4.2 实战：HTTP 请求延迟追踪

通过挂载到 socket 层，可以精确测量每个 HTTP 请求的排队延迟、传输延迟和响应延迟，无需任何应用代码修改：

// http_latency.bpf.c
struct http_metrics {
    __u64 dns_resolve_us;
    __u64 connect_us;      // TCP 握手耗时
    __u64 tls_handshake_us;
    __u64 request_write_us;
    __u64 first_byte_us;   // TTFB
    __u64 total_us;
};

struct {
    __uint(type, BPF_MAP_TYPE_HASH);
    __uint(max_entries, 100000);
    __type(key, __u64);   // PID + socket cookie
    __type(value, struct http_metrics);
} active_requests SEC(".maps");

// 追踪 connect() 调用入口
SEC("kprobe/tcp_v4_connect")
int trace_connect_start(struct pt_regs *ctx) {
    u64 pid_tgid = bpf_get_current_pid_tgid();
    u64 ts = bpf_ktime_get_ns();
    bpf_map_update_elem(&active_requests, &pid_tgid, &ts, BPF_ANY);
    return 0;
}

// 追踪 connect() 返回
SEC("kretprobe/tcp_v4_connect")
int trace_connect_end(struct pt_regs *ctx) {
    u64 pid_tgid = bpf_get_current_pid_tgid();
    u64 *start = bpf_map_lookup_elem(&active_requests, &pid_tgid);
    if (start) {
        u64 duration_ns = bpf_ktime_get_ns() - *start;
        // 记录 connect 耗时
    }
    return 0;
}

五、Socket Filter 级别的连接级监控

5.1 BPF_PROG_TYPE_SOCKET_FILTER

Socket Filter 是最经典的 eBPF 应用场景。相比 XDP 和 TC，它在套接字层面工作，适用于单套接字或进程级别的精细化网络监控。典型场景包括：进程级别的网络用量统计、应用层协议解析（HTTP、gRPC、MySQL 等）、容器网络接口监控。

5.2 使用 BCC 快速开发

BCC（BPF Compiler Collection）提供了 Python 前端，极大降低了 eBPF 开发门槛：

#!/usr/bin/env python3
# tcp_latency.py — 测量 TCP 连接建立耗时

from bcc import BPF
import socket, struct

bpf_text = """
#include <uapi/linux/ptrace.h>
#include <net/sock.h>
#include <bcc/proto.h>

BPF_HASH(start, u64, u64);

int trace_tcp_connect(struct pt_regs *ctx, struct sock *sk) {
    u64 pid = bpf_get_current_pid_tgid();
    u64 ts = bpf_ktime_get_ns();
    start.update(&pid, &ts);
    return 0;
}

int trace_tcp_connect_return(struct pt_regs *ctx) {
    u64 pid = bpf_get_current_pid_tgid();
    u64 *tsp = start.lookup(&pid);
    if (tsp == 0) return 0;

    u64 delta_us = (bpf_ktime_get_ns() - *tsp) / 1000;
    if (delta_us > 100) {  // 仅记录超过 100us 的连接
        bpf_trace_printk("PID %d TCP connect took %d us\\n",
                         pid >> 32, delta_us);
    }
    start.delete(&pid);
    return 0;
}
"""

b = BPF(text=bpf_text)
b.attach_kprobe(event="tcp_v4_connect", fn_name="trace_tcp_connect")
b.attach_kretprobe(event="tcp_v4_connect",
                    fn_name="trace_tcp_connect_return")

print("Tracing TCP connect latency... Ctrl+C to stop")
b.trace_print()

六、生产级工具链与实战案例

6.1 Cilium：基于 eBPF 的 Kubernetes 网络方案

Cilium 是 Kubernetes 生态中最成熟的 CNI 插件之一，全面使用 eBPF 替代传统的 iptables 和 IPVS，实现：

• L3/L4/L7 网络策略：基于 eBPF 的分布式防火墙，支持 HTTP/gRPC/API 级别的访问控制
• Cluster Mesh：多集群 Pod 间透明的 eBPF 加密与路由
• Hubble：基于 eBPF 的网络可观测性平台，提供 Service Map、流量拓扑、策略审计
• Bandwith Manager：基于 eBPF EDTC (Earliest Departure Time Control) 的容器带宽保障

# Cilium 安装
helm install cilium cilium/cilium --namespace kube-system \
  --set kubeProxyReplacement=strict \
  --set hubble.relay.enabled=true \
  --set hubble.ui.enabled=true

# 使用 CiliumNetworkPolicy 限制特定 Service 访问
apiVersion: cilium.io/v2
kind: CiliumNetworkPolicy
metadata:
  name: allow-frontend-egress
spec:
  endpointSelector:
    matchLabels:
      app: frontend
  egress:
  - toEndpoints:
    - matchLabels:
        app: backend
        k8s:io.kubernetes.pod.namespace: default
    toPorts:
    - ports:
      - port: "8080"
        protocol: TCP
      rules:
        http:
        - method: GET
          path: "/api/.*"

6.2 Falco：基于 eBPF 的运行时安全监控

Falco 是一个云原生运行时安全工具，使用 eBPF 探测内核级异常行为：

• 检测特权容器提权（capset 系统调用）
• 监控敏感文件读取（/etc/shadow、/etc/passwd）
• 识别异常 shell 反弹（bash 启动 + socket connect）
• 检测内核模块加载（create_module / init_module）

# Falco 默认规则示例（检测容器内 shell 反弹）
- rule: Terminal shell in container
  desc: A shell was used as the entrypoint/exec point into a container
        with an attached terminal
  condition: >
    spawned_process and container and
    proc.name in (shell_binaries) and
    proc.tty != 0 and
    not proc.pname exists
  output: >
    A shell was spawned in a container with an attached terminal
    (user=%user.name %container.info shell=%proc.name
     parent=%proc.parent.name cmdline=%proc.cmdline)
  priority: WARNING
  tags: [container, shell, mitre_execution]

6.3 Pixie：零侵入 Kubernetes 可观测性

Pixie 使用 eBPF 自动捕获所有 HTTP/gRPC/MySQL/PostgreSQL/Redis/Kafka 请求响应数据，零代码修改即可获得完整的分布式追踪：

# Pixie 部署
px deploy

# 使用 PxL 脚本查询 HTTP 请求延迟分布
px run px/http_data -- Columns=service,p50_duration,p99_duration

# 查看特定服务的请求详情
px run px/service_stats -- --service='online-boutique/frontend'

七、性能基准与最佳实践

7.1 性能对比

7.2 eBPF 开发最佳实践

• Map 选型：高频读写用 BPF_MAP_TYPE_PERCPU_HASH，事件通知用 BPF_MAP_TYPE_RINGBUF（取代 BPF_MAP_TYPE_PERF_EVENT_ARRAY），LRU 淘汰用 BPF_MAP_TYPE_LRU_HASH
• Verifier 限制：循环次数有上限（100 万次），使用#pragma unroll 展开循环；避免使用全局变量，使用 Map 共享数据
• 安全加载：设置 RLIMIT_MEMLOCK 为 unlimited；使用 CAP_BPF + CAP_NET_ADMIN 替代 root 权限
• CO-RE (Compile Once, Run Everywhere)：使用 BTF (BPF Type Format) 和 libbpf 的 BPF CO-RE，避免在不同内核版本上重新编译
• 监控与调试：bpftool prog show 查看已加载程序；bpftool map dump 查看 Map 内容；bpftool prog run 手动触发程序执行

# bpftool 实用命令

# 列出所有已加载的 eBPF 程序
bpftool prog show

# 查看 JIT 编译后的 native 汇编
bpftool prog dump xlated id 42

# 列出所有 BPF Map
bpftool map show

# 导出 Map 内容（JSON 格式）
bpftool map dump id 10 -p

# 通过 BTF 信息查看程序类型
bpftool BTF show

八、eBPF 在云原生网络中的未来方向

• eBPF Service Mesh：Cilium 已开始支持完全替换 Sidecar Proxy，在 eBPF 层实现 mTLS、负载均衡、熔断等 Service Mesh 功能，大幅降低资源开销
• Sockmap / Sockhash：套接字重定向机制，可将数据包跳过整个网络协议栈，直接在套接字层实现零拷贝转发
• eBPF Tunneling：在内核实现 WireGuard、Geneve 等隧道协议加速，替代用户态 VXLAN/VPN 方案
• 可编程拥塞控制：使用 eBPF 动态调整 TCP 拥塞控制算法参数，针对不同网络场景实现最优传输性能
• io_uring + eBPF：异步 I/O 与可编程数据处理的深度融合，构建下一代高性能网络框架

九、总结

eBPF 正在从根本上改变 Linux 网络的处理方式。从 XDP 的纳秒级包处理，到 TC 的精细化流量控制，再到 socket 级别的请求追踪，eBPF 提供了一套层次清晰、性能卓越的工具链。在云原生场景下，Cilium、Falco、Pixie 等基于 eBPF 的开源项目已在全球大规模生产环境中验证了其稳定性和性能优势。掌握 eBPF 网络与可观测性技术，不仅能够帮助工程师快速定位网络瓶颈、构建零侵入的监控体系，更能为 DDoS 防护、服务网格、网络安全等领域带来架构级的提升。