eBPF 内核可观测性：从系统调用追踪到网络流量分析深度实战

在当今云原生时代，可观测性已成为系统运维和性能调优的基石。传统的监控工具往往需要在用户空间频繁采集数据，带来高昂的性能开销。而 eBPF（Extended Berkeley Packet Filter）作为 Linux 内核中的一项革命性技术，允许在内核空间安全地运行沙盒程序，实现了几乎零开销的深度系统观测。

一、eBPF 核心架构解析

eBPF 的诞生可以追溯到 1992 年 Steven McCanne 和 Van Jacobson 提出的 BPF 包过滤经典论文。2014 年，Alexei Starovoitov 将 BPF 扩展为通用的虚拟机架构，eBPF 正式登上历史舞台。2021 年，eBPF 基金会成立，标志着该技术进入生产就绪阶段。

eBPF 程序的生命周期遵循严格的验证机制：用户编写 C/Rust 源码 → 编译为 eBPF 字节码 → 内核验证器（Verifier）执行静态分析 → 即时编译（JIT）为原生机器码 → 挂载到钩子点执行。验证器确保程序不会导致内核崩溃、不会无限循环、不会越界访问内存，这正是 eBPF 区别于内核模块的核心安全保证。

eBPF 虚拟机采用 11 个 64 位寄存器（R0-R10）、512 字节栈空间、以及可编程映射（Map）数据结构。Map 是 eBPF 程序与用户空间通信的核心机制，支持 Hash、Array、Ring Buffer、LRU、Per-CPU 等多种类型，覆盖了从计数统计到事件流的全部场景。

二、系统调用追踪：syscall 观测实战

系统调用追踪是可观测性最基础也最关键的能力。eBPF 通过 tracepoint、kprobe、raw_tracepoint 三种机制实现系统调用的全链路观测。

tracepoint 是内核中预定义的稳定 ABI 钩子点，例如在 sys_enter_openat 和 sys_exit_openat 处挂载程序，可以精确捕获每次文件打开操作的参数和返回值。相比 kprobe，tracepoint 的接口更加稳定，不受内核函数签名变化的影响。

SEC("tracepoint/syscalls/sys_enter_openat")
int trace_openat(struct trace_event_raw_sys_enter *ctx) {
    struct event e = {};
    e.pid = bpf_get_current_pid_tgid()