + 系统调用) | 0 次 | 无切换 |
注意： 上述性能数据为理想场景下的实验室测试结果。实际生产环境中，性能提升受限于网卡驱动支持、eBPF 程序复杂度、内存带宽等因素。XDP 并非万能，对于需要完整 TCP 状态机的场景（如 HTTP 服务器），仍需结合传统协议栈或使用 TC-BPF 进行分层加速。
1.5 典型应用场景速览
- DDoS 防御： XDP 在驱动层直接丢弃恶意流量，保护协议栈不被攻击流量淹没。
- 负载均衡： 使用 XDP 实现 L4/L3 负载均衡（如 Cilium、Katran），转发性能远超 IPVS。
- 容器网络： eBPF 替代 iptables 实现 Kubernetes 网络策略，延迟降低 50% 以上。
- 可观测性： 零开销采集网络指标（延迟、丢包、吞吐），无需修改应用代码。
- 协议转换： 在 XDP 层实现 VXLAN/Geneve 隧道封装，或自定义 L7 协议解析。