eBPF 技术详解
eBPF（Extended Berkeley Packet Filter） 是 Linux 内核中的安全沙盒虚拟机，让你在不改内核、不加载内核模块、不重启系统的前提下，将自定义代码运行在内核中，用于观测、网络、安全、性能优化。具有超低开销、安全隔离、动态加载等特性。
一、解决了什么痛点
传统在内核添加逻辑只有两条路：
| 方式 | 缺点 |
|---|---|
| 改内核源码 → 重编 → 重启 | 慢、风险大、版本绑定 |
| 内核模块（LKM） | 权限等同内核，写错直接宕机/漏洞，兼容性差 |
eBPF 方案：安全、动态、低耗、跨版本。
二、核心原理
1. Hook（钩子）
在内核关键事件点挂载，如：网络包、系统调用、进程创建、磁盘 IO、tracepoint/kprobe/uprobe。
2. eBPF 程序生命周期
C 编写 → Clang/LLVM 编译为 eBPF 字节码
→ 内核验证器（Verifier）静态安全检查（卡死循环、越界访问、非法指令）
→ 通过后 JIT 编译为机器码执行3. eBPF Maps
内核中的键值存储（哈希/数组/队列等），用于内核↔用户态、eBPF 程序间安全传数据。
4. Helper 函数
受限调用内核安全接口，不能直接访问任意内核内存。
三、关键优势（对比内核模块）
| 特性 | eBPF | 内核模块 |
|---|---|---|
| 安全性 | ✅ 验证器拦截坏代码，不会宕机 | ❌ 写错直接宕机 |
| 性能 | 纳秒级开销 | 性能好但风险高 |
| 动态性 | 随时加载/更新，不用重启 | 需卸载/加载模块 |
| 兼容性 | CO-RE 一次编译，多内核运行 | 版本绑定 |
| 生态 | Cilium、BCC、bpftrace、Pixie | 需自行开发 |
四、核心应用场景
1. 网络（最火）
- Cilium：K8s 容器网络、Service、Ingress、网络策略、负载均衡，取代 iptables/IPVS
- 高性能防火墙、DDoS 防护、流量镜像、5G 数据面
2. 可观测性（排障神器）
- bpftrace：一行命令抓系统调用、耗时、错误、栈 trace
- 进程/网络/磁盘/CPU 全链路追踪、延迟分析、无侵入 APM
3. 安全
- 系统调用过滤
- 容器逃逸检测
- 恶意进程拦截
- 零信任网络
4. 性能调优
- 内核调度优化
- 内存泄漏定位
- IO 瓶颈分析
- AI 算力集群调优
五、典型工具栈
| 工具 | 用途 |
|---|---|
| BCC | Python/Go 绑定，快速开发 eBPF 工具 |
| bpftrace | 类 awk 脚本，一行命令搞定复杂追踪 |
| Cilium | K8s 网络与安全标准方案 |
| Libbpf | 用户态库，加载/管理 eBPF 程序与 Maps |
| CO-RE | 一次编译，跨内核部署 |
六、一句话类比
eBPF ≈ 内核里的 JavaScript：给内核装了个安全沙盒，动态跑自定义逻辑，不改内核、不宕机、超高速。
关联文档
- ../网络 — 云原生网络主页（Cilium/eBPF 是核心 CNI）
- ../../linux/system/Linux — eBPF 运行在 Linux 内核中
- ../../kubernetes/core/K8s 核心概念 — Cilium 实现 K8s 网络
- ../../monitoring/监控与可观测性 — eBPF 可观测性应用