EBPF可以在Linux系統(tǒng)中實現(xiàn)安全，高效和動態(tài)可觀察性，而無需修改內(nèi)核代碼或重新啟動服務。 1）它通過將沙盒程序附加到內(nèi)核事件（例如系統(tǒng)呼叫或功能輸入/退出點）來起作用。 2）這些程序已被驗證以確保安全，通常會以效率進行JIT編譯，并且可以在運行時加載。 3）為了觀察性，EBPF將諸如延遲，錯誤和資源用法等指標收集到可從用戶空間訪問的地圖中。 4）常見用例包括跟蹤文件操作，測量I/O延遲，監(jiān)視網(wǎng)絡連接以及為應用程序生成自定義遙測。 5）諸如BPFTrace，BCC和Pixie之類的工具簡化了具有高級接口的EBPF用法，從而使初學者可以編寫腳本進行實時系統(tǒng)分析。 6）一個簡單的bpftrace單線可以在不更改任何應用程序代碼的情況下記錄每個文件打開的嘗試。 7）要開始，請確保內(nèi)核支持（4.8），安裝bpftrace或bcc，并運行基本的跟蹤腳本。 8）EBPF為FALCO提供的高級工具和網(wǎng)絡的Cilium提供了高級工具，這對于現(xiàn)代云本地環(huán)境至關重要。最終，EBPF以最少的開銷提供了對系統(tǒng)行為的深刻，實時的見解，從而為生產(chǎn)系統(tǒng)提供無與倫比的可見性。

EBPF（擴展的伯克利數(shù)據(jù)包過濾器）徹底改變了我們觀察和分析Linux系統(tǒng)的方式 - 不需要修改內(nèi)核源代碼或加載傳統(tǒng)的內(nèi)核模塊。 EBPF最初設計用于更有效地過濾網(wǎng)絡數(shù)據(jù)包，已演變?yōu)楣δ軓姶螅踩蛣討B(tài)的運行時，使開發(fā)人員和運營商可以在Linux內(nèi)核內(nèi)運行沙盒程序。

EBPF的核心使您可以將自定義邏輯附加到各種內(nèi)核事件（例如功能輸入/退出，系統(tǒng)呼叫，計時器或網(wǎng)絡事件），并實時收集數(shù)據(jù)或采取行動。這使其成為可觀察性，性能分析，安全監(jiān)控和網(wǎng)絡增強功能的理想工具 - 所有這些都以最小的開銷。

EBPF如何可觀察到

EBPF不再依靠靜態(tài)儀器或昂貴的用戶空間進行輪詢，而是使您能夠在發(fā)生特定事件時編寫直接在內(nèi)核中運行的小程序。這些程序是：

• 安全：由內(nèi)核的EBPF驗證器驗證，以確保它們不會崩潰或破壞系統(tǒng)的穩(wěn)定。
• 高效：匯編為字節(jié)碼，經(jīng)常將JIT編譯為本機說明，從而最大程度地減少了性能影響。
• 動態(tài)：可以在運行時加載和卸載，而無需重新啟動系統(tǒng)。

當用于可觀察性時，EBPF程序通常是：

• 附加到跟蹤點，kprobes或Uprobes，以監(jiān)視內(nèi)核或用戶空間功能調(diào)用。
• 將指標（例如，延遲，呼叫頻率，錯誤）收集到地圖（鍵值存儲可從用戶空間訪問）。
• 將數(shù)據(jù)推向用戶空間工具，以進行可視化或警報。

例如，您可以使用EBPF來：

• 每次跟蹤一個進程打開文件并記錄哪個過程完成。
• 測量磁盤I/O操作的延遲。
• 監(jiān)視TCP連接狀態(tài)并檢測慢速或失敗的握手。

系統(tǒng)可觀察性中的常見用例

EBPF為許多現(xiàn)代可觀察性工具（例如BCC ， BPFTRACE和PIXIE ）提供動力，并且是Falco （Security）和Cilium （網(wǎng)絡）等系統(tǒng)背后的基礎。這里有一些實際應用：

• 延遲分析：測量系統(tǒng)調(diào)用需要多長時間，通過將其連接到其進入點和出口點。
• 錯誤跟蹤：計數(shù)或日志失敗操作（例如， open()返回ENOENT ）。
• 資源用法：以高精度監(jiān)視人均或人均CPU，內(nèi)存或網(wǎng)絡使用情況。
• 自定義指標：創(chuàng)建特定于應用程序的遙測而不更改代碼 - 遺產(chǎn)或第三方軟件的理想。

例如，使用bpftrace ，您可以編寫一個單線線以計數(shù)文件按進程名稱打開：

 bpftrace -e'跟蹤點：syscalls：sys_enter_openat {printf（“％s打開文件\ n”，comm）; }'

這將附加到openat系統(tǒng)調(diào)用上，并在每次打開文件時打印進程名稱 - 無需更改應用程序。

開始使用EBPF工具

您無需編寫原始EBPF代碼即可從中受益。高級工具使其可訪問：

• BPFTRACE ：一種腳本語言，用于編寫基于EBPF的快速跟蹤單線。
• BCC（BPF編譯器集合） ：為更復雜的程序提供Python和C接口。
• Pixie ：一個使用EBPF在Kubernetes環(huán)境中自動可觀察性的開源平臺。
• LIBBPF Co-Re（編譯一次，到處運行） ：用于構(gòu)建跨內(nèi)核版本的生產(chǎn)級EBPF應用程序。

開始實驗：

1. 確保您的Linux內(nèi)核支持EBPF（大多數(shù)現(xiàn)代發(fā)行版，通常為4.8）。
2. 通過您的軟件包管理器安裝bpftrace或BCC 。
3. 運行簡單的跟蹤腳本以探索系統(tǒng)行為。

底線

EBPF通過啟用低開銷和高安全性的深度實時見解來改變Linux的可觀察性。它消除了可見性和性能之間的權(quán)衡，讓您提出有關系統(tǒng)行為的任意問題 - 在生產(chǎn)工作量中，而無需重新啟動任何內(nèi)容。

您無需成為內(nèi)核開發(fā)人員即可使用它。借助bpftrace和Pixie等工具，即使是初學者也可以快速獲得強大的見解。隨著系統(tǒng)的增長越來越復雜，尤其是在云原生環(huán)境中，EBPF成為理解引擎蓋下實際發(fā)生的事情至關重要的。

基本上，如果您要調(diào)試性能問題，監(jiān)視安全事件或只是對系統(tǒng)行為感到好奇，那么EBPF是Linux最接近的超級大國。

以上是Linux可觀察性EBPF簡介的詳細內(nèi)容。更多信息請關注PHP中文網(wǎng)其他相關文章！