到底什么是 eBPF？

eBPF，全称为扩展伯克利数据包过滤器，就像给你的内核赋予了超能力。它允许你在不更改内核源代码或加载内核模块的情况下，在 Linux 内核中运行沙盒程序。可以把它看作是一种安全高效地动态扩展内核功能的方法。

但这还不是全部！eBPF 不再仅仅用于数据包过滤。它已经演变成一种通用技术，可以用于从安全到性能分析的广泛任务。

eBPF 革命：为什么你应该关心？

现在，你可能会想，“太好了，又一个可以加到我的技术术语卡片上的流行词。” 但请抓紧你的内核，因为 eBPF 确实是改变游戏规则的。原因如下：

  • 性能：eBPF 程序在内核空间运行，速度极快。
  • 灵活性：你可以将 eBPF 用于从网络安全到性能跟踪的各种任务。
  • 安全性：eBPF 程序在执行前会被验证，确保它们不会导致内核崩溃或挂起。
  • 动态性：可以在不重启或重新编译内核的情况下加载和卸载 eBPF 程序。

eBPF 实际应用：真实世界的用例

让我们动手看看 eBPF 的一些实际应用：

1. 网络超能力

还记得 iptables 和它笨拙的语法吗？eBPF 带来了更高效和灵活的网络功能，拯救了局面。


#include <linux/bpf.h>
#include <bpf/bpf_helpers.h>

SEC("xdp")
int xdp_drop_icmp(struct xdp_md *ctx) {
    void *data_end = (void *)(long)ctx->data_end;
    void *data = (void *)(long)ctx->data;
    struct ethhdr *eth = data;

    if (eth + 1 > data_end)
        return XDP_PASS;

    if (eth->h_proto == htons(ETH_P_IP)) {
        struct iphdr *ip = (void *)(eth + 1);
        if (ip + 1 > data_end)
            return XDP_PASS;

        if (ip->protocol == IPPROTO_ICMP)
            return XDP_DROP;
    }

    return XDP_PASS;
}

char _license[] SEC("license") = "GPL";

这个简单的 eBPF 程序附加到 XDP 钩子上，可以在网络接口层高效地丢弃 ICMP 数据包，比传统方法快得多。

2. 超强可观测性

使用 eBPF，你可以跟踪系统调用、监控 CPU 使用情况，并以最小的开销跟踪网络连接。像 bpftrace 这样的工具使编写强大的单行调试代码变得容易：


bpftrace -e 'tracepoint:syscalls:sys_enter_open { printf("%s %s\n", comm, str(args->filename)); }'

这个单行代码跟踪整个系统的文件打开操作。试试用 strace 高效地做到这一点！

3. 安全锁定

eBPF 允许你在内核级别实施安全策略。例如，你可以用它来限制容器可以进行的系统调用：


SEC("seccomp")
int bpf_prog(struct seccomp_data *ctx) {
    if (ctx->nr == __NR_unshare)
        return SECCOMP_RET_ERRNO | EPERM;
    return SECCOMP_RET_ALLOW;
}

这个 eBPF 程序阻止使用 unshare 系统调用，该调用可能被用来突破容器的限制。

黑暗面：挑战和限制

在你全身心投入 eBPF 之前，让我们谈谈一些挑战：

  • 学习曲线：eBPF 需要对内核内部有深入的了解。
  • 工具：虽然在改进，但工具生态系统仍在成熟中。
  • 兼容性：旧的内核版本可能不支持所有 eBPF 功能。
“能力越大，责任越大。” - 本叔叔（以及每个 eBPF 开发者）

开始使用 eBPF

准备好开始你的 eBPF 之旅了吗？以下是快速入门指南：

  1. 设置环境：确保你运行的是较新的 Linux 内核（4.15+），并安装必要的工具：

sudo apt-get install linux-headers-$(uname -r) bpfcc-tools linux-tools-generic
  1. 学习基础知识：熟悉 BPF 概念和 eBPF 指令集。
  2. 选择工具：决定是要编写原始 eBPF 程序还是使用更高级的框架，如 BCC 或 bpftrace。
  3. 从小处开始：从简单的跟踪程序开始，然后再转向更复杂的网络或安全应用。
  4. 探索现有项目：查看像 Cilium 这样的网络项目或 Falco 这样的安全项目，看看 eBPF 的实际应用。

未来是 eBPF 的

随着我们结束对 eBPF 的深入探讨，很明显这项技术不仅仅是昙花一现。它正在从根本上改变我们在 Linux 环境中处理系统可观测性、网络和安全的方式。

随着 Facebook、Google 和 Netflix 等大公司对 eBPF 的大量投资，我们可以期待未来会有更多创新的应用。谁知道呢，也许有一天我们会回过头来想，怎么能在没有它的情况下管理我们的系统。

关键要点

  • eBPF 提供了前所未有的内核级操作访问，而不影响稳定性或安全性。
  • 它以其灵活性和性能正在革新网络、可观测性和安全等领域。
  • 虽然功能强大，但 eBPF 具有学习曲线和一些需要注意的限制。
  • 生态系统正在快速发展，新的工具和用例不断涌现。

那么，内核探险者们，你们准备好踏上 eBPF 之旅了吗？Linux 可观测性和网络的未来在等待着你，它看起来比以往任何时候都更加光明（和可观测）！

“预测未来的最好方法就是去创造它。” - Alan Kay

有了 eBPF，我们不仅仅是在预测 Linux 内核能力的未来——我们正在积极创造它。祝你 eBPF 之旅愉快！