3. eBPF技术全景：eBPF架构、eBPF虚拟机、eBPF程序类型、eBPF Maps与Helper函数

eBPF（extended Berkeley Packet Filter）是一项革命性的内核技术，它允许用户在Linux内核中安全、高效地运行沙箱化程序，而无需修改内核源代码或加载内核模块。本章将深入剖析eBPF的技术全景，从架构设计、虚拟机执行模型、程序类型分类，到核心的数据交换机制（Maps）与辅助函数（Helpers），为后续的XDP性能调优打下坚实基础。

3.1 eBPF整体架构

eBPF的架构设计遵循“安全注入、高效执行、受限交互”的原则。其核心组件包括：用户态编译器（Clang/LLVM）、加载器（如iproute2、bpftool）、eBPF验证器（Verifier）、即时编译器（JIT Compiler）以及内核态的eBPF虚拟机。

3.2 eBPF虚拟机与指令集

eBPF虚拟机是一个设计精巧的RISC风格虚拟处理器，拥有自己的寄存器、指令集和执行模型。它并非模拟通用CPU，而是专注于安全、高效地执行数据包处理和事件过滤任务。

3.2.1 寄存器模型

eBPF虚拟机定义了11个64位寄存器（R0-R10），以及一个程序计数器（PC）。每个寄存器都有特定的用途约定：

3.2.2 指令集格式

每条eBPF指令固定为64位（8字节），编码格式如下：

指令编码结构（64位）：
+--------+--------+--------+--------+--------+--------+--------+--------+
|  opcode |  dst   |  src   |  offset (16位)  |         immediate (32位)   |
|  (8位)  |  (4位) |  (4位) |                 |                            |
+--------+--------+--------+--------+--------+--------+--------+--------+

指令类别涵盖：

• ALU (算术逻辑)： ADD, SUB, MUL, DIV, AND, OR, LSH, RSH 等。
• 跳转： JA, JEQ, JGT, JGE, JSET 等，支持条件与无条件跳转。
• 内存加载/存储： LDXW, LDXH, LDXB, STXW, STXH, STXB 等。
• 特殊指令： 用于调用Helper函数（BPF_CALL）和返回（BPF_EXIT）。

3.3 eBPF程序类型

eBPF程序类型决定了程序可以挂载到哪个内核事件上，以及程序可以访问哪些上下文和Helper函数。Linux内核持续增加新的程序类型，以下是最核心的几种：

3.4 eBPF Maps：内核态与用户态的数据桥梁

eBPF Maps是内核中的键值存储结构，是eBPF程序与用户态程序之间、以及不同eBPF程序之间交换数据的核心机制。Maps的生命周期与创建它的文件描述符绑定，即使加载它的程序退出，Map中的数据依然可以保留。

3.4.1 常用Map类型

3.4.2 Map操作示例

以下代码片段展示了在XDP程序中查找一个哈希Map：

// XDP 程序中使用哈希 Map 进行包过滤
struct bpf_map_def SEC("maps") blacklist = {
    .type = BPF_MAP_TYPE_HASH,
    .key_size = sizeof(u32),   // 源IP地址
    .value_size = sizeof(u32), // 动作标记
    .max_entries = 10000,
};

SEC("xdp")
int xdp_filter(struct xdp_md *ctx) {
    void *data_end = (void *)(long)ctx->data_end;
    void *data = (void *)(long)ctx->data;
    struct ethhdr *eth = data;

    if (eth + 1 > data_end) return XDP_ABORTED;

    // 假设是IP包，提取源IP
    struct iphdr *ip = data + sizeof(struct ethhdr);
    if (ip + 1 > data_end) return XDP_PASS;

    u32 src_ip = ip->saddr;
    u32 *action = bpf_map_lookup_elem(&blacklist, &src_ip);
    if (action) {
        return XDP_DROP; // 命中黑名单，丢弃
    }
    return XDP_PASS;
}

3.5 Helper函数：扩展eBPF程序能力

eBPF程序不能直接调用内核函数，而是通过一组精心设计的Helper函数来与内核交互。这些Helper函数由内核提供，经过验证器批准，确保安全可控。Helper函数覆盖了数据包操作、Map访问、时间获取、调试输出等关键功能。

3.5.1 常用Helper函数分类

3.6 eBPF程序生命周期与协作

一个完整的eBPF应用通常涉及多个组件：

1. 编译阶段： 使用Clang/LLVM将C代码编译为eBPF字节码（.o文件）。
2. 加载阶段： 用户态加载器（如ip、bpftool）通过bpf()系统调用将字节码注入内核。
3. 验证与JIT： 内核验证器检查程序安全性，然后JIT编译器将其转换为本地机器码。
4. 挂载阶段： 将程序附加到指定事件（如XDP、Tracepoint）。
5. 运行阶段： 事件触发时执行eBPF程序，通过Maps与用户态交互。
6. 卸载阶段： 关闭文件描述符或使用bpftool detach卸载程序。