4. 开发环境搭建：内核源码准备、LLVM/Clang工具链安装、libbpf与bpftool配置

构建 eBPF kprobe 追踪系统调用的开发环境，需要依次完成四个核心组件的安装与配置：内核源码树、LLVM/Clang 编译器工具链、libbpf 库以及 bpftool 诊断工具。本章将按照标准流程，详细说明每个组件的获取、编译与验证方法。

4.1 内核源码准备

eBPF 程序需要访问内核头文件（如 vmlinux.h）和特定版本的数据结构定义。推荐使用 bpftool 生成精简的 vmlinux.h，但完整的内核源码树对于调试和深入理解 kprobe 机制仍然必不可少。

4.1.1 获取内核源码

有两种主流方式：

• 发行版源码包：通过包管理器安装当前运行内核的源码，版本精确匹配。
• 主线 Git 仓库：从 kernel.org 克隆最新稳定分支，适合需要最新特性或自定义配置的场景。

4.1.2 生成 BTF 信息

现代 eBPF 开发依赖 BTF（BPF Type Format）来提供 CO-RE（Compile Once – Run Everywhere）能力。检查当前内核是否已启用 BTF：

# 检查 /sys/kernel/btf/vmlinux 是否存在
ls -lh /sys/kernel/btf/vmlinux

# 若不存在，需在内核配置中开启 CONFIG_DEBUG_INFO_BTF=y
# 并重新编译内核，或使用发行版提供的带 BTF 的内核包

如果内核不支持 BTF，可以退而使用 vmlinux.h 头文件（由 bpftool btf dump file /sys/kernel/btf/vmlinux format c 生成），但会失去 CO-RE 的可移植性。

4.2 LLVM/Clang 工具链安装

eBPF 程序使用 C 语言编写，但必须编译为 BPF 字节码（而非 x86 机器码）。LLVM/Clang 是目前唯一稳定支持 BPF 后端的编译器。推荐版本 ≥ 14，以支持完整的 BPF 指令集和 CO-RE 特性。

4.2.1 安装 LLVM/Clang

4.2.2 验证 BPF 编译能力

编写一个最小的 eBPF 程序并编译，验证工具链是否正常工作：

// test_bpf.c
#include <linux/bpf.h>
#include <bpf/bpf_helpers.h>

SEC("kprobe/sys_execve")
int kprobe_execve(struct pt_regs *ctx)
{
    bpf_printk("kprobe triggered\n");
    return 0;
}

char LICENSE[] SEC("license") = "GPL";

# 编译为 BPF 目标文件
clang -O2 -target bpf -c test_bpf.c -o test_bpf.o

# 检查编译产物
file test_bpf.o
# 输出应为: test_bpf.o: ELF 64-bit LSB relocatable, *BPF*, ...

如果 file 命令显示 "BPF"，说明 LLVM/Clang 工具链已正确配置。

4.3 libbpf 库配置

libbpf 是 eBPF 程序加载、验证和与内核交互的核心用户空间库。它封装了 bpf() 系统调用，并提供 CO-RE 支持。

4.3.1 获取 libbpf

推荐从内核源码树的 tools/lib/bpf 目录获取，或直接克隆独立仓库：

# 方式一：从内核源码中提取（推荐，版本匹配）
cd /path/to/linux
make -C tools/lib/bpf

# 方式二：克隆独立仓库
git clone https://github.com/libbpf/libbpf.git
cd libbpf/src
make
sudo make install

4.3.2 安装开发头文件

编译 eBPF 程序时，需要 bpf_helpers.h、bpf_endian.h 等头文件。安装后，头文件位于 /usr/include/bpf/：

# 验证头文件安装
ls /usr/include/bpf/
# 应包含: bpf.h  bpf_helpers.h  bpf_tracing.h  ...

4.4 bpftool 配置

bpftool 是 eBPF 开发和调试的瑞士军刀，用于查看已加载的程序、映射、以及生成 vmlinux.h。

4.4.1 编译与安装 bpftool

bpftool 源码位于内核树的 tools/bpf/bpftool 目录：

cd /path/to/linux/tools/bpf/bpftool
make
sudo make install

# 验证安装
bpftool --version
# 输出示例: bpftool v6.8.0 using libbpf v1.4

4.4.2 生成 vmlinux.h

这是 CO-RE 开发的关键步骤，vmlinux.h 包含了内核所有数据结构的 BPF 友好定义：

# 从 BTF 信息生成
bpftool btf dump file /sys/kernel/btf/vmlinux format c > vmlinux.h

# 检查生成的文件大小（通常 5-20 MB）
wc -l vmlinux.h

4.5 环境验证清单

完成上述步骤后，执行以下命令进行最终验证：

4.6 常见问题与避坑

• 内核头文件缺失：编译 eBPF 程序时出现 asm/types.h 或 linux/bpf.h 找不到，请安装 linux-headers-$(uname -r) 包。
• LLVM 版本过低：Clang 版本 < 10 不支持 BPF 原子指令和 CO-RE 重定位。建议使用 LLVM 14+。
• libbpf 版本不匹配：用户空间 libbpf 版本与内核特性不匹配会导致加载失败。尽量使用与内核同源的 libbpf。
• BTF 缺失：如果无法生成 vmlinux.h，可尝试使用 bpftool btf dump file /sys/kernel/btf/vmlinux format c 的替代路径，或使用 CONFIG_DEBUG_INFO_BTF=y 重新编译内核。