2. eBPF 架构与工作原理

eBPF 并非一个简单的内核钩子框架，而是一个在内核中运行的沙箱化虚拟机环境。理解其架构与工作原理，是编写高效、安全 eBPF 程序的基础。本章将深入剖析 eBPF 虚拟机的核心组件：指令集、验证器、JIT 编译器以及 Map 机制。

2.1 eBPF 整体架构概览

eBPF 架构采用“用户空间控制面 + 内核空间数据面”的分离设计。用户态程序负责加载、挂载和读取数据，内核态负责执行和收集。

2.2 eBPF 虚拟机与指令集

eBPF 虚拟机是一个基于寄存器的 RISC 风格虚拟机，设计用于高效执行。它并非模拟整个 CPU，而是提供了一个轻量级的执行环境。

2.2.1 寄存器模型

eBPF 虚拟机定义了 11 个 64 位寄存器（R0-R10），以及一个程序计数器（PC）。

2.2.2 指令编码格式

每条 eBPF 指令固定为 64 位（8 字节），格式如下：

指令格式 (64位):
+--------+--------+--------+--------+--------+--------+--------+--------+
|  opcode |  dst   |  src   |  offset |        immediate / offset       |
|  (8位)  |  (4位) |  (4位) |  (16位) |            (32位)               |
+--------+--------+--------+--------+--------+--------+--------+--------+

2.2.3 指令分类

eBPF 指令集包含 6 大类操作，共约 100 条指令。

2.3 eBPF 验证器

验证器是 eBPF 安全性的核心保障。它确保加载到内核中的 eBPF 程序不会导致内核崩溃、死锁或信息泄露。

2.3.1 验证流程

验证器执行两个阶段的检查：

1. 第一阶段：静态检查 (Pre-verification)
   • 检查程序长度（最大 4096 条指令）。
   • 检查是否存在无法到达的指令。
   • 检查辅助函数调用的参数类型是否匹配。
2. 第二阶段：深度检查 (Main Verifier)
   • 模拟程序执行所有可能的路径（符号执行）。
   • 跟踪寄存器状态和栈状态。
   • 确保内存访问在边界内（栈、Map、数据包）。
   • 确保程序最终一定会执行 EXIT 指令。

2.3.2 验证器检查的关键规则

2.4 JIT 编译器

JIT（Just-In-Time）编译器将 eBPF 字节码转换为目标 CPU 架构的本地机器码，从而消除解释执行的开销，实现接近原生内核模块的性能。

2.4.1 JIT 编译流程

1. 指令翻译： 将每条 eBPF 指令映射为一条或多条本地 CPU 指令。
2. 寄存器映射： 将 eBPF 虚拟寄存器（R0-R10）映射到物理 CPU 寄存器。
3. 指令调度： 优化指令顺序以利用 CPU 流水线。
4. 代码生成： 生成可执行的本地代码块。

2.4.2 性能对比

2.5 eBPF Map 机制

Map 是 eBPF 程序与用户空间程序之间、以及不同 eBPF 程序之间共享数据的关键机制。它本质上是一个键值存储系统，运行在内核空间。

2.5.1 常用 Map 类型

2.5.2 Map 操作流程

2.5.3 代码示例：在 eBPF 程序中使用 Map

以下是一个简单的 eBPF 程序，它使用哈希 Map 来统计每个进程 ID 触发的系统调用次数。

// 定义 Map
struct {
    __uint(type, BPF_MAP_TYPE_HASH);
    __uint(max_entries, 1024);
    __type(key, u32);      // PID
    __type(value, u64);    // 计数
} syscall_count SEC(".maps");

// eBPF 程序
SEC("tracepoint/syscalls/sys_enter_write")
int count_write(struct trace_event_raw_sys_enter *ctx) {
    u32 pid = bpf_get_current_pid_tgid() >> 32;
    u64 *count, new_count = 1;

    // 查找 Map
    count = bpf_map_lookup_elem(&syscall_count, &pid);
    if (count) {
        new_count = *count + 1;
    }

    // 更新 Map
    bpf_map_update_elem(&syscall_count, &pid, &new_count, BPF_ANY);
    return 0;
}

2.6 本章小结