1. eBPF与XDP技术全景

传统Linux网络数据面的处理路径很长：网卡收到报文后触发中断，内核分配sk_buff，依次经过链路层、IP层、TCP/UDP层，再通过socket交给用户态进程。这条路径功能完备，但在高吞吐、低延迟场景下，协议栈开销、上下文切换和内存拷贝会成为瓶颈。eBPF与XDP带来的变化，是让开发者能够把自定义逻辑安全地注入内核，在报文进入协议栈之前就完成过滤、转发、统计甚至改写，从而把“内核可编程”变成可落地的工程能力。

理解这门技术，需要先建立一张知识地图。它由四个层次构成：最底层是eBPF虚拟机与验证器，决定程序能否安全运行；往上是各类钩子点，决定程序在何处被触发；再往上是XDP与AF_XDP，分别代表“最早处理”和“旁路到用户态”两条高性能路径；最上层是工具链与可观测性，决定开发、加载、调试和运维的效率。本章不展开每个细节，而是先给出全景，让后续章节有明确的坐标。

eBPF虚拟机：安全可编程的内核执行环境

eBPF程序并不是直接编译成x86或ARM机器码，而是先编译成eBPF指令集，再由内核中的JIT编译器转换为本地指令。这套指令集是精简的RISC风格，包含11个64位寄存器、栈空间和辅助函数调用机制。寄存器r0用于返回值，r1到r5传递函数参数，r6到r9保存跨调用状态，r10是只读栈帧指针。程序类型决定它能调用哪些辅助函数、能访问哪些上下文。

真正让eBPF区别于“内核模块”的，是验证器。加载前，验证器会做控制流分析、类型检查、边界检查和循环限制，确保程序不会越界访问、不会死循环、不会破坏内核状态。例如，访问数据包时，必须先判断data + offset + size是否超出data_end，否则验证器直接拒绝加载。这个约束看似繁琐，却是eBPF能安全运行在生产环境的前提。

钩子点：程序在何处被触发

eBPF程序必须挂载到钩子点才能执行。常见钩子包括：kprobe/kretprobe用于内核函数入口和返回；tracepoint用于稳定内核事件；perf_event用于性能采样；tc用于流量控制层；XDP用于网卡驱动最早收包点；cgroup用于容器资源控制；socket用于套接字操作。不同钩子的上下文不同，可用的辅助函数也不同。选择钩子的核心依据是：你要观测或干预的对象在哪个阶段出现，以及你能接受多大的性能开销。

XDP：最早的数据面处理点

XDP位于网络驱动收包路径的最前端，报文尚未分配sk_buff，因此开销极低。XDP程序返回四个动作之一：XDP_PASS交给协议栈，XDP_DROP直接丢弃，XDP_TX从同一网卡发回，XDP_REDIRECT转发到其他网卡或CPU。由于此时没有sk_buff，XDP只能访问线性数据区，不能使用依赖协议栈的辅助函数。它适合DDoS防护、负载均衡、高速转发和流量采样。

XDP有三种挂载模式：原生驱动模式性能最好，需要网卡驱动支持；通用模式兼容性好，但在协议栈之前模拟执行，性能下降明显；卸载模式把程序交给支持eBPF的智能网卡执行，CPU几乎不参与。实际选型时，先确认网卡和驱动是否支持原生XDP，再根据吞吐目标决定是否需要卸载。

AF_XDP：把数据面旁路到用户态

XDP解决的是“在内核最早点处理”，AF_XDP解决的是“把报文高效交给用户态”。它通过XDP_REDIRECT把帧送入用户态socket的UMEM区域，使用环形队列在零拷贝或单拷贝模式下传递描述符。用户态程序可以直接读取和写入数据包，绕过协议栈，适合自定义协议、用户态转发和高速抓包。AF_XDP的关键参数包括UMEM大小、填充环和完成环的深度、队列数量以及是否启用零拷贝。队列深度不足会导致丢包，UMEM过小会限制并发处理能力。

工具链与可观测性

开发eBPF程序通常使用C或Rust编写内核态代码，用BCC、libbpf或cilium/ebpf加载。BCC适合快速原型，libbpf适合生产部署，CO-RE（Compile Once – Run Everywhere）通过BTF信息解决内核版本兼容问题。调试时可用bpftool查看程序和映射，用bpftrace做动态追踪，用perf或ringbuf读取事件。可观测性工具如Cilium、Pixie、Falco都建立在eBPF之上。

从全景到实践：一个最小可观察闭环

为了把上述概念串起来，可以设计一个最小实验：在支持XDP的网卡上挂载一个统计程序，按源IP计数，并通过BPF Map把结果导出到用户态。内核态代码大致如下：

struct {
    __uint(type, BPF_MAP_TYPE_HASH);
    __uint(max_entries, 1024);
    __type(key, __u32);
    __type(value, __u64);
} ip_count SEC(".maps");

SEC("xdp")
int xdp_count(struct xdp_md *ctx) {
    void *data = (void *)(long)ctx->data;
    void *data_end = (void *)(long)ctx->data_end;
    struct ethhdr *eth = data;
    if ((void *)(eth + 1) > data_end) return XDP_PASS;
    if (eth->h_proto != htons(ETH_P_IP)) return XDP_PASS;
    struct iphdr *ip = (void *)(eth + 1);
    if ((void *)(ip + 1) > data_end) return XDP_PASS;
    __u32 key = ip->saddr;
    __u64 *val = bpf_map_lookup_elem(&ip_count, &key);
    if (val) __sync_fetch_and_add(val, 1);
    else {
        __u64 one = 1;
        bpf_map_update_elem(&ip_count, &key, &one, BPF_ANY);
    }
    return XDP_PASS;
}

这段代码展示了几个关键点：访问报文前必须做边界检查；Map操作使用辅助函数；返回值决定报文去向。加载后，用bpftool map dump可以查看计数，用ip link set dev eth0 xdp off卸载程序。如果加载失败，优先检查验证器日志，常见原因是越界访问或缺少GPL许可证声明。