5、eBPF 编程全解析：从基础到实践

eBPF 编程全解析：从基础到实践

1. eBPF 程序概述

eBPF（Extended Berkeley Packet Filter）程序是由一系列 eBPF 字节码指令组成的。虽然可以直接用这种字节码编写 eBPF 代码，就像用汇编语言编程一样，但人类通常觉得使用高级编程语言更容易处理。目前，绝大多数 eBPF 代码是用 C 语言编写，然后编译成 eBPF 字节码。从概念上讲，这些字节码在内核中的 eBPF 虚拟机中运行。

2. eBPF 虚拟机

eBPF 虚拟机是计算机的软件实现，它接收 eBPF 字节码指令形式的程序，并将这些指令转换为在 CPU 上运行的本机机器指令。早期的 eBPF 实现中，字节码指令在内核中被解释执行，即每次 eBPF 程序运行时，内核都会检查指令并将其转换为机器码再执行。为了提高性能并避免 eBPF 解释器中可能存在的一些与 Spectre 相关的漏洞，现在解释执行已基本被即时（JIT）编译所取代。编译意味着在程序加载到内核时，转换为本机机器指令的过程只发生一次。

eBPF 字节码由一组指令组成，这些指令作用于（虚拟的）eBPF 寄存器。eBPF 指令集和寄存器模型的设计与常见的 CPU 架构紧密匹配，使得从字节码编译或解释为机器码的过程相对简单。

3. eBPF 寄存器

eBPF 虚拟机使用 10 个通用寄存器，编号从 0 到 9。此外，寄存器 10 用作栈帧指针（只能读取，不能写入）。在执行 BPF 程序时，值会存储在这些寄存器中以跟踪状态。这些 eBPF 寄存器是在软件中实现的，可以在 Linux 内核源代码的 include/uapi/linux/bpf.h