eBPF 核心机制与实战：从内核可编程到可观测性革命

eBPF（Extended Berkeley Packet Filter）自 2014 年被引入 Linux 内核以来，已从一个简单的包过滤机制演进为内核态可编程基础设施的核心技术。它允许在不修改内核源码、不加载内核模块的前提下，在内核空间中安全地运行用户定义的程序，带来了可观测性、网络和安全三大领域的范式变革。

传统上，内核功能修改需要重新编译内核或编写内核模块（LKM），这两种方式都存在巨大风险：内核模块可能引入稳定性问题，且每次内核升级都需要维护适配。eBPF 通过提供受控的执行沙箱，既保持了内核安全性，又实现了前所未有的灵活性。

二、eBPF 架构核心组件

2.1 BPF 虚拟机与执行模型

eBPF 程序运行在一个专用的 RISC 风格虚拟机中，该虚拟机具有以下关键特性：

• 11 个 64 位寄存器（R0-R10）：R0 存放返回值，R1-R5 存放函数参数，R6-R9 为被调用者保存寄存器，R10 只读栈帧指针
• 固定大小的 512 字节栈空间：限制程序复杂度，确保执行可预测
• 无界循环检测：内核验证器（verifier）静态分析所有执行路径，禁止可能导致无限循环的控制流
• 辅助函数（Helper functions）：通过严格定义的 BPF 调用约定访问内核功能，如 bpf_map_lookup_elem、bpf_probe_read、bpf_trace_printk

2.2 验证器（Verifier）

验证器是 eBPF 安全架构的核心，它在程序加载时执行静态分析：

• 控制流分析：构建控制流图（CFG），确保所有路径可达且无回边（无无限循环）
• 寄存器状态跟踪：每个寄存器维护类型、值范围、是否已初始化等元数据
• 内存边界检查：验证所有指针解引用都在合法范围内
• 复杂度限制：Linux 内核 5.2 支持 100 万条指令的 eBPF 程序

2.3 BPF 映射（Maps）

BPF 映射是内核态与用户态之间的高效通信机制：

2.4 JIT 编译器

加载验证通过后，内核将 eBPF 字节码通过 JIT 编译器翻译为原生机器码，常见架构均有支持：

• x86_64：成熟的 JIT 支持，性能接近原生内核函数
• ARM64：服务器/移动端主流架构，JIT 性能已大幅优化
• RISC-V / PowerPC / s390x：各架构均有对应 JIT 后端

JIT 编译后，eBPF 程序可直接在内核中执行，无需解释执行开销，接近最优性能。

三、eBPF 程序类型与挂载点

3.1 网络类

• XDP (eXpress Data Path)：最早挂载点在网卡驱动收包阶段，可实现 DDoS 防护、负载均衡、包过滤等，处理延迟可低至微秒级
• TC (Traffic Control)：内核 Traffic Control 层挂载，支持 ingress/egress 双向流量控制，比 XDP 更靠近协议栈
• 套接字过滤（Socket Filter）：经典 BPF 的扩展，用于应用层流量控制
• cgroup 套接字（Sockops）：cgroup 级别的套接字操作，实现透明服务网格

3.2 追踪类

• kprobe/kretprobe：动态插桩内核函数入口/出口，适用于问题诊断和性能分析
• tracepoint：静态预定义的内核事件点，相比 kprobe 更稳定、开销更低
• uprobe/uretprobe：用户态函数动态插桩，用于应用级追踪和性能剖析
• USDT (User Statically-Defined Tracing)：用户态静态追踪点，比 uprobe 更稳定、写入友好

3.3 安全类

• LSM (Linux Security Module)：通过 BPF LSM 实现灵活安全策略，替代传统内核模块的 LSM hook
• 网络策略（XDP/TC）：快速丢弃恶意流量，实现网络级安全防护

四、CO-RE：可移植 eBPF 程序

eBPF 程序的最大挑战之一是内核版本间的兼容性。BPF CO-RE（Compile Once, Run Everywhere）解决了这一问题：

4.1 编译时重定位（BTF）

• BTF (BPF Type Format)：内核嵌入的类型描述信息，记录结构体布局、字段偏移
• libbpf 在加载时根据目标内核的 BTF 自动调整 eBPF 指令中的内存访问偏移
• 无需为目标内核单独编译，一次编译即可跨版本运行

4.2 实践工具链

• libbpf：核心库，提供加载、映射管理、CO-RE 重定位
• bpftool：查看内核 BPF 状态、加载/卸载程序、映射操作
• aya（Rust） / libbpf-cc（C/C ） / cilium/ebpf（Go）：高级语言框架

五、可观测性实战

5.1 系统调用追踪

通过 tracepoint/syscalls/sys_enter_execve 监控进程创建：

SEC("tp/syscalls/sys_enter_execve")
int trace_execve(struct trace_event_raw_sys_enter *ctx) {
    struct event e = {};
    e.pid = bpf_get_current_pid_tgid()