5.3 eBPF 与 Kubernetes 网络——Cilium CNI

Cilium 利用 eBPF 完全替代 kube-proxy 的 iptables/IPVS 规则，将 Kubernetes 服务负载均衡、网络策略、可观测性全部下沉到 eBPF 层。相比 iptables（规则线性匹配，O(n) 复杂度），Cilium 的 eBPF Map 查找是 O(1)，在万节点集群中优势尤为突出。

六、安全实战：Falco 与入侵检测

Falco 是云原生安全领域的标杆项目，它利用 eBPF 驱动实时监控系统调用规则匹配异常行为。例如检测容器内执行 shell（如 kubectl exec 中的 bash）、敏感文件读取（/etc/shadow，SSH 密钥）、异常进程启动等。eBPF 提供的内核事件粒度远优于审计日志（auditd），且不会被用户空间程序绕过。

七、eBPF 程序开发实践

7.1 开发工具链概览

• BCC (BPF Compiler Collection)：Python 前端，快速原型开发（如 execsnoop、biosnoop）
• libbpf：C/C++ 原生库，CO-RE（Compile Once, Run Everywhere）支持，生产部署首选
• bpftrace：高级脚本语言，一行命令完成追踪（适合运维场景）
• Aya：Rust 语言框架，内存安全、零开销抽象
• cilium/ebpf：Go 语言框架，与 Cilium 同源
• bpftool：加载程序、查看 Maps、PIN 到 bpffs 的瑞士军刀

7.2 Hello World: 追踪 execve 系统调用

// 通过 BCC 追踪所有 execve 调用，打印进程名和参数
from bcc import BPF

prog = """
TRACEPOINT_PROBE(syscalls, sys_enter_execve) {
    u32 pid = bpf_get_current_pid_tgt() >> 32;
    char comm[16];
    bpf_get_current_comm(&comm, sizeof(comm));
    bpf_trace_printk("execve by %s (pid=%d)\\n", comm, pid);
    return 0;
}
"""

b = BPF(text=prog)
print("Tracing execve calls... Ctrl-C to exit")
b.trace_print()

运行后每执行一个命令都会输出追踪信息，这正是 execsnoop-bpfcc 工具的核心逻辑。

7.3 CO-RE 与可移植程序

传统 eBPF 程序编译时需要目标机器的内核头文件，跨发行版不可移植。libbpf 引入的 CO-RE 利用 ELF 中的 BTF（BPF Type Format）重定位信息，在运行时自动适配不同内核版本的结构体布局和字段偏移。编译一次 eBPF 字节码，即可在任意支持 BTF 的 Linux 5.4+ 内核上运行。

八、eBPF 的安全边界与限制

eBPF 并非万能，其设计经过精心平衡以保持安全：

• Verifier 强制检查：程序必须有界终止（无无限循环），禁止未初始化内存访问，禁止越界指针运算
• 栈空间限制：固定 512 字节栈空间，不支持动态分配
• 辅助函数白名单：只能调用内核暴露的 BPF 辅助函数（如 bpf_map_lookup_elem、bpf_probe_read），不能任意调用内核 API
• 特权要求：加载 eBPF 程序需要 CAP_SYS_ADMIN 或 CAP_BPF（Linux 5.17+非特权 eBPF 仍受限）
• 隐私与非恶意使用：eBPF 的强大追踪能力需要审慎使用，确保符合组织政策和法律法规

九、展望未来

eBPF 社区持续高速发展，几个值得关注的趋势：

• eBPF for Windows：微软支持在 Windows 上运行 eBPF 程序，实现跨平台一致的网络策略
• BPF 命名空间：容器级别的 eBPF 隔离，允许容器内受限加载 eBPF 程序
• 可编程调度器：通过 BPF 钩子实现自定义 CPU 调度策略
• eBPF 硬件卸载：将 eBPF 程序编译到 SmartNIC/FPGA 中，实现真正的线速处理
• Rust + Aya 生态成熟：内存安全的 eBPF 开发体验逐步普及

十、总结

eBPF 将内核从"黑盒"变成了"白盒"，赋予工程师前所未有的内核级观测和控制能力。它不是传统 tracing 工具的替代品——因为 printk 和 strace 在调试场景中仍有价值——而是将"生产环境可安全使用的内核编程"这一愿景变为了现实。从 Netflix 的网络性能监控到 Meta 的云原生负载均衡，从 Kubernetes 的 CNI 到云原生的安全检测，eBPF 正在重新定义 Linux 基础设施的运行方式。

对于每一位系统工程师和基础设施开发者而言，掌握 eBPF 不再是"加分项"，而是走向深度系统优化的必经之路。