Gartner 估計，到 2025 年，超過 95% 的數字工作負載將部署在云原生平臺上。與此同時，Kubernetes正在成為跨云編排的標準和云原生架構的支柱。在這一轉變中，發揮重要作用的技術是eBPF(Berkeley Packet Filter的擴展版本)。

1 什么是eBPF？

操作系統分為用戶空間和內核空間，內核是操作系統的核心，它獨立于普通的應用程序，可以訪問受保護的內存空間，也有訪問底層硬件設備的所有權限。為了保證內核的安全，現在的操作系統一般都強制用戶進程不能直接操作內核。 ? 我們編寫的應用程序通常在用戶空間中運行，每當這些應用程序想要以任何方式與硬件交互時，無論是讀取還是寫入文件、發送或接收網絡數據包、訪問內存，都需要只有內核才能擁有的特權訪問權限，用戶空間的應用程序必須向內核發出請求。內核還負責調度應用程序，以確保多個進程同時運行。

? eBPF 使應用程序能在操作系統的內核中運行，并在不更改內核源代碼的情況下對內核進行檢測。eBPF 程序在內核版本之間是可移植的，并且可以自動更新，從而避免了工作負載中斷和節點重啟。eBPF 程序可以在加載時進行驗證，以防止內核崩潰或其他不穩定性因素。 ? eBPF 是一個抽象虛擬機 (VM)，它有自己的指令集，可在 Linux 和 Windows 內核中運行。eBPF 可以在內核的沙箱執行用戶定義的程序，這些沙箱程序由內核中的事件觸發，接收指向內核或用戶空間內存的指針。

? eBPF 項目布局由三個關鍵組成（參見圖 1）： ?

eBPF 程序，在內核中運行并對事件做出反應。

用戶空間程序，將 eBPF 程序加載到內核并與之交互。

BPF Maps (hash maps, arrays, ring / perf buffer)，它允許用戶空間程序和內核中的 eBPF 程序之間的數據存儲和信息共享。

在開發階段，將eBPF程序字節碼注入內核，詳見圖1。 ?

圖 1. eBPF 項目布局 ?

通常，eBPF 程序是用 C 或 Rust 編寫的，并編譯為目標文件。這是一個標準的可執行和可鏈接格式(ELF) 文件，可以使用readelf等工具進行分析。Linux 內核期望 eBPF 程序以字節碼的形式加載。像 LLVM這樣的編譯器套件可以用來將偽 C 代碼編譯成 eBPF 字節碼。 ? eBPF Maps使 eBPF 能夠共享獲取的信息并保存狀態。因此，eBPF 程序可以利用 eBPF 映射來維護和檢索各種格式的數據。eBPF程序和用戶空間應用程序都可以通過系統調用訪問eBPF映射。 ? 在運行階段，Go庫使用 eBPF 系統調用將 eBPF 程序加載到內核中。然后，內核驗證代碼，JIT即時編譯器編譯 eBPF 程序并將其附加到所需的鉤子（hook）上。當內核或應用程序通過某個hook點（系統調用、函數進入/退出、內核跟蹤點、網絡事件等）時，eBPF 程序讓自定義代碼在內核中運行。 ? eBPF 程序使用 BPF 映射實現了內核和用戶空間之間的可見性。 ? 如圖 1 所示，當一個 eBPF 程序被加載到內核中時，它將由一個事件（圖中的 TC ingress/egress 和 sockets）觸發。一旦事件發生，附加的 eBPF 程序將被執行。 ? 例如，可以使用一組在Linux內核的網絡堆棧中支持的eBPF 鉤子來運行eBPF程序。可以通過組合以下鉤子來創建更高級別的網絡結構： ?

Express Data Path (XDP)：網絡驅動程序是最早可以附加 XDP BPF 鉤子的點。當收到一個數據包時，eBPF 程序就會被觸發運行。

流量控制入口/出口：與 XDP 一樣，通過將eBPF程序與流量控制入口掛鉤，將eBPF程序附加到網絡接口上。與 XDP 的不同之處在于 eBPF 程序將在網絡堆棧對數據包進行初始處理后運行。

套接字操作：另一組鉤子點是套接字操作鉤子，它將 eBPF 程序附加到特定的 cgroup 并根據 TCP 事件觸發它們。

套接字發送/接收：套接字發送/接收鉤子在 TCP 套接字執行的每個發送操作上觸發并運行附加的 eBPF 程序。

還可以對內核函數使用Kprobes，對用戶空間函數使用Uprobes來檢測函數調用。可以使用Linux 安全模塊(LSM) 鉤子（內核 5.7 及更高版本）執行與安全相關的操作。 ? 圖 2 展示了一組全面的eBPF 可觀察性工具。 ?

圖 2. Linux bcc/BPF 跟蹤工具 ?

由于事件種類繁多，eBPF 程序可用于高效網絡、跟蹤和數據分析、可觀察性和安全工具，例如，用于威脅防御和入侵檢測。參見圖 3 中所示的 eBPF 堆棧。 ?

圖 3. eBPF 堆棧

? 2 為什么是 eBPF？

云原生架構是基于 eBPF 應用程序的關鍵驅動因素之一，因為越來越多的內核子系統可以使用 eBPF 進行擴展。 ? 如前所述，典型的用例是安全性、網絡和可觀察性。安全性和網絡之間的交集導致了“網絡安全”應用；安全性和可觀察性之間的重疊產生了“實時威脅檢測和響應”應用程序；網絡和可觀察性結合起來就是關于“網絡可觀察性”的應用；“智能應用程序沙箱”是安全性、網絡和可觀察性相交的結果，如圖 4 所示。 ?

圖 4. eBPF 高級用例 ?

圖 5 整合了 eBPF 為云原生環境帶來的一些價值。 ? eBPF 展示了驚人的可編程性，eBPF 驗證器確保加載的程序是安全的，并保證它們不會使內核崩潰。eBPF 還提供了出色的策略可見性和執行控制，并允許操作員觀察在用戶空間中運行的所有程序，這是在同一空間中運行的應用程序幾乎無法實現的。 ?

圖 5. eBPF 優勢示例 ?

此外，用 eBPF 映射替換 iptables 規則允許將數據直接從入站套接字傳輸到出站套接字，從而實現超快速的服務負載平衡。圖 6 展示了如何使用 eBPF 在 Kubernetes 集群中的四個復制 pod 之間實現負載平衡。 ?

圖 6. 在 Kubernetes

集群中使用 eBPF 的負載平衡示例 ? 表 1 概述了 eBPF 的十大優勢，以及eBPF該如何發展以支持許多其他用例。 ?

表 1. eBPF 優勢和 eBPF 潛力總結 ?

3 為什么現在使用 eBPF？

eBPF 的市場潛力體現在 2022 年的幾項重大公司舉措中，包括以下例子： ?

New Relic 收購了下一代機器智能和可觀察性Pixie Labs。

Datadog 收購了 Seekret，能夠利用 Seekret 的 eBPF 專業知識來解鎖新功能。

Seekret 使用強大的 eBPF 技術來自動發現和可視化 API 資產、互連和依賴關系，使開發人員和產品負責人能夠了解復雜、動態環境中的 API 行為和使用模式。 ? 業界對 eBPF 理解的增加，也間接創造了更多的買家。 ? eBPF在技術上已經成熟。 ? 事實上，eBPF 已經變得更加通用，特別是 Windows 的 eBPF。此外，還出現了一系列 eBPF 工具鏈，例如 GCC 和 Aya，一個可以完全用 Rust 編寫 eBPF 程序的庫。? ? 4 如何將 eBPF 商業化？ ? 我們可以考慮這樣一個市場，其中客戶可以通過訂閱訪問軟件，并使用與特定產品（例如網絡可觀察性、運行時安全性等）和數據源計劃相關聯的基于產品的定價和計費模型，這取決于服務和支持類型，如圖7所示。 ? 用戶訂閱計劃考慮了用戶帳戶的數量和所需支持的類型。 ? 數據源計劃與基于使用的定價模型相關聯。報告給 eBPF 代理的數據經過處理，然后使用特定于相應數據源的轉換規則轉換為字節。如果用戶使用的是基于使用的定價模型，則需要為超出每月免費數量的字節數付費。 ?

圖 7. eBPF 監控、可觀察性和安全工具的收費和計費模型示例 ? 另一種可能性是根據資源收費，即部署的控制器和代理（守護程序集）的數量，如圖 1 所示，以及支持類型（服務）。?? ?

5 總結

eBPF 之于內核就像 JavaScript 之于 Web 瀏覽器。

? 盡管存在一些挑戰，比如eBPF 開發并不容易，節奏快且實現細節可能因內核版本而不同，并且沒有簡單的打包/部署解決方案。但eBPF技術正在內核領域引發一波重大創新浪潮，為云原生環境帶來直接的好處，尤其是由于其動態可編程性、可靠性以及以最小的中斷獲得出色的工作負載可見性的能力。 ? 可以檢查數據包這一特性提供了極其高效的可觀察性工具，這些工具可以映射到其他方面，例如 Kubernetes 元數據，并從提取的信息中獲得深入的安全取證。 ? 我們可以使用丟棄或修改網絡策略數據包的能力，并使用 eBPF 進行加密以確保安全。此外，由于可以發送數據包并更改數據包的目的地，eBPF 允許創建強大的網絡功能，例如負載平衡、路由和服務網格。

eBPF 支持下一代服務網格，不需要使用 sidecar 檢測 pod ，并可以在不更改任何應用程序或配置的情況下實現高性能。 ? *本文系SDNLAB編譯自CyberSecurity-MAGAZINE

編輯：黃飛

?