eBPF可观测性实践：从内核探针到零侵入式系统监控

eBPF技术原理与架构

eBPF（Extended Berkeley Packet Filter）是Linux内核中的一项革命性技术，允许在不修改内核源码或加载内核模块的情况下，安全地在内核空间运行沙箱程序。eBPF程序经过验证器（Verifier）安全检查，确保不会导致内核崩溃或无限循环，然后通过JIT编译为原生机器码执行。

eBPF程序类型与挂载点

kprobe/kretprobe：动态挂载到内核函数的入口和出口，用于追踪内核函数调用。

uprobe/uretprobe：挂载到用户空间函数的入口和出口，用于追踪用户态程序。

Tracepoint：内核预定义的静态追踪点，比kprobe更稳定，如sched_process_exec、tcp_connect等。

XDP（eXpress Data Path）：在网络驱动层处理数据包，可实现高性能DDoS防护和负载均衡。

TC（Traffic Control）：在网络协议栈更高级别处理数据包，支持 DeepCopy 修改。

eBPF可观测性工具生态

BCC（BPF Compiler Collection）：提供Python前端，快速编写eBPF程序。工具如opensnoop追踪文件打开、execsnoop追踪进程执行、biosnoop追踪块设备IO。

bpftrace：高级追踪语言，类似awk，一行命令即可实现内核追踪。例如：bpftrace -e 'tracepoint:syscalls:sys_enter_open { printf("%s %s\n", comm, str(args->filename)); }'

Cilium：基于eBPF的Kubernetes CNI，提供网络策略、负载均衡和可观测性。

Pixie：云原生可观测性平台，自动收集HTTP/gRPC/数据库请求，无需修改应用代码。

Pyroscope：基于eBPF的持续性能分析，低开销采集CPU profile。

eBPF Map与数据交互

eBPF程序通过Map与用户空间通信。常见Map类型：Hash Map（键值存储）、Array Map（索引数组）、Ring Buffer（高性能事件流）、Perf Buffer（事件推送）、LRU Map（最近最少使用）。BPF环形缓冲区（ringbuf）提供高性能无锁事件传输。

零侵入式故障排查实战

eBPF实现了真正的零侵入排查：无需修改应用代码、无需重启服务。经典场景包括：TCP重传分析（tcplife工具）、DNS延迟统计、文件访问追踪、系统调用过滤、OOM诊断。Tetragon提供基于eBPF的运行时安全与观测。

eBPF的安全性与应用限制

虽然eBPF极其强大，但也存在安全风险：Spectre等侧信道攻击、验证器逃逸、资源耗尽。内核5.15 引入BPF令牌（bpf token）进行权限隔离。在容器环境中，需要CAP_BPF或CAP_SYS_ADMIN权限。