eBPF实战：用内核可观测性重新定义系统观测

引言：无需修改源码的核内编程

传统上观测Linux系统性能需要使用SystemTap（需编译内核模块）、strace（高开销拦截系统调用）或perf_event（功能受限）。eBPF的出现彻底改变了游戏规则：允许用户在运行中的内核空间安全执行自定义沙盒程序，无需修改内核源码、重启系统或加载有安全风险的内核模块。自Linux 3.18引入以来，eBPF已成为云原生可观测性基础设施的基石技术。

一、eBPF核心技术栈

1.1 BPF虚拟机与验证器

eBPF程序运行在基于寄存器的BPF虚拟机中。验证器（Verifier）对程序进行静态分析，确保程序必定终止、内存访问安全、无信息泄漏。这种验证后加载模型是eBPF安全性的核心保障。

1.2 BPF映射（Maps）：用户态通信通道

eBPF通过与内核无关的键值映射与用户态通信：Hash映射存储时间序列数据、Array映射存储全局配置、Perf Event Array流式推送事件、Ring Buffer（Linux 5.8+）替代Perf Event进行高效数据传递。

1.3 BPF CO-RE与可移植性

BPF CO-RE通过BTF（BPF Type Format）和libbpf的加载时数据结构重定位，实现了真正的一次编译、跨机器运行。

二、丰富的挂载点选择

2.1 XDP：最早的数据包处理点

eXpress Data Path允许eBPF程序在sk_buff分配之前执行。Cloudflare使用XDP eBPF程序实现了Tbps级别的DDoS防护。

2.2 TC（流量控制）：深度包处理

对于需要协议栈中更多信息的复杂场景，eBPF通过TC挂载点介入网络栈。Cilium的带宽管理器利用TC实现容器级网络策略。

2.3 Tracepoint与Kprobe：函数级追踪

优先使用Tracepoint（如syscalls:sys_enter_openat），仅在内核没有合适Tracepoint时才使用Kprobe。

三、现代eBPF开发工具链

3.1 BCC：快速原型开发

BCC允许混写Python和C eBPF代码，适合探索性分析，但部署依赖Python不适合生产。

3.2 libbpf与Skeleton

libbpf通过bpftool gen skeleton自动生成骨架头文件，大幅减少用户态胶水代码量。结合BPF CO-RE可构建自包含的eBPF应用。

3.3 Aya与Rust eBPF

Aya是用纯Rust编写eBPF程序的全栈框架。Rust的Option和Result类型天然适配eBPF验证器要求，代表eBPF开发的未来方向。

四、实战价值

以追踪TCP连接延迟为例：eBPF挂载在tcp_rcv_established的kprobe上，记录时间戳，用户态通过Ring Buffer接收事件计算延迟。整个过程不修改任何内核代码，对生产系统影响极低。这就是eBPF最强大的地方：无侵扰的核内编程。