4. eBPF 程序类型详解：kprobe、tracepoint、perf_event、xdp、tc、socket filter 等程序类型的应用场景与选择

eBPF 的强大之处在于其多样化的程序类型，每种类型都绑定到内核或网络栈中的特定事件点。选择合适的程序类型是开发高效、稳定 eBPF 应用的关键。本章将深入剖析最常用的几种 eBPF 程序类型，包括其挂载点、触发机制、典型应用场景以及选型决策依据。

4.1 eBPF 程序类型全景概览

eBPF 程序类型决定了程序在内核中的执行位置和上下文。根据功能领域，主要分为以下几大类：

• 内核动态插桩 (Kprobes/Uprobes)：在内核或用户态函数的任意位置进行动态探测。
• 内核静态追踪 (Tracepoints)：在内核开发者预定义的静态事件点进行追踪。
• 性能监控 (Perf Events)：与 Linux 性能计数器 (perf) 子系统集成，监控硬件和软件事件。
• 网络数据包处理 (XDP/TC)：在网络驱动层和内核协议栈层对数据包进行高速处理。
• 套接字过滤 (Socket Filter)：在套接字层过滤数据包。
• 安全与审计 (LSM/Security)：在内核安全模块中执行访问控制策略。

4.2 内核动态插桩：Kprobe 与 Kretprobe

Kprobe 允许你在内核函数的任意指令位置插入探测点，而 Kretprobe 则专门用于捕获函数的返回值。它们是最灵活但也是风险最高的 eBPF 程序类型。

4.2.1 应用场景

• 故障排查：当标准 Tracepoint 无法提供足够信息时，对特定内核函数进行深入分析。
• 性能分析：测量特定内核函数的执行时间、调用频率和参数分布。
• 安全监控：监控敏感函数的调用，如 security_file_open 或 do_execve。
• 内核行为研究：理解内核内部的工作机制。

4.2.2 代码示例：监控 open 系统调用

// kprobe_open.c
#include <linux/bpf.h>
#include <bpf/bpf_helpers.h>
#include <bpf/bpf_tracing.h>

char LICENSE[] SEC("license") = "GPL";

SEC("kprobe/do_sys_openat2")
int kprobe__do_sys_openat2(struct pt_regs *ctx)
{
    // 获取文件名指针 (参数因架构而异)
    const char *filename = (const char *)PT_REGS_PARM2(ctx);
    bpf_printk("File opened: %s\n", filename);
    return 0;
}

SEC("kretprobe/do_sys_openat2")
int kretprobe__do_sys_openat2(struct pt_regs *ctx)
{
    int ret = PT_REGS_RC(ctx);
    bpf_printk("Open returned: %d\n", ret);
    return 0;
}

4.3 内核静态追踪：Tracepoint

Tracepoint 是内核开发者在内核关键路径上预定义的静态钩子。它们拥有稳定的 API 和明确的上下文结构，是 eBPF 开发的首选追踪方式。

4.3.1 应用场景

• 系统调用追踪：监控所有系统调用的进入和退出。
• 文件系统操作：追踪文件读写、创建、删除等操作。
• 网络事件：监控网络包的接收、发送和连接建立。
• 调度与进程管理：追踪进程创建、切换和退出。

4.3.2 代码示例：追踪系统调用入口

// tracepoint_sys_enter.c
#include <linux/bpf.h>
#include <bpf/bpf_helpers.h>

char LICENSE[] SEC("license") = "GPL";

SEC("tracepoint/syscalls/sys_enter_openat")
int tracepoint__syscalls__sys_enter_openat(struct trace_event_raw_sys_enter *ctx)
{
    // 获取系统调用号
    int syscall_nr = ctx->id;
    // 获取第一个参数 (文件名)
    const char *filename = (const char *)ctx->args[0];
    bpf_printk("Syscall %d: opening file %s\n", syscall_nr, filename);
    return 0;
}

4.4 性能监控：Perf Event

Perf Event 程序类型允许 eBPF 程序直接与 Linux 的 perf 子系统交互，监控硬件性能计数器（如 CPU 周期、缓存未命中）和软件事件（如上下文切换、页错误）。

4.4.1 应用场景

• CPU 性能分析：测量指令执行数、分支预测失败率。
• 内存访问模式分析：监控缓存未命中、TLB 未命中。
• I/O 性能分析：监控块设备 I/O 延迟。
• 自定义采样：在特定硬件事件发生时执行自定义的 eBPF 逻辑。

4.4.2 关键概念对比

4.5 网络数据包处理：XDP 与 TC

XDP (eXpress Data Path) 和 TC (Traffic Control) 是 eBPF 在网络领域的两大核心应用。它们在网络栈中的位置不同，决定了其性能和应用场景的差异。

4.5.1 XDP：高速数据路径

XDP 程序在网络驱动层、内核协议栈处理之前运行，提供了极致的性能。它通常用于 DDoS 防护、负载均衡和高速包过滤。

4.5.2 TC：协议栈内控制

TC 程序在内核协议栈内部运行，可以访问更丰富的网络上下文（如套接字、路由表）。它适用于流量整形、QoS 和复杂的网络策略。

4.5.3 XDP 与 TC 对比

4.5.4 XDP 程序结构图

4.6 套接字过滤：Socket Filter

Socket Filter 是最早的 eBPF 程序类型之一，它允许你在套接字层对数据包进行过滤。最著名的应用是 tcpdump 使用的 Berkeley Packet Filter (BPF)。

4.6.1 应用场景

• 网络监控：捕获特定类型的网络流量。
• 安全审计：记录所有连接尝试。
• 协议分析：在用户空间处理前，对数据包进行预处理。

4.6.2 代码示例：过滤 TCP 数据包

// socket_filter_tcp.c
#include <linux/bpf.h>
#include <bpf/bpf_helpers.h>
#include <linux/if_ether.h>
#include <linux/ip.h>
#include <linux/tcp.h>

char LICENSE[] SEC("license") = "GPL";

SEC("socket")
int filter_tcp(struct __sk_buff *skb)
{
    // 获取网络层头部
    void *data = (void *)(long)skb->data;
    void *data_end = (void *)(long)skb->data_end;

    struct ethhdr *eth = data;
    if ((void*)eth + sizeof(*eth) > data_end)
        return 0;

    // 只处理 IP 包
    if (eth->h_proto != __constant_htons(ETH_P_IP))
        return 0;

    struct iphdr *ip = data + sizeof(*eth);
    if ((void*)ip + sizeof(*ip) > data_end)
        return 0;

    // 只处理 TCP 包
    if (ip->protocol != IPPROTO_TCP)
        return 0;

    // 返回 -1 表示捕获该包
    return -1;
}

4.7 程序类型选择决策树

在实际开发中，如何快速选择合适的 eBPF 程序类型？以下决策树可以帮助你做出判断：

1. 问题领域是什么？
   • 网络数据包处理 → 转到步骤 2
   • 内核函数追踪 → 转到步骤 3
   • 性能计数 → 选择 Perf Event
   • 套接字过滤 → 选择 Socket Filter
2. 网络处理性能要求？
   • 极致性能 (驱动层) → 选择 XDP
   • 通用性 (协议栈内) → 选择 TC
3. 是否有稳定的 Tracepoint？
   • 是 → 选择 Tracepoint (推荐)
   • 否 → 选择 Kprobe (需谨慎)

4.8 本章小结