Linux 内核 eBPF 实战：从 Tracing 到性能优化的深度探索

引言：eBPF — 可编程内核的革命

在 Linux 内核的发展史上，从未有过任何一项技术像 eBPF（Extended Berkeley Packet Filter）这样，彻底改变了我们观测、调试和优化系统的方式。eBPF 允许用户在不修改内核源码、不加载内核模块的情况下，安全地在内核空间中运行沙箱化程序。从网络包过滤到性能剖析，从安全审计到可观测性，eBPF 正在成为现代云原生基础设施的核心技术支柱。

本文将深入 eBPF 的技术内核，从 BPF 虚拟机架构讲起，通过大量可运行的实战案例，带你掌握 eBPF 编程的核心技能，最终构建属于自己的高性能 Tracing 工具。

一、eBPF 技术演进史

eBPF 的前身 cBPF（classic BPF）诞生于 1992 年，由 Steven McCanne 和 Van Jacobson 在劳伦斯伯克利国家实验室提出，最初用于 tcpdump 等网络抓包工具中的包过滤。cBPF 只有 2 个 32 位寄存器，功能极其有限。

2014 年，Alexei Starovoitov 将 cBPF 扩展为 eBPF，引入了 10 个 64 位寄存器、BPF 映射（Maps）、辅助函数（Helper Calls）和tail calls 等现代特性。自 Linux 3.18 起，eBPF 正式合并入内核主线。随后多年的爆发式发展，使得 eBPF 成为内核扩展的事实标准：

• Linux 4.x 时代：JIT 编译优化、BPF Type Format (BTF)、CO-RE（Compile Once, Run Everywhere）
• Linux 5.x 时代：BPF LSM（安全模块）、BPF Timer、BPF Ring Buffer
• Linux 6.x 时代：BPF Scoped kptr、增强的 verifier 安全检查

二、BPF 虚拟机架构深度解剖

eBPF 程序运行在一个专用的 RISC 式虚拟机中，这个虚拟机有自己严格定义的指令集和执行模型：

2.1 寄存器模型

eBPF 虚拟机定义了 11 个 64 位寄存器：

r0  — 存储返回值
r1-r5 — 函数参数（call 时内核自动设置）
r6-r9 — 被调用者保留寄存器（callee-saved）
r10 — 帧指针（只读，指向栈底）

这种寄存器调用约定类似 x86-64 ABI，但 r1-r5 是 caller-saved，意味着被调用函数可以自由修改它们，而 r6-r9 必须由被调用者保存和恢复。

2.2 指令编码

每条 eBPF 指令固定 8 字节，结构如下：

struct bpf_insn {
    __u8  opcode;      // 操作码
    __s8  dst_reg:4;   // 目标寄存器
    __s8  src_reg:4;   // 源寄存器
    __s16 off;         // 有符号偏移
    __s32 imm;         // 有符号立即数
};

opcode 字段分为三个部分：指令类别（3位）、寻址模式（2位）、源/操作数位（3位）。这种紧凑的定长编码让 verifier 可以快速逐条扫描验证。

2.3 执行流水线

eBPF 程序的执行流程：

1. 用户态通过 bpf() 系统调用提交 ELF 字节码
2. 内核 verifier 执行静态分析验证安全性
3. JIT 编译器将验证通过的指令翻译为原生机器码
4. 触发事件（hook point）时执行 JIT 编译后的程序
5. 通过 BPF Maps 与用户态交换数据

三、安全验证器（Verifier）的设计哲学

Verifer 是 eBPF 安全模型的核心。它的设计哲学是：宁可拒绝合法程序，绝不放行危险程序。Verifier 会模拟执行 eBPF 程序的每一条可能路径，执行以下关键检查：

• 无不可达指令：所有可执行路径必须能被 verifier 探索到
• 无越界内存访问：每次内存访问必须在允许范围内
• 无无限循环：循环必须有界（Linux 5.3 前完全禁止循环）
• 寄存器状态跟踪：未初始化的寄存器读取、未映射的指针解引用都会被拦截
• 栈溢出检测：栈空间固定 512 字节，所有栈变量必须有界
• 类型安全检查：BPF 指针类型严格区分，不允许类型混淆

Verifier 对指针运算的处理尤为严格：

// 允许：base   constant（常量偏移）
u64 *ptr = map-