Linux eBPF 深度解析：内核可观测性与网络流量控制革命

eBPF（Extended Berkeley Packet Filter）是Linux内核中最具革命性的技术之一。它允许在内核中运行沙盒化程序，而无需修改内核源代码或加载内核模块。自Linux 3.18引入以来，eBPF已经从简单的包过滤工具发展为一个通用的内核可编程框架，广泛应用于网络、安全、可观测性等领域。

1.1 从BPF到eBPF的演进

经典的BPF（cBPF）由Steven McCanne和Van Jacobson于1992年设计，原始Length与校验和字段。其指令集极为精简，只有两个32足以用于包过滤。它的指令集极为精简，只有两个32位寄存器（A和X）和一个32位程序计数器，总指令数不到100条。

eBPF扩展了这一架构：6个64位寄存器（R0-R10）、更丰富的指令集（包括原子操作、函数调用、立即数加载）、BPF Map持久化数据结构、以及一个完整的JIT编译器和验证器。这些改进使得eBPF程序不仅能过滤包，还能追踪系统调用、观测性能指标、控制网络流量，甚至编排容器网络。

1.2 eBPF的核心架构

eBPF程序的生命周期遵循严格的安全流程：

1. 编写：使用C（或Rust）编写eBPF程序源码
2. 编译：通过LLVM/Clang编译为BPF字节码（ELF格式的.o文件）
3. 加载：用户态通过bpf()系统调用将字节码送入内核
4. 验证：内核验证器（Verifier）对字节码进行静态分析，确保安全性
5. JIT编译：验证通过后，JIT编译器将字节码翻译为机器码
6. 执行：当Hook点被触发时，CPU直接执行JIT机器码

1.3 验证器：安全执行的关键

eBPF验证器是整个安全模型的基石。它在加载时执行以下检查：

• 禁止无限循环（即使有界循环也必须满足严格条件）
• 禁止未初始化内存读取
• 禁止越界内存访问
• 禁止未授权的内核内存访问
• 验证栈空间使用（限制512字节）
• 追踪寄存器状态以确保所有代码路径安全

验证器的保守策略确保了即使eBPF程序存在bug，也不会导致内核崩溃或数据损坏。这是eBPF区别于内核模块的核心优势。

二、Hook机制与程序类型

eBPF程序必须挂载到内核的特定Hook点上才能执行。Linux内核支持超过50种程序类型，覆盖了从网络到文件系统的各个领域。

2.1 网络类Hook

• XDP (eXpress Data Path)：网卡驱动层最早的Hook点，在数据包进入网络栈之前执行。支持丢弃、转发、重定向和直通模式，性能极高。
• TC (Traffic Control)：入口（ingress）和出口（egress）流量控制层。相比XDP更低一层，支持更丰富的数据包操作（修改、重定向、整形）。
• Socket Filter：套接字层过滤，传统BPF的经典应用场景。
• Cgroup Hook：容器级别的流量控制，适用于Pod级别的网络策略。

2.2 追踪类Hook

• kprobe/kretprobe：动态内核探针，可在几乎任何内核函数入口/返回处插入探针。
• uprobe/uretprobe：用户态探针，精确追踪特定函数的调用和返回。
• Tracepoint：静态内核追踪点，性能开销极低，输出格式稳定。
• USDT (User Statically-Defined Tracing)：用户态应用程序中的静态追踪点（如Java、Python、Node.js运行时内置的DTrace探针）。

2.3 其他重要程序类型

• Kfuncs：可调用内核内部函数，扩展性极强
• LSM (Linux Security Module)：安全钩子，用于实现MAC（强制访问控制）
• Struct Ops：替换内核内部操作函数，用于自定义TCP拥塞控制算法等

三、XDP：极致网络数据包处理

XDP是eBPF在网络领域的杀手级应用。它在数据包到达内核网络栈之前执行eBPF程序，实现了业界最高的包处理性能。

3.1 XDP的工作原理

XDP Hook位于网卡驱动层的RX（接收） ring buffer。当网卡收到一个数据包时，DMA将数据写入内存，然后驱动调用XDP程序。程序返回一个动作码：

• XDP_PASS：正常传递给内核网络栈
• XDP_DROP：立即丢弃（在驱动层，性能开销趋近于零）
• XDP_TX：从同一网卡发送回去
• XDP_REDIRECT：转发到另一个网卡或CPU的RX队列

3.2 实战：XDP DDoS防护

以下是一个简化的XDP防护程序示例，实现源IP速率限制：

// xdp_ddos.bpf.c
#include