初识 eBPF（功能、原理、及一些应用）

已于 2022-07-19 20:25:34 修改
阅读量9.1k 收藏 38
点赞数 6
分类专栏： 网络学习笔记 文章标签： kubernetes 容器 云原生
于 2022-07-19 19:56:39 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_24433609/article/details/125879684
版权

非常棒的一些材料

待看

学习路径

  • 来自极客时间 《 eBPF 核心技术与实战》
  • 其还有一本好书 《 Linux 性能优化实战》
image-20220719202355743

eBPF

为什么会出现

eBPF 的出现本质上是为了解决内核迭代速度慢和系统需求快速变化的矛盾，在 eBPF 领域常用的一个例子是 eBPF 相对于 Linux Kernel 类似于 Javascript 相对于 HTML，突出的是可编程性。一般来说可编程性的支持通常会带来一些新的问题，比如内核模块其实也是为了解决这个问题，但是他没有提供很好的边界，导致内核模块会影响内核本身的稳定性，在不同的内核版本需要做适配等。eBPF 采用以下策略，使得其成为一种安全高效地内核可编程技术：

  • 一般来说，我们编写的应用程序需要通过系统调用接口，来请求内核帮它做一些事情。

  • 而使用 eBPF ，我们就能在不更改内核代码的前提下，实时获取和修改操作系统的行为

  • 安全

eBPF 程序必须被验证器校验通过后才能执行，且不能包含无法到达的指令；eBPF 程序不能随意调用内核函数，只能调用在 API 中定义的辅助函数；eBPF 程序栈空间最多只有 512 字节，想要更大的存储，就必须要借助映射存储。

  • 高效

借助即时编译器（JIT），且因为 eBPF 指令依然运行在内核中，无需向用户态复制数据，大大提高了事件处理的效率。

  • 标准

通过 BPF Helpers，BTF，PERF MAP 提供标准的接口和数据模型供开发者使用。

  • 功能强大

eBPF 不仅扩展了寄存器的数量，引入了全新的 BPF 映射存储，还在 4.x 内核中将原本单一的数据包过滤事件逐步扩展到了内核态函数、用户态函数、跟踪点、性能事件（perf_events）以及安全控制等领域。

可以用在哪

网络优化

eBPF 兼具高性能和高可扩展特性，使得其成为网络方案中网络包处理的优选方案：

  • 高性能

JIT 编译器提供近乎内核本地代码的执行效率。

  • 高可扩展

在内核的上下文里，可以快速地增加协议解析和路由策略。

故障诊断

eBPF 通过 kprobe，tracepoints 跟踪机制兼具内核和用户的跟踪能力，这种端到端的跟踪能力可以快速进行故障诊断，与此同时 eBPF 支持以更加高效的方式透出 profiling 的统计数据，而不需要像传统系统需要将大量的采样数据透出，使得持续地实时 profiling 成为可能。

图片

安全控制

eBPF 可以看到所有系统调用，所有网络数据包和 socket 网络操作，一体化结合进程上下文跟踪，网络操作级别过滤，系统调用过滤，可以更好地提供安全控制。

性能监控

相比于传统的系统监控组件比如 sar，只能提供静态的 counters 和 gauges，eBPF 支持可编程地动态收集和边缘计算聚合自定义的指标和事件，极大地提升了性能监控的效率和想象空间。

工作原理

理解方式1：

一个完整的 eBPF 程序，通常包含用户态和内核态两部分：用户态程序需要通过 BPF 系统调用跟内核进行交互，进而完成 eBPF 程序加载、事件挂载以及映射创建和更新等任务；而在内核态中，eBPF 程序也不能任意调用内核函数，而是需要通过 BPF 辅助函数完成所需的任务。尤其是在访问内存地址的时候，必须要借助 bpf_probe_read 系列函数读取内存数据，以确保内存的安全和高效访问。在 eBPF 程序需要大块存储时，我们还需要根据应用场景，引入特定类型的 BPF 映射，并借助它向用户空间的程序提供运行状态的数据。

理解方式2：

eBPF 程序是事件驱动的，并附加到代码路径上。代码路径包含特定的触发器（称为钩子），这些触发器在传递附加的 eBPF 程序时执行它们。钩子的一些例子包括网络事件、系统调用、函数项和内核追踪点。

当触发时，代码首先被编译为 BPF 字节码。然后，字节码在运行之前会被验证，以确保它不会创建循环。这个步骤可以防止程序无意或故意损害 Linux 内核。

在钩子上触发程序之后，它就会进行助手调用。这些助手调用是为 eBPF 配备许多用于访问内存的特性的函数。助手调用需要由内核预先定义，但是存在的函数列表在不断增长[3]。

eBPF 最初被用作过滤网络数据包时，提高可观察性和安全性的一种方法。然而，随着时间的推移，它成为了一种使用户提供的代码实现更安全、更方便和性能更好的方法。

理解方式3：

eBPF是Linux内核中软件实现的虚拟机。用户把eBPF程序编译为eBPF指令，然后通过bpf()系统调用将eBPF指令加载到内核的特定挂载点，由特定的事件来触发eBPF指令的执行。在挂载eBPF指令时内核会进行充分验证，避免eBPF代码影响内核的安全和稳定性。另外内核也会进行JIT编译，把eBPF指令翻译为本地指令，减少性能开销。

内核在网络处理路径上中预置了很多eBPF的挂载点，例如xdp、qdisc、tcp-bpf、socket等。eBPF程序可以加载到这些挂载点，并调用内核提供的特定API来修改和控制网络报文。eBPF程序可以通过map数据结构来保存和交换数据。

怎么使用

图片

5 个步骤

1、使用 C 语言开发一个 eBPF 程序；

即插桩点触发事件时要调用的 eBPF 沙箱程序，该程序会在内核态运行。

2、借助 LLVM 把 eBPF 程序编译成 BPF 字节码；

eBPF 程序编译成 BPF 字节码，用于后续在 eBPF 虚拟机内验证并运行。

3、通过 bpf 系统调用，把 BPF 字节码提交给内核；

在用户态通过 bpf 系统，将 BPF 字节码加载到内核。

4、内核验证并运行 BPF 字节码，并把相应的状态保存到 BPF 映射中；

内核验证 BPF 字节码安全，并且确保对应事件发生时调用正确的 eBPF 程序，如果有状态需要保存，则写入对应 BPF 映射中，比如监控数据就可以写到 BPF 映射中。

5、用户程序通过 BPF 映射查询 BPF 字节码的运行状态。

用户态通过查询 BPF 映射的内容，获取字节码运行的状态，比如获取抓取到的监控数据。

Hook 点

回顾一下eBPF技术的hook点：

image-20220719202510044

从图中可以看出，eBPF的hook点功能包括以下几部分：

  1. 可以在Storage、Network等与内核交互之间；
  2. 也可以在内核中的功能模块交互之间；
  3. 又可以在内核态与用户态交互之间；
  4. 更可以在用户态进程空间。

eBPF的功能覆盖XDP、TC、Probe、Socket等，每个功能点都能实现内核态的篡改行为，从而使得用户态完全致盲，哪怕是基于内核模块的HIDS，一样无法感知到这些行为。

基于eBPF的功能函数，从业务场景来看，网络、监控、观测类的功能促进了云原生领域的产品发展；跟踪/性能分析、安全类功能，加快了安全防御、审计类产品演进；而安全领域的恶意利用，也会成为黑客关注的方向。本文将与大家探讨一下新的威胁与防御思路。

图片

从数据流所处阶段来看，本文划分为两部分，接下来一起来讨论恶意利用、风险危害与防御思路。

  1. Linux网络层恶意利用
  2. Linux系统运行时恶意利用

eBPF 运行时安全

对eBPF有了初步了解后，我们再来谈谈运行时安全，为什么运行时安全在云原生下拥有这么重要的地位，以致于我们说它是云原生安全的重要部分呢？这其实比较好理解，我们说云原生所依赖的基础是容器化，容器是一种应用层面上的抽象，隔离依赖于namespace+cgroup，相比传统VM模式，其隔离程度是较低的

而这种隔离的不彻底性，从安全的视角来看，有以下几个问题：

  • 各个容器之间共享系统内核，这就造成了单个内核提权漏洞会对所有的容器环境造成影响
  • 弱隔离性导致攻击在不同容器环境中的横向移动变得相对容易
  • 容器自身及扩展应用引入了新的安全风险，如docker api、k8s api暴露的风险
  • 弹性设计导致很多容器生命周期较短，攻击行为还未被及时捕捉，环境就被销毁，进而提高了攻击发现成本
  • 容器权限管理较为混乱，实际环境中特权容器问题普遍存在，这导致主机与容器间隔离很容易被打破

我们常见的一些针对云原生环境的攻击手段，比如docker.sock逃逸、挂载目录逃逸、k8s Server API攻击等，都是利用了云原生环境下的这类问题。

利用eBPF，可以实现：

  • 检测容器中用户操作及可疑的 shell 脚本的执行
  • 检测容器运行时是否打开了新的监听端口或者建立意外连接的异常网络活动
  • 检测容器运行时是否存在文件系统读取和写入的异常行为，例如在运行的容器中安装了新软件包或者更新配置
  • 检测容器运行时是否创建其他进程
  • 检测容器中是否运行了黑客工具，是否存在反弹shell行为
  • 检测容器中是否执行了挂载系统目录操作

图片

BCC 排查工具

  • 内核级网络神奇—eBPF，神奇在哪里？

  • 想排查网络问题，在没有 eBPF 的时候，一般都是借助 tcpdump 了解网络层面。但等到排查网络丢包等类似问题，会发现 tcpdump 根本不够用，只知道网络上传输了哪些包，想再深一步，知道为什么这么传输，就无能为力了。

  • 但是，有了 eBPF ，以及 BCC 这个 eBPF 工具集的助力，这个问题就变得非常容易解决了，处理效率也会大大提升。你可以看看这张图，感受下 BCC 的强大：

图片

Killing 云原生可观测性项目。

Kindling架构设计中有一个很重要的理念：关注点分离（Separation of Concerns）。eBPF技术或者内核模块是一种内核技术，需要的背景知识是C语言和操作系统知识。而可观测开发者关注的是要输出什么样的指标，同时因为平时使用Go、Java这一类语言较多，对C也比较生疏，所以我们的设计是基于两层的分层领域。下层是eBPF的开发能力，主要是为事件透出服务；上层是可观测性需求开发，主要是为数据分析和指标产生服务，同时可以方便扩展可观测场景化需求。

图片

另外一个重要的理念是：不重复造轮子，我们目标是把eBPF的能力以简单的方式透出给用户使用。所以kindling的设计是以falcosecurity-libs为基础的。目前这个开源项目承担的主要职责就是系统调用的事件透出，对于可观测方面的能力需要进一步扩展。但是它有一个优势是它会将原始内核数据和cgroup信息进行关联，方便后续将数据关联到k8s相关的resources, 同时falcosecurity-libs也对原始数据做了预处理，比如将网络数据进行更丰富的关联，让用户能够直接拿到某个对fd操作的网络事件属于哪个四元组的信息，所以我们复用了这部分能力。但falcosecurity-libs本身并不支持kprobe、uprobe等能力，kindling目前已经对其扩展了kprobe能力，后续也会持续不断地扩展uprobe等能力，同时还会集成其他开源工具的数据能力。

一般来说，eBPF探针主要由两部分程序组成：内核态程序用作采集数据以及用户态程序用作分析数据。但基于以上两个理念，我们的架构并不是传统的两部分。我们基于关注点分离理念，为了让cloud-native领域的开发者能够更方便地使用eBPF的能力，把原来falcosecurity-libs的C/C++用户态程序拆分成了一个Go程序和一个C/C++程序，让用户能更关注自己擅长的领域。

图片

传统ebpf程序结构

Kindling探针整体包含三个部分：用户态Go程序、用户态C/C++程序和内核态drivers程序。用户态Go程序满足的是上层可观测需求的开发，其他两个部分实现的是内核需求的开发。这样不同领域的人可以用自己擅长的语言开发自己关注的内容，同时探针也有较好的松耦合特性。Kindling具体组件描述如下：

图片

eBPF 安全项目 Tracee

Tracee 是一个用 于 Linux 的运行时安全和取证工具。它使用 Linux eBPF 技术在运行时跟踪系统和应用程序，并分析收集的事件以检测可疑的行为模式。Tracee 以 Docker 镜像的形式交付，监控操作系统并根据预定义的行为模式集检测可疑行为

Tracee 运行系统最低内核版本要求 >= 4.18，可以根据是否开启 CO-RE 进行 BPF 底层代码编译。运行 Tracee 需要足够的权限才能运行，测试可以直接使用 root 用户运行或者在 Docker 模型下使用 --privileged 模式运行。

Tracee 在最近的版本中增加了一个非常有意思的功能抓取 --capture，可以将读写文件、内存文件、网络数据包等进行抓取并保存，该功能主要是用于取证相关功能。

Tracee 与 Falco 的区别

看到 Tracee 这款基于 eBPF 技术的安全产品，很自然想到的对应产品是 Falco，如果你对 Falco 不了解，那么可以参见这篇文章[7]。Tracee 与 Falco 还是有诸多类似的功能，只是从实现和架构上看， Tracee 更加直接和简单，也没有特别复杂的规则引擎，作者给出的与 Falco 定位不同如下，更加详细的可参见这里[8]：

Falco 是一个规则引擎，基于 sysdig 的开放源代码。它从 sysdig 获取原始事件，并与 yaml 文件中 falco 语言定义的规则相匹配。相比之下，Tracee 从 eBPF 中追踪事件，但不执行基于这些事件的规则。

我们编写 Tracee 时考虑到了以下几点：

  • Tracee 从一开始就被设计成一个基于 eBPF 的轻量级事件追踪器。
  • Tracee 建立在 bcc 的基础上，并没有重写低级别的 BPF 接口。
  • Tracee 被设计成易于扩展，例如，在 tracee 中添加对新的系统调用的支持就像添加两行代码一样简单，在这里你可以描述系统调用的名称和参数类型。
  • 其他事件也被支持，比如内部内核函数。我们现在已经支持 cap_capable，我们正在增加对 security_bprm_check lsm 钩子的支持。由于 lsm 安全钩子是安全的战略要点，我们计划在不久的将来增加更多这样的钩子。

其实，从使用的场景上来说 Tracee 与 Falco 不是非 A 即 B 的功能， Tracee 也可以与 FalcoSideKick 进行集成，作为一个事件输入源使用。

从下面两者架构图的对比，我们也可以略微熟悉一二， Tracee 更加直接和简洁，规则引擎的维护也不是重点，而且规则引擎恰恰是 Falco 的重点。

Falco 的架构图如下：

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-v7clE3Gz-1658233367386)(https://mmbiz.qpic.cn/mmbiz/CrEZgiblEdJWAo8L2dK52INl22AEKmO8Lh8lmMkrFGUoQDP4z9ly68GxF9epicBKQxZUc4E0H8Bpsu371XWsYshQ/640?wx_fmt=other&wxfrom=5&wx_lazy=1&wx_co=1)]

而 Tracee 的架构图如下：

图片

eBPF LSM热修复Linux内核漏洞

Linux Security Modules[2]（LSM）是一个钩子的基于框架，用于在Linux内核中实现安全策略和强制访问控制。直到现在，能够实现实施安全策略目标的方式只有两种选择，配置现有的LSM模块（如AppArmor、SELinux），或编写自定义内核模块。

Linux Kernel 5.7[3]引入了第三种方式：LSM扩展伯克利包过滤器[4]（eBPF）（简称BPF LSM）。LSM BPF允许开发人员编写自定义策略，而无需配置或加载内核模块。LSM BPF程序在加载时被验证，然后在调用路径中，到达LSM钩子时被执行。

提权原理

提权是操作系统的常见攻击面。user获得权限的一种方法是通过unshare syscall[5]将其命名空间映射到root空间，并指定CLONE_NEWUSER标志。这会告诉unshare创建一个具有完全权限的新用户命名空间，并将新用户和Group ID映射到以前的命名空间。即使用unshare(1)[6]程序将root映射到原始命名空间：

$ id
uid=1000(fred) gid=1000(fred) groups=1000(fred) …
$ unshare -rU
# id
uid=0(root) gid=0(root) groups=0(root),65534(nogroup)
# cat /proc/self/uid_map
         0       1000          1

多数情况下，使用unshare是没有风险的，都是以较低的权限运行。但是，已经被用于提权了，比如CVE-2022-0492[7]，那么本文就重点以这个场景为例。

Syscalls clone和clone3也很值得研究，都有CLONE_NEWUSER的功能。但在这篇文章中，我们将重点关注unshare。

Debian用add sysctl to disallow unprivileged CLONE_NEWUSER by default[8]补丁解决了这个问题，但它没有被合并到源码mainline主线中。另一个类似的补丁sysctl: allow CLONE_NEWUSER to be disabled 尝试合并到mainline，但被拒绝了。理由是在某些特定应用中无法切换到该特性[9]。在Controlling access to user namespaces[10]一文中，作者写道：

… 目前的补丁似乎没有一条通往mainline主线的捷径。

如你所示，补丁最终没有包含到vanilla内核[11]中。

详细见 https://mp.weixin.qq.com/s/UJEC8nmfQbdsWdJMfju0ig

了解了LSM BPF是什么，如何使用unshare将user映射到root，以及如何通过在eBPF中实现程序来解决真实场景的问题。跟踪准确的钩子不是一件容易的事，需要有丰富的经验，以及丰富的内核经验。这些策略代码是用C语言编写的，所以我们可以因地制宜，不同的问题做不同的策略，代码轻微调整，就可以快速扩展，增加其他钩子点等。最后，我们对比了这个LSM程序的性能影响，性能与安全的权衡，是你需要考虑的问题。

【云原生进阶之容器】第六章容器网络6.6.2--Cilium部署
junbaozi的专栏
04-20 627
部署Cilium非常简单，可以通过单独的yaml文件部署全部组件（目前我使用了这个方式部署了1.7.1版本），也可以通过Helm Chart一键完成。重要的是部署环境和时机：官方建议所有部署节点都使用Linux最新稳定内核版本，这样所有的功能都能启用。作为一个Kubernetes网络组件，它应该在部署Kubernetes其他基础组件之后，才进行部署。
程序员精进之路：性能调优利器--火焰图
j简说Linux的博客
11-18 2918
SystemTap 是动态追踪工具，它通过探针机制，来采集内核或者应用程序的运行信息，从而可以不用修改内核和应用程序的代码，就获得丰富的信息，帮你分析、定位想要排查的问题。火焰图（Flame Graph）是由 Linux 性能优化大师 Brendan Gregg 发明的，和所有其他的 profiling 方法不同的是，火焰图以一个全局的视野来看待时间分布，它从底部往顶部，列出所有可能导致性能瓶颈的调用栈。使用 SystemTap 统计相关数据往往需要自己依照它的语法，编写脚本，具有一定门槛。
eBPF 基本架构及使用
云原生实验室
08-19 2265
eBPF 介绍Tcpdump 是 Linux 平台常用的网络数据包抓取及分析工具，tcpdump 主要通过 libpcap 实现，而 libpcap 就是基于 eBPF。先介绍 BPF（B...
什么是革命性技术eBPF？为什么可观测性领域都得用它
dweizhao的专栏
12-02 1539
如果有一种技术可以监控和采集任何应用信息，支持任何语言，并且应用完全无感知，零侵入，想想是不是很激动，那么这个技术是什么呢？就是eBPF，它应该是最近一两年非常热门的技术名词，我相信你或多或少都看到过，但可能不知道它能做什么，今天我们来讲讲这个革命性的技术eBPF，以及它在可观测领域的应用eBPF是什么？
什么是eBPF?
最新发布
AndrewYZWang的博客
03-04 797
eBPF（Extended Berkeley Packet Filter）是一种内核技术，允许用户空间程序在不修改内核代码的情况下，通过加载 eBPF 程序来拦截和处理内核事件。这种技术广泛应用于网络过滤、性能分析、安全审计等多种功能。eBPF 作为一种现代操作系统中不可或缺的技术，提供了强大的监控和诊断能力，同时保持了系统的高性能和稳定性。通过其实时数据收集和非侵入式的特性，eBPF 成为了提升系统可观测性的理想选择，推动了操作系统级别的创新和发展。
【linux内核】eBPF基础及应用调研
qq_43840665的博客
09-24 1382
Cilium 是一种面向容器环境的网络插件（CNI），基于eBPF实现了高效的网络连接，网络策略实施和可观测性等特性。作用高效网络代理：基于eBPF实现的零拷贝快速数据包处理和智能路由决策，实现高效的网络流量处理。网络策略实施：允许用户定义和实施精细的网络策略，控制容器之间的网络访问。可以根据容器的标签、命名空间等属性来制定策略，限制特定容器或一组容器的网络访问权限。可观测性：通过运行为每个节点的Hubble 组件和eBPF技术实现集群中流量和其他网络指标的实时观测。
eBPF 介绍
SHELLCODE_8BIT的博客
12-31 2685
eBPF 介绍 Tcpdump 是Linux 平台常用的网络数据包抓取及分析工具，tcpdump 主要通过libpcap 实现，而libpcap 就是基于eBPF。 先介绍BPF（Berkeley Packet Filter），BPF 是基于寄存器虚拟机实现的，支持 JIT(Just-In-Time)，比基于栈实现的性能高很多。它能载入用户态代码并且在内核环境下运行，内核提供 BPF 相关的接口，用户可以将代码编译成字节码，通过 BPF 接口加载到 BPF 虚拟机中，当然用户代码跑在内核环境中是有风险的
一文看懂eBPF｜eBPF实现原理
MayMatrix 的博客
06-15 1764
eBPF，它的全称是“Extended Berkeley Packet Filter”。从名字看，你可能会觉奇怪，似乎它就是一个用来做网络数据包过滤的模块。其实这么想也没有错，eBPF 的概念最早源自于 BSD 操作系统中的 BPF（Berkeley Packet Filter），1992 伯克利实验室的一篇论文 “The BSD Packet Filter: A New Architecture for User-level Packet Capture”。
一文看懂eBPF、eBPF的使用（超详细）
youzhangjing_的博客
04-14 3758
eBPF（extended Berkeley Packet Filter） 可谓 Linux 社区的新宠，很多大公司都开始投身于 eBPF 技术，如 Goole、Facebook、Twitter 等。 eBPF 究竟有什么魅力让大家都关注它呢？ 这是因为 eBPF 增加了内核的可扩展性，让内核变得更加灵活和强大。 如果大家玩过 乐高积木 的话就会深有体会，乐高积木就是通过不断向主体添加积木来组合出更庞大的模型。 而 eBPF 就像乐高积木一样，可以不断向内核添加 ..
Linux之ebpf(1)基础使用
Once_day的回忆
04-22 4049
eBPF (extended Berkeley Packet Filter) 是一种先进的技术，允许在无需更改内核源代码或加载内核模块的情况下，以安全的方式动态地在内核中执行预编译和沙箱化的程序。它最初是为了能够在内核层面高效地过滤网络包而设计的，但现在它的用途已经大大扩展，可以用于各种系统级编程任务。eBPF 是 Berkeley Packet Filter (BPF) 的扩展，BPF 最初是在 1992 年为了提高网络包过滤的效率而引入的。
初识 BPF：从 Hello World 开始的内核编程之旅
m0_65038841的博客
06-24 632
BPF 在 Linux 内核中，被实现为一个非常精简的虚拟机，具有几乎性能无损的执行效率。我们可以用类似 C 语言的语法，编写代码，编译成可以在 BPF 虚拟机中运行的汇编代码，实现其强大的逻辑处理能力。
初识XDP
Cui_pc的博客
06-13 3687
网络钩子（hook） 在计算机网络中，Hook钩子在操作系统中用于在调用前或执行过程中拦截网络数据包。Linux内核中暴露了多个钩子，BPF程序可以连接到这些钩子上，实现数据收集和自定义事件处理。虽然Linux内核中的钩子点很多，但我们将重点关注网络子系统中存在的两个钩子：XDP和TC。它们结合在一起，可以用来处理RX和TX上两个链路上靠近NIC的数据包，从而实现了许多网络应用的开发。今天我们先来讲讲XDP。 XDP全称为eXpress Data Path，是Linux内核网络栈的最底层。它只存在于RX路径
eBPF技术
qq_42944740的博客
03-16 5614
eBPF 全称 extended Berkeley Packet Filter，中文意思是 ​​扩展的伯克利包过滤器​​。一般来说，要向内核添加新功能，需要修改内核源代码或者编写 ​​内核模块​​ 来实现。而 eBPF 允许程序在不修改内核源代码，或添加额外的内核模块情况下运行。从 eBPF 的名字看，好像是专门为过滤网络包而创造的。其实，eBPF 是从 BPF（也称为 cBPF：classic Berkeley Packet Filter）发展而来的，BPF 是专门为过滤网络数据包而创造的。
基于TCP协议的简单socket编写
不怕死的假老练
09-03 431
一、socket概述 所谓套接字(Socket)，就是对网络中不同主机上的应用进程之间进行双向通信的端点的抽象。一个套接字就是网络上进程通信的一端，提供了应用层进程利用网络协议交换数据的机制。从所处的地位来讲，套接字上联应用进程，下联网络协议栈，是应用程序通过网络协议进行通信的接口，是应用程序与网络协议根进行交互的接口。 套接字是通信的基石，是支持TCP/IP协议的路通信的基本操作单元。可以将套接字看作不同主机间的进程进行双间通信的端点，它构成了单个主机内及整个网络间的编程界面。套接字存在于通信域中，通
ebpf原理分析
热门推荐
hjkfcz的博客
03-17 1万+
ebpf原理解析
ebpf
chenpuo的博客
01-01 349
x86 ubuntu 18.04 先装bcc http://kerneltravel.net/blog/2020/ebpf_ljr_no1/ 再装bptracehttps://www.sohu.com/a/415376553_476857 Android https://blog.csdn.net/grackergao/article/details/107054390 android 10上直接 external/adeb ...
eBPF简介
SenberHu的博客
05-17 1841
基础概念 eBPF是kernel 3.15中引入的全新设计，将原先的BPF发展成一个指令集更复杂、应用范围更广的“内核虚拟机”。 eBPF支持在用户态将C语言编写的一小段“内核代码”注入到内核中运行，注入时要先用llvm编译得到使用BPF指令集的elf文件，然后从elf文件中解析出可以注入内核的部分，最后用bpf_load_program方法完成注入。 用户态程序和注入到内核中的程序通过共用一个位于内核中map实现通信。为了防止注入的代码导致内核崩溃，eBPF会对注入的代码进行严格检查，拒绝不合格的代码的注
使用 eBPF 技术实现更快的网络数据包传输
hanfengzxh的博客
03-22 816
通过 eBPF 的引入，我们缩短了同节点通信数据包的 datapath，跳过了内核网络栈直接连接两个对端的 socket。这种设计适用于同 pod 两个应用的通信以及同节点上两个 pod 的通信。[^1]: 该辅助函数将引用的 socket 添加或者更新到 sockethashmap中，程序的输入作为键值对的值。详细信息可参考中的。[^2]: 该辅助函数将msg转发到 socket map 中key对应的 socket。关注"云原生指北"微信公众号（转载本站文章请注明作者和出处。
eBPF 是用来干什么的？
芋艿V
01-01 406
点击上方“芋道源码”，选择“设为星标”管她前浪，还是后浪？能浪的浪，才是好浪！每天 10:33更新文章，每天掉亿点点头发...源码精品专栏原创 | Java 2021超神之路，很肝~中文详细注释的开源项目RPC 框架 Dubbo 源码解析网络应用框架 Netty 源码解析消息中间件 RocketMQ 源码解析数据库中间件 Sharding-JDBC 和 MyCAT 源码解析作业调度中间件 E...
初识EMC元器件（四）——共模电感选型及应用
09-12
初识EMC元器件（四）《共模电感选型及应用》主要介绍了共模电感的选型步骤和应用。共模电感在EMC问题中的作用非常重要。关于选型步骤，文章提到了以下几个方面：首先，要根据设计要求确定所需的电感值和电流额定值；然后，根据电感器的特性曲线和频率范围选择合适的电感器；接下来，考虑电感器的尺寸和引线形式，以确保其在实际应用中的适用性；最后，进行稳态和瞬态分析，确保电感器在工作条件下的性能符合要求。在应用方面，共模电感可以用于滤波、隔离和抑制共模噪声等方面。对于共模电感的具体应用情况，需要根据具体的电路设计和需求进行选择和使用。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值