eBPF：无需修改内核代码的可观测性利器

eBPF（extended Berkeley Packet Filter）是Linux内核中最具革命性的技术之一。它允许你在不修改内核源码、不加载内核模块的情况下，在Linux内核中运行沙箱化的程序——实现网络监控、安全审计、性能分析和系统追踪。

eBPF的工作原理

用户编写的eBPF程序（通常用C或Rust编写）被编译为eBPF字节码，加载到内核后经过验证器检查（确保没有无限循环、没有越界访问、指令数不超过100万条），然后通过JIT编译器转换为原生指令挂载到内核的钩子点（hook points）上。这些钩子点包括：系统调用入口/出口、网络数据包处理路径、内核函数调用、tracepoint等。一旦挂载完成，每次对应的内核事件触发时，你的eBPF程序就会执行。

实际应用场景

网络监控：Cilium使用eBPF替代kube-proxy，在数据包到达iptables之前就完成路由决策，延迟降低90%。
安全审计：Falco通过eBPF监控所有系统调用，在容器试图执行chmod 777 /etc/shadow时实时报警。
性能追踪：Parca通过eBPF采样CPU栈帧，实现零开销的持续性能分析，定位到函数级别的CPU热点。

入门门槛

直接用C写eBPF程序的门槛很高，但bpftrace和libbpf-rs（Rust绑定）已经将门槛降到了可接受的范围。一个简单的”统计所有进程的open()调用次数”的eBPF程序，在bpftrace中只需10行代码。Alexei Starovoitov（eBPF之父）在2026年KubeCon上的观点：eBPF正在成为Linux内核的”JavaScript”——不求替代C，而是让更多人能为内核写扩展。