EBPF入门--环境搭建

EBPF环境搭建

5.0内核

使用BCC开始

1. 什么是ebpf?

ebpf实际上是类Unix系统上数据链路层的一种原始接口，他可以提供原始链路层包的收发和过滤。

ebpf只能读取系统调用的参数和返回值，而不能修改任何寄存器（用户态或者内核态），因此它本身并不具有拦截功能。此目的是为了保证内核本身的

ebpf当前的应用包括：

• 动态追踪：bcc、bpftrace
• 观测监控：Pixie、Hubble、kubectl-trace
• 网络：Cilium、Katran
• 安全：Falco、Tracee

2. ebpf开发环境搭建

在4.x以后的内核版本中，bpf已经成为了内核的一个顶级子程序，提供了强大的能力。
我们查看下当前虚拟机的内核版本：

$ cat /proc/version
Linux version 4.4.0-19041-Microsoft (Microsoft@Microsoft.com) (gcc version 5.4.0 (GCC) ) #1237-Microsoft Sat Sep 11 14:32:00 PST 2021

未防止在实验的过程中出现不兼容的问题，我们先下载22.04.1版本的Ubuntu，

##################################################################

1. 环境搭建

• Ubuntu 20.04 + Linux 5.4.75-050475-generic

$ vagrant init bento/ubuntu-20.04
$ vagrant up
$ vagrant ssh
$ cat /etc/issue
Ubuntu 20.04.1 LTS \n \l

$ lsb_release -a
No LSB modules are available.
Distributor ID: Ubuntu
Description: Ubuntu 20.04.1 LTS
Release: 20.04
Codename: focal

$ uname -rs
Linux 5.4.0-52-generic

$ uname -a
Linux vagrant 5.4.0-52-generic #57-Ubuntu SMP Thu Oct 15 10:57:00 UTC 2020 x86_64 x86_64 x86_64 GNU/Linux

$ sudo dpkg --get-selections |grep linux-image
linux-image-5.4.0-52-generic   install
linux-image-generic    install

内核升级方式

下载对应的 deb 包

$ wget https://kernel.ubuntu.com/~kernel-ppa/mainline/v5.4.75/amd64/linux-headers-5.4.75-050475-generic_5.4.75-050475.202011051231_amd64.deb
$ wget https://kernel.ubuntu.com/~kernel-ppa/mainline/v5.4.75/amd64/linux-image-unsigned-5.4.75-050475-generic_5.4.75-050475.202011051231_amd64.deb
$ wget https://kernel.ubuntu.com/~kernel-ppa/mainline/v5.4.75/amd64/linux-modules-5.4.75-050475-generic_5.4.75-050475.202011051231_amd64.deb

$ ls -hl
total 59M
-rw-r--r-- 1 root root 1.2M Nov  5 12:51 linux-headers-5.4.75-050475-generic_5.4.75-050475.202011051231_amd64.deb
-rw-r--r-- 1 root root 8.5M Nov  5 12:50 linux-image-unsigned-5.4.75-050475-generic_5.4.75-050475.202011051231_amd64.deb
-rw-r--r-- 1 root root  50M Nov  5 12:50 linux-modules-5.4.75-050475-generic_5.4.75-050475.202011051231_amd64.deb

安装新的内核

$ sudo dpkg -i *.deb

升级完成后，重启系统，再次检查内核版本，发现已经为最新的 5.4.75 版本。

# uname -sr
Linux 5.4.75-050475-generic

在操作系统环境准备好以后，我们需要安装 BPF 技术测试的必要系统组件，安装命令如下:

$ sudo apt update
$ sudo apt install build-essential git make libelf-dev clang llvm strace tar bpfcc-tools linux-headers-$(uname -r) gcc-multilib  flex  bison libssl-dev -y

注意：由于5.4.75版本的linux内核不支持bpf-sys-openat2，导致代码编译过程中出错，所以将linux内核升级至5.10.130，升级参照上文