Linux eBPF 技术深度实战：从内核编程到生产监控

一、eBPF 技术概述

eBPF（Extended Berkeley Packet Filter）是 Linux 内核中一项革命性的技术，它允许在不修改内核源码、不加载内核模块的情况下，安全地在内核中运行用户定义的程序。自 Linux 3.18 引入以来，eBPF 已经成为云原生时代最重要的底层技术之一。

传统上，如果需要在内核层面进行操作（如网络包过滤、系统调用追踪等），开发者不得不编写内核模块——这种方式风险极高，一个错误就可能导致整个系统崩溃。eBPF 通过提供一个沙盒环境，配合内核验证器（Verifier）确保程序的安全性，彻底改变了这一局面。

二、eBPF 核心架构

2.1 执行流程

eBPF 程序的生命周期包含以下几个关键步骤：

• 编写：使用 C 或 Rust 等语言编写 eBPF 程序
• 编译：通过 LLVM/Clang 编译为 eBPF 字节码
• 加载：通过 bpf() 系统调用加载到内核
• 验证：内核 Verifier 进行安全检查
• JIT 编译：转换为本地机器码执行
• 挂载：附加到钩子点（kprobes、tracepoints、XDP 等）

2.2 关键组件

• Verifier：确保程序不会崩溃内核、不会无限循环、不会访问非法内存
• JIT Compiler：将字节码编译为本地指令，接近原生性能
• Maps：内核与用户空间共享数据的键值存储，支持 Hash、Array、Ring Buffer 等多种类型
• Helper Functions：内核提供的辅助函数集合，如 bpf_probe_read、bpf_perf_event_output 等

三、实战：eBPF 系统调用追踪

3.1 项目环境搭建

# 安装依赖
sudo apt-get install -y clang llvm libbpf-linux-tools

# 验证 eBPF 可用性
uname -r  # 需要 Linux 4.18+
sudo bpftool feature

3.2 编写追踪 openat 系统调用的 eBPF 程序

// opensnoop.bpf.c
#include "vmlinux.h"
#include <bpf/bpf_helpers.h>
#include <bpf/bpf_tracing.h>

struct event {
    u32 pid;
    u32 uid;
    char comm[16];
    char filename[256];
    int ret;
};

struct {
    __uint(type, BPF_MAP_TYPE_PERF_EVENT_ARRAY);
    __uint(key_size, sizeof(u32));
    __uint(value_size, sizeof(u32));
} events SEC(".maps");

SEC("tracepoint/syscalls/sys_enter_openat")
int trace_openat(struct trace_event_raw_sys_enter *ctx) {
    struct event e = {};
    e.pid = bpf_get_current_pid_tgid() >> 32;
    e.uid = bpf_get_current_uid_gid() & 0xFFFFFFFF;
    bpf_get_current_comm(&e.comm, sizeof(e.comm));
    bpf_probe_read_user_str(&e.filename, sizeof(e.filename), (void *)ctx->args[1]);
    
    bpf_perf_event_output(ctx, &events, BPF_F_CURRENT_CPU, &e, sizeof(e));
    return 0;
}

char LICENSE[] SEC("license") = "GPL";

3.3 用户空间加载程序

// opensnoop.c
#include <stdio.h>
#include <unistd.h>
#include <signal.h>
#include <bpf/libbpf.h>
#include "opensnoop.skel.h"

static volatile bool running = true;

void sig_handler(int sig) { running = false; }

int handle_event(void *ctx, void *data, size_t len) {
    struct event *e = data;
    printf("%-6d %-8s ret=%-4d file=%s\n", 
           e->pid, e->comm, e->ret, e->filename);
    return 0;
}

int main(int argc, char **argv) {
    struct opensnoop_bpf *skel;
    struct ring_buffer *rb;
    int err;
    
    signal(SIGINT, sig_handler);
    
    skel = opensnoop_bpf__open_and_load();
    if (!skel) { fprintf(stderr, "Failed to open BPF skeleton\n"); return 1; }
    
    err = opensnoop_bpf__attach(skel);
    if (err) { fprintf(stderr, "Failed to attach BPF\n"); goto cleanup; }
    
    rb = ring_buffer__new(bpf_map__fd(skel->maps.events), handle_event, NULL, NULL);
    
    while (running) {
        err = ring_buffer__poll(rb, 100);
        if (err < 0) break;
    }
    
cleanup:
    opensnoop_bpf__destroy(skel);
    return 0;
}

四、XDP 高性能网络处理

4.1 XDP 简介

XDP (eXpress Data Path) 是 eBPF 在网络领域最重要的应用之一，它允许在网卡驱动层直接处理数据包，实现超低延迟的网络处理。相比传统的 iptables/ebpf，XDP 可以提升 10 倍以上的包处理性能。

4.2 实战：DDoS 防护过滤器

// xdp_ddos_filter.bpf.c
#include "vmlinux.h"
#include <bpf/bpf_helpers.h>
#include <bpf/bpf_endian.h>

#define MAX_IPS 1024
#define THRESHOLD 1000

struct {
    __uint(type, BPF_MAP_TYPE_HASH);
    __uint(max_entries, MAX_IPS);
    __type(key, __u32);
    __type(value, __u64);
} ip_counters SEC(".maps");

SEC("xdp")
int xdp_ddos_filter(struct xdp_md *ctx) {
    void *data_end = (void *)(long)ctx->data_end;
    void *data = (void *)(long)ctx->data;
    
    struct ethhdr *eth = data;
    if ((void *)(eth + 1) > data_end) return XDP_DROP;
    
    if (eth->h_proto != bpf_htons(ETH_P_IP)) return XDP_PASS;
    
    struct iphdr *iph = (void *)(eth + 1);
    if ((void *)(iph + 1) > data_end) return XDP_DROP;
    
    __u32 src_ip = iph->saddr;
    __u64 *counter = bpf_map_lookup_elem(&ip_counters, &src_ip);
    __u64 new_count = 1;
    
    if (counter) {
        new_count = *counter + 1;
        if (new_count > THRESHOLD) {
            bpf_printk("DDoS detected from %x, count=%llu\n", src_ip, new_count);
            return XDP_DROP;  // 丢弃超额流量
        }
    }
    
    bpf_map_update_elem(&ip_counters, &src_ip, &new_count, BPF_ANY);
    return XDP_PASS;
}

char LICENSE[] SEC("license") = "GPL";

4.3 加载与验证

# 编译 eBPF 程序
clang -O2 -g -target bpf -c xdp_ddos_filter.bpf.c -o xdp_ddos_filter.o

# 加载到网卡
sudo ip link set dev eth0 xdp obj xdp_ddos_filter.o sec xdp

# 查看统计
sudo ip -s link show dev eth0

# 卸载
sudo ip link set dev eth0 xdp off

五、CO-RE 与可移植性

传统 eBPF 程序需要针对目标机器的内核版本编译，这给部署带来了巨大挑战。CO-RE（Compile Once, Run Everywhere）技术通过 BTF（BPF Type Format）和 libbpf 的类型重定位，实现了 eBPF 程序的跨内核版本兼容。

# 启用 BTF 的内核会生成 /sys/kernel/btf/vmlinux
ls -la /sys/kernel/btf/vmlinux

# 使用 bpftool 提取 BTF 信息
bpftool btf dump file /sys/kernel/btf/vmlinux format c > vmlinux.h

# libbpf 会自动处理结构体字段重定位
struct task_struct *task = (void *)bpf_get_current_task();
// 即使不同内核版本中 task_struct 字段偏移不同，libbpf 也能正确处理

六、生产环境最佳实践

6.1 Map 性能优化

• 大规模场景使用 BPF_MAP_TYPE_PERCPU_HASH 减少 CPU 竞争
• 事件流场景使用 BPF_MAP_TYPE_RING_BUFFER 替代 perf buffer
• 需要过期清理的使用 BPF_MAP_TYPE_LRU_HASH 自动淘汰冷数据

6.2 监控指标导出

//  Prometheus 风格的指标导出
struct {
    __uint(type, BPF_MAP_TYPE_HASH);
    __uint(max_entries, 1024);
    __type(key, u32);
    __type(value, struct metrics);
} latency_stats SEC(".maps");

// 定期通过 ring buffer 发送到用户空间
// 用户空间程序聚合后暴露为 Prometheus metrics

6.3 安全加固

• 启用 kernel.unprivileged_bpf_disabled=1 限制非特权用户使用
• 设置 net.core.bpf_jit_harden=1 加固 JIT 编译器
• 通过 bpftool prog audit 审查加载的 eBPF 程序