eBPF实战：Linux内核可观测性的范式革命

eBPF允许在内核安全运行沙箱程序，无需改内核源码或加载模块。正重新定义可观测性、网络和安全的游戏规则。

一、核心概念

BPF 1992年由McCanne和Jacobson提出。2014年Starovoitov扩展为通用内核虚拟机。验证器确保安全执行。

二、追踪机制

kprobe(动态)、tracepoint(静态)、uprobe(用户空间)三种挂载点。BPF Maps(hash/array/perf buffer/ring buffer)用于数据交换。

三、实战场景

• 系统调用追踪(BCC bpf_trace_printk)
• CPU性能剖析(perf采样+火焰图)
• XDP网络处理(DDoS缓解、L4LB)

四、工具生态

BCC(Python框架)、bpftrace(高级追踪语言)、Cilium(K8s网络)、Falco(运行时安全)、Pixie(自动可观测性)。

五、安全

限制非特权BPF(kernel.unprivileged_bpf_disabled=1)、定期审计加载的bpf程序(bpftool prog list)。

六、趋势

eBPF从高级追踪工具演进为可编程内核基础设施。CO-RE能力持续增强。