未来之路 - eBPF 与 Cilium 如何重塑网络

未来之路 - eBPF 与 Cilium 如何重塑网络

---

第一部分：什么是 eBPF？- 内核的“JavaScript”

理解 eBPF 最好的类比是：如果 Linux 内核是一个浏览器，那么 eBPF 就是运行在浏览器（内核）中的 JavaScript。

在 eBPF 出现之前，如果你想改变内核的行为，只有两种痛苦的方式：修改内核源代码并重新编译，或者编写风险极高的内核模块。

而 eBPF 允许你将一小段沙箱化的、事件驱动的程序，安全地加载到内核中运行。

eBPF 的工作原理 (高层视角):

1. 事件钩子 (Hooks): 内核在许多关键路径上都暴露了“钩子”，例如：当一个网络设备接收到数据包时、当一个系统调用被发起时、当一个 TCP 连接建立时等等。
2. eBPF 程序: 你可以用受限的 C 语言编写一小段程序。
3. 验证器 (Verifier): 这是 eBPF 安全性的核心。在你加载程序之前，内核中的验证器会对你的代码进行极其严格的静态分析，以确保它不会包含无限循环、不会访问非法的内存地址、不会导致内核崩溃。只有通过验证的代码才能被加载。
4. 加载与编译: 通过验证后，程序被加载到内核中，并由一个即时编译器 (JIT) 将其编译为原生的机器码，以获得最高的执行效率。
5. 挂载 (Attach): 最后，将你已加载的程序“挂载”到一个或多个钩子上。现在，每当内核执行到那个钩子点，你的自定义代码就会被触发执行。
6. eBPF Maps: