【eBPF 内核实现深度拆解】从验证器到 JIT，从 BTF 到调度器
eBPF 内核虚拟机内部实现系统讲解：BPF 指令集与寄存器机器、验证器的抽象解释与状态裁剪、JIT 编译器后端、Map 各类型的并发与内存模型、helper 函数注册与类型检查、BTF 格式规范与 CO-RE 重定位引擎、libbpf 加载器工程、fentry/fexit 蹦床机制、sched_ext 调度器内核接口。面向想读懂 eBPF 内核源码、写生产级 BPF 程序的系统工程师。
ebpf 标签归档
共 78 篇文章 · 返回首页
【eBPF 系列】eBPF 安全监控：不改内核也能审计 syscall
Seccomp 只能说 yes or no，但攻击者早就学会了在 yes 里面做文章。是时候让 eBPF 接管安全审计了。
【可观测性工程】网络可观测性：Cilium Hubble、Pixie、DeepFlow、Tetragon
从 L3/L4/L7 三层观测视角出发，讲 eBPF socket filter / tc / XDP 数据采集与 Cilium Hubble 流日志、Tetragon 安全可观测、Pixie 协议自动解析、DeepFlow 架构；展开 bpftrace + kfree_skb_reason 的内核丢包定位、TLS 解密、HTTP/2 解析与服务拓扑自动发现。
Tetragon / eBPF 运行时安全：从进程血缘到 TracingPolicy
补齐站内 Cilium 数据面与可观测对照之上的运行时安全内核层：进程模型、Sensor/Hook、TracingPolicy 与内核过滤、强制执行、事件导出与节流，并以排障与相对 Falco/CNP 的选型收束。
【可观测性工程】eBPF 可观测性全景：bcc、bpftrace、libbpf 的工程路径
eBPF 如何实现零侵入、内核级、低开销的可观测性：从 kprobe/uprobe/tracepoint/fentry 钩子机制，到 bcc 工具集、bpftrace 脚本语言、libbpf+CO-RE 可移植编程，再到 Pixie、DeepFlow、Grafana Beyla 等商业化工具，结合内核版本兼容性与生产部署实战。
【可观测性工程】内核追踪：ftrace、kprobe、uprobe、tracepoint 生产实战
当用户态观测工具无法定位问题时，深入 Linux 内核追踪层。拆解 ftrace、tracepoint、kprobe、uprobe、bpftrace 的适用场景、WSL/生产复现步骤、安全边界，以及与 eBPF 全景和 linux-net 系列的阅读边界。
【可观测性工程】真实事故复盘剧本：从指标抖动到根因的全链路追查
虚构但可复现的 checkout 服务事故全链路：SLO Burn Rate 告警后按 Golden Minute→Metrics→Traces→Logs→Profile→Events 五阶递进排障，含 PromQL/LogQL/kubectl 命令与三条分级剧本，交叉引用系列 01–22。
【操作系统百科】OS 的下一个十年
综合 Windows/RTOS/Unikernel/Rust/机密计算/CXL 等前沿篇章，从 Rust 内核、机密计算、可拆分内存、io_uring 统一 I/O、eBPF 可编程内核五条趋势出发，按现在/三年/十年框架说明应用开发者应调整的假设与可执行建议。
【Cilium / eBPF】选型收束：排除树、开放问题与系列边界关闭
用机制排除树收束 Cilium eBPF 相对 Calico、kube-proxy、Envoy sidecar、Ambient 的选型；回收 Envoy/HAProxy 终章的 eBPF 叶；列出系列级开放问题；以 ADR 友好语言关闭数据面续作边界。
Cilium / eBPF 数据面内核：从 Identity 到包路径
补齐站内 Cilium 产品单篇与 eBPF 内核实现之上的数据面内核层：Endpoint/Identity、BPF 挂载与 Map、东西向包路径、kube-proxy 替代、策略编译、Hubble、加密与 Mesh/ClusterMesh 边界，并以排障与选型收束。
【Envoy 数据面】选型收束：机制排除树与系列开放问题
用机制排除树收束 Envoy 相对 Nginx/HAProxy、sidecar / 节点级 Envoy / eBPF 的选型；回顾阅读路径，并列出 xDS 规模、sidecar 税、Wasm 与 HTTP/3 等系列级开放问题。
【Istio 控制面】选型收束与开放问题：CRD、Gateway API 与 eBPF L4 的排除树
用机制排除树收束 Istio CRD 翻译、Gateway API/GAMMA 与 eBPF L4 的选型边界，回收系列阅读路径，并列出推送 SLO、Ambient 成熟度、GAMMA 双轨等开放问题；不做延迟排行榜。
可观测性工程
从 Metrics、Logs、Traces 到 Profiling、eBPF、OpenTelemetry 与 SLO 治理，面向中国工程团队的可观测性系统化手册。全 25 篇。
【Tetragon / eBPF】运行时安全全景：缺口、五轴坐标系与 16 篇路线
相对 Cilium 数据面、可观测对照与 Falco 口号，钉清 Tetragon v1.7.0 运行时安全内核缺口；定义进程血缘、Sensor/Hook、策略加载、过滤分层、强制执行五条坐标系，给出 16 篇阅读路线。
【Tetragon / eBPF】进程模型：exec_id、血缘、in_init_tree 与 procfs 回填
钉清 Tetragon v1.7.0 的进程身份：process_exec/exit 字段、exec_id 如何由 node:ktime:pid 生成、execve_map 与用户态 cache 的分工、in_init_tree 如何区分 kubectl exec 注入，以及 fork 时父不在 map 则子不入图的失败路径。
【Tetragon / eBPF】Sensor 与 Hook：进程传感器、kprobe、tracepoint、uprobe、LSM 与 fentry
钉清 Tetragon v1.7.0 内置 __base__ 进程传感器与 TracingPolicy 动态 hook 的分工：kprobe/kretprobe、tracepoint/rawtp、uprobe/USDT、LSM 与 fentry 各自能观察什么、依赖哪些内核能力，以及选错 hook 类型时的失败表象。
【Tetragon / eBPF】事件导出路径：JSON、gRPC、tetra 与过滤边界
钉清 Tetragon v1.7.0 事件离开 agent 之后的分流：文件 JSON、gRPC 与把 JSON 再喂给 tetra 不是同一集合；官方 Caution 写明 allow/deny 只作用于 file sink；field filter 与 redaction 各在哪一层生效。
【Tetragon / eBPF】Agent 生命周期：BTF、安装形态与三条策略加载路径
钉清 Tetragon v1.7.0 agent 从 BTF/CO-RE 发现到 sensor 挂载的失败表象；对照 DaemonSet 与主机安装；说明默认 gRPC Unix socket 与 kubectl/gRPC/静态文件三条路径如何进入同一 collection map。
【Tetragon / eBPF】TracingPolicy：CRD、三条加载路径与 collectionKey
钉清 TracingPolicy 与 TracingPolicyNamespaced 的差异；给出 v1.7.0 CRD 字段总表（含 fentries）；说明 kubectl、gRPC、静态文件如何共用 collectionKey；并写明 Enable/Disable gRPC 在默认配置下返回错误。
【Tetragon / eBPF】选择器与内核过滤：AND、first-match 与动作挂载点
钉清 TracingPolicy 选择器在 v1.7.0 的匹配语义（selector 内 AND、每 hook 最多 5 个、first-match OR）；覆盖 matchArgs/matchBinaries/matchParentBinaries 与 Post/NoPost/Override/Sigkill/Signal；区分内核动作与用户态 GetUrl/DnsLookup。
【Tetragon / eBPF】K8s 身份感知策略：Namespaced、选择器与 hostSelector
钉清 TracingPolicyNamespaced、podSelector、containerSelector 与 v1.7.0 hostSelector（null 与 {}）；改编官方组合表；说明无 OCI hook 时 API server best-effort，以及 policyfilter 关闭时的加载失败语义。
【Tetragon / eBPF】文件、网络与能力观测面：路径解析、socket 与 cred 的失败模式
把 Tetragon v1.7.0 的文件、网络、能力观测收成三类 hook 模式：d_path 与参数类型如何解析路径、sock/sockaddr 看见什么、cred/capset 记录什么；并钉死路径截断、单挂载点、硬链接与 6.2+ truncate 符号消失等失败表象。
【Tetragon / eBPF】强制执行：Override 与 SIGKILL 各自保证什么
按 Tetragon v1.7.0 官方 Enforcement 文档钉死：Override 使函数不执行并返回 argError；SIGKILL 终止进程但不保证当前 syscall 无副作用；monitor 与 enforce 如何把动作抹掉；以及 Bishop–Dilger–Garfinkel 的 TOCTOU 谱系落到 bpf_enforcer.c 的边界。
【Tetragon / eBPF】节流与观测税：cgroup-rate、Post.rateLimit 与环缓冲压力
按 Tetragon v1.7.0 tag 文档 cgroup-rate.md 钉死：节流只覆盖 PROCESS_EXEC/PROCESS_EXIT、按 per-CPU 计数、THROTTLE_START/STOP 语义；Post.rateLimit 要求内核 ≥5.3 且按同线程加参数前 40 字节去重；环缓冲丢失是失败模式而不是策略未匹配。
【Tetragon / eBPF】运维与导出工程：metrics 更名、JSON 轮转与 SIEM 接线边界
钉死 Tetragon v1.7.0 Upgrade notes：kprobe merge 指标合并为 tetragon_generic_kprobe_merge_total；JSON 轮转只服务文件 sink；默认 gRPC 改为 unix:///var/run/tetragon/tetragon.sock 会打断第三方客户端。不写 Splunk/ELK 菜谱。
【Tetragon / eBPF】排障坐标系：无事件、策略不生效、导出缺口、误阻断与血缘空洞
按五轴映射 Tetragon v1.7.0 故障：无事件落在 Hook/BTF/加载，策略不生效落在 collectionKey 撞名与 policyfilter，JSON allow/deny 不等于 gRPC，Override 依赖 CONFIG_BPF_KPROBE_OVERRIDE，血缘空洞来自 execve_map 未命中与 procFS 回填。
【Cilium / eBPF】数据面全景：五轴坐标系与 16 篇路线
相对 k8s-network/13、ebpf/ 与 Envoy/HAProxy 排除树，钉清 Cilium eBPF 数据面内核缺口；定义 Identity、BPF 挂载、Map 状态、包路径、策略与观测五条坐标系，给出 16 篇阅读路线。
【Cilium / eBPF】Endpoint 与 Identity：数字身份、标签选择与生命周期
钉清 Cilium Endpoint 与 Numeric Identity 的关系：安全相关标签如何导出集群范围数字身份、保留身份与 well-known 身份、标签变更时的短暂 deny/allow 窗口，以及相对 IP 策略消除了什么。
【Cilium / eBPF】BPF 挂载与程序生命周期：TC、XDP、cgroup 在路径上的角色
说明 Cilium v1.20 如何在 XDP、TC、cgroup socket 等 hook 上分工；对照 bpf_xdp/host/lxc/sock 源码入口与 Intro 中的数据面对象；交代加载/替换边界，不重写 verifier 算法。
【Cilium / eBPF】关键 BPF Map：policy、service、CT 的职责与失败表象
按 Cilium v1.20 Maps 文档钉清 policy、Service LB、CT、NAT、ipcache 等 map 的职责、默认容量与满表后果；说明 v3 policy map 语义变更，内核 map 实现外链 ebpf/ 系列。
【Cilium / eBPF】东西向包路径：Pod→Pod 停顿点与 netfilter 旁路
沿 Cilium v1.20 Life of a Packet 钉清同节点与跨节点东西向停顿点：Endpoint Policy、Service、socket 加速、加密与 L7 重定向；说明与 netfilter/kube-proxy 旁路关系，并为 kube-proxy 替代篇铺路。
【Cilium / eBPF】kube-proxy 替代：ClusterIP/NodePort 的 BPF 路径与失败模式
钉死 Cilium v1.20 kube-proxy replacement 下 ClusterIP、NodePort 与外部流量如何经 socket-LB / TC / XDP 与 service map；对照 iptables/IPVS，并列出 SNAT、DSR、Maglev 与共存迁移的失败表象——不写 Helm 百科。
【Cilium / eBPF】策略编译：NetworkPolicy 到 BPF 与默认拒绝窗口
拆解 Cilium v1.20 如何把 Kubernetes NetworkPolicy / CiliumNetworkPolicy 经 selector→identity 蒸馏进 endpoint policy map；钉死按方向的 default-deny 切换、Deny 优先与 identity 漂移造成的短暂拒绝/放行窗口。
【Cilium / eBPF】Hubble 信号：flow 字段语义与「指标全绿仍丢包」
界定 Hubble flow 关键字段对应数据面哪一层判定；区分 flow 流式观测与 Hubble/Cilium metrics 聚合口径，并列出指标全绿仍丢包的典型错位——不写 UI 点击教程。
【Cilium / eBPF】透明加密：WireGuard / IPsec 的路径税与失败模式
聚焦 Cilium v1.20 透明加密如何挂接节点密钥与数据面路径：WireGuard 与 IPsec 的覆盖范围、strict mode、发现窗口明文泄漏，以及路径税与失败表象；密码学细节外链 wireguard 系列。
【Cilium / eBPF】L7 与 Mesh 边界：节点 Envoy、sidecar 与 Ambient
划清 Cilium v1.20 可选 L7 路径：BPF 何时重定向节点 Envoy、与 sidecar / Istio Ambient 的职责边界及失败面；不重写 Ambient 数据面，不把 Cilium 写成全能网格。
【Cilium / eBPF】可观测与运维口径：cilium status、metrics 语义与 bpftool 边界
按观测层拆解 cilium status / cilium-dbg、Agent 与 Hubble Prometheus 指标语义、bpftool 与 cilium-dbg bpf 的职责边界；不粘贴伪造 scrape 或 Hubble 截图，只写口径与误读模式。
【Cilium / eBPF】排障坐标系：丢包、policy deny、identity 漂移、Service 黑洞与加密失败
按五轴映射 Cilium 东西向故障：通用丢包、Policy denied、identity 漂移窗口、Service/ClusterIP 黑洞、透明加密失败；每轴绑定 status/Hubble/map 层，一次否证一轴。
【Cilium / eBPF】对照替代路径：Calico、kube-proxy、Envoy sidecar 与 Ambient
从机制排除而非跑分出发，对照 Cilium eBPF 数据面与 Calico、kube-proxy iptables/IPVS、Envoy sidecar、Istio Ambient；链接 k8s-network/12–13、envoy/16、haproxy/14，不做延迟排行榜。
【HAProxy 数据面】选型收束：机制排除树与系列开放问题
用机制排除树收束 HAProxy 相对 Nginx、Envoy、eBPF 的选型；回收本系列阅读路径，并列出 stick-table 规模、QUIC/H3 成熟度、reload 与 Runtime 混用可观测等开放问题。
Linux 内核与 eBPF 工程索引
汇总本站 Linux 内核工程相关文章：eBPF / Cilium、io_uring、零拷贝权衡、无锁与内存屏障，以及分配器与调度实践。
持续性能分析（Continuous Profiling）：Parca、Pyroscope、Grafana Beyla
Continuous Profiling 为什么比 one-shot profiling 更能定位线上变慢：Parca、Pyroscope、Beyla 与生产案例。
【eBPF 内核实现深度拆解】验证器核心算法：抽象解释、状态跟踪与路径裁剪
基于 Linux 6.8 头文件与实测 verifier 日志，拆解 bpf_reg_state / bpf_func_state / bpf_verifier_state 的分层抽象域、DFS 分支计数与 is_state_visited 裁剪、precision 回溯——衔接 02 框架与 04 拒绝模式。
【零信任安全架构】微分段深度拆解：从 VLAN 到 eBPF 的访问控制演化
微分段是零信任在网络层的核心机制——从传统 VLAN 的广播域隔离，到 Kubernetes NetworkPolicy 的 IP 级别过滤，再到 Cilium 基于身份的 eBPF 执行和 Istio 的 L7 策略。本文拆解四层微分段技术的实现原理、性能差异和适用场景，以及从'全通'到'全白名单'的策略制定流程。
【eBPF 内核实现深度拆解】BPF 指令集解码：寄存器机器、调用约定与指令编码
从 eBPF 虚拟机的 11 个 64-bit 寄存器和 struct bpf_insn 出发，逐条拆解 ALU64/ALU32、跳转、加载存储、call 四类指令的字段语义与编码格式，建立后续 verifier 和 JIT 讨论的精确基础。
【eBPF 内核实现深度拆解】验证器框架：从 BPF_PROG_LOAD 到 do_check()
跟踪 BPF_PROG_LOAD 系统调用的内核执行路径，逐层拆解 bpf_prog_load()→bpf_check()→do_check_main() 的调用链，建立 verifier 执行全景——这是理解 verifier 安全保证的入口。
【eBPF 内核实现深度拆解】与验证器共舞：常见拒绝模式与编程约束
把 02-03 的理论落地为可操作的编程指南——unbounded memory access、variable-length read、pointer arithmetic on scalar、循环上界推断失败、helper 参数类型不匹配等 18 种常见 verifier 错误的根因分析、最小复现与正确写法。
【eBPF 内核实现深度拆解】JIT 编译器后端：x86-64 与 ARM64 的 BPF→Native 翻译管线
从 bpf_jit_compile() 入口出发，拆解 BPF 字节码到 x86-64/ARM64 本地指令的翻译过程——寄存器映射策略、ALU 指令的 one-to-one/many-to-one 翻译、尾调用与 call 的本地实现、JIT 镜像的 kallsyms 集成，以及 JIT 与 interpreter 的性能边界。
【eBPF 内核实现深度拆解】Map 内核实现（上）：hash / array / per-CPU 的数据结构与并发模型
从 bpf_map_ops 虚函数表出发，逐层拆解 BPF_MAP_TYPE_HASH、BPF_MAP_TYPE_ARRAY、per-CPU 变体的内核实现——htab 的 bucket 链表与 prealloc、bpf_array 的零拷贝共享、per-CPU 分配器的无锁语义。
【eBPF 内核实现深度拆解】Map 内核实现（下）：ringbuf / perfbuf / bloom / queue-stack / LPM
拆解性能关键的 ring buffer（mmap 双缓冲与 record 提交语义）、perf event array（perf_event_output 路径）、bloom filter（N_HASH 位图）、queue/stack（链式辅助结构）、LPM trie（前缀树），以及 devmap/cpumap 等重定向 map。
【eBPF 内核实现深度拆解】Helper 函数子系统：注册、类型检查与参数传递
从 bpf_func_proto 结构体出发，讲解 helper 函数的注册机制（BPF_CALL_n 宏链）、参数类型编码（ARG_PTR_TO_MAP_KEY 等枚举）、返回值策略，以及 verifier 在 check_helper_call() 中对每个参数的类型与边界检查。
【eBPF 内核实现深度拆解】程序生命周期：load、attach、detach、pin 与引用计数
完整跟踪一个 BPF 程序从加载到销毁的全生命周期——aux->refcnt 引用计数模型、BPF_PROG_LOAD 验证与 JIT 之后发生了什么、各种 attach 类型的差异、bpffs 持久化与 FD 泄露的坑。
【eBPF 内核实现深度拆解】libbpf 加载器工程：skeleton、auto-attach、map pinning 与 ring buffer 消费者
深入 libbpf 的加载生命周期：bpf_object__open() 的 ELF 解析、bpf_object__load() 的程序批量加载与 map 创建、map pinning 与跨进程复用、skeleton 自动生成器、SEC() 注解解析、auto-attach 的链路跟踪、ring_buffer__new() 的 mmap 消费者模式。
【eBPF 内核实现深度拆解】BTF 格式规范与内核类型系统
从 BTF 的二进制编码格式（btf_header + type entries + string table）出发，讲清 BTF 如何编码基本类型、结构体、联合体、函数原型与 typedef——BTF.ext 节的 func_info/line_info 记录，以及内核 pahole 的 BTF 生成与去重算法 btf_dedup。
【eBPF 内核实现深度拆解】CO-RE 重定位引擎：libbpf 的运行时指令修补
从 clang 内置函数 __builtin_preserve_access_index 出发，追踪 BPF_CORE_READ 等宏如何生成 BTF.ext CO-RE 重定位记录，再到 libbpf 加载时 bpf_core_apply_relo() 根据目标内核 BTF 计算正确字段偏移量并修补 BPF 指令——可移植 BPF 的核心引擎。
【eBPF 内核实现深度拆解】BPF 编译工具链：clang 后端、目标文件布局与调试信息
从 clang -target bpf 的 LLVM BPF 后端出发，讲清 BPF 目标文件 .o 的 ELF section 布局约定、DWARF 到 BTF 的转换管线、bpftool gen 的工具链集成，以及 BPF 特有的 inline asm 语法。
【eBPF 内核实现深度拆解】BPF 程序调试与测试：verifier log、bpftool、test runner 与内核自测
从 verifier log 的级别控制（log_level 1/2/自选寄存器）出发，覆盖 bpftool prog dump xlated/jited 的反汇编、bpftool map dump 运行时检查、bpftool btf 类型查阅、BPF selftests 结构与编写，以及生产环境下的 BPF 排障方法论。
【eBPF 内核实现深度拆解】蹦床（Trampoline）与 fentry / fexit：零开销内核追踪
fentry/fexit 通过 BPF 蹦床机制在目标函数的 nop 位置直接替换为 call 指令进入 BPF，避免了 kprobe 的 int3 中断开销。本文拆解 bpf_trampoline 内核实现、arch_prepare_bpf_trampoline 的架构相关栈帧构造、struct_ops 与蹦床的协作——以及蹦床在什么条件下开销并不为零。
【eBPF 内核实现深度拆解】BPF 并发模型：spinlock、RCU 与 per-CPU 模式
BPF 程序在内核上下文中并发执行——同一程序可能在多个 CPU 同时运行。本文讲清 BPF 环境下的内存模型（BPF_ATOMIC 指令的语义）、bpf_spin_lock 的实现限制、RCU 保护的 map 读取、per-CPU map 的免锁读写，以及中断上下文与进程上下文的执行语义差异。
【eBPF 内核实现深度拆解】eBPF 安全模型：capabilities、非特权 BPF 与 Spectre 缓解
BPF 程序在内核态执行——安全不只是 verifier 的事。本文讲清 CAP_BPF 与 CAP_SYS_ADMIN 的权限梯度、unprivileged BPF 的历史沿革与现状、Spectre v2 的 bpf_jit_harden 缓解（常数盲化与 retpoline）、Spectre v4 的 speculation_barrier、以及 BPF_LSM 的安全策略可编程性。
【eBPF 内核实现深度拆解】sched_ext 深度：用 BPF 写内核调度器
从 struct sched_ext_ops 的 10+ 回调语义出发，拆解 select_cpu/enqueue/dispatch/tick 等核心回调、scx_bpf_dispatch/scx_bpf_kick_cpu 等 kfunc 的内核实现、ext 调度类与 CFS/EEVDF 的共存策略（SCX_OPS_SWITCH_PARTIAL），以及 scx_layered 和 scx_rustland 的用户态调度器参考实现。
【eBPF 内核实现深度拆解】非 Linux eBPF：Windows eBPF 平台、ubpf 与 rbpf 用户态运行时
eBPF 不只是 Linux 的技术——Windows eBPF (ebpf-for-windows) 如何把 BPF 字节码挂载到 Windows 内核的 NetBufferList 和 System Call、ubpf 的用户态 VM 实现（JIT 与解释器双模）、rbpf 的 Rust 生态、以及 IETF BPF ISA 标准化草案的进展。
【eBPF 内核实现深度拆解】实战：构建微型 eBPF 可观测 Agent
把 01--17 的知识串成一条实践线——从 libbpf skeleton 写第一个 BPF 程序、加载到内核、用 ring buffer 回传事件、用 CO-RE 实现跨内核版本兼容、map pinning 实现热升级、配上半自动化的 verifier 错误排障流程——构建一个麻雀虽小五脏俱全的 eBPF 可观测 Agent。
【eBPF 内核实现深度拆解】eBPF 生态与未来：内核演进路线、标准化与社区动态
回顾 eBPF 从 Linux 3.18 到 6.x 十年演进的关键节点，梳理 BPF 维护者的开发节奏与合并策略、eBPF Foundation 的标准化工作、kfunc 与 dynptr 的能力扩展方向、以及 eBPF 与内核模块、DPDK、Wasm 的技术竞争格局。
【可观测性工程】持续性能分析（Profiling）：pprof、Pyroscope、Parca、async-profiler、JFR
从 CPU/heap/goroutine/lock/off-CPU 等 Profiling 种类出发，比较采样与插桩两类 profiler 的工作原理，深入 Go pprof、Java async-profiler/JFR、Python py-spy、Pyroscope、Parca eBPF Profiling，以及 OpenTelemetry Profiles 的最新进展，给出国内字节美团的真实落地经验与工程坑点。
Linux 网络子系统深度拆解
从 sk_buff 到 XDP，从收包路径到 TC 框架——系统拆解 Linux 内核网络子系统的每一个核心模块。基于 Linux 6.6 LTS 源码，配合 bpftrace/perf 实测追踪。
【操作系统百科】eBPF 核心
BPF 为什么能成为 Linux 的第二用户态？verifier、JIT、map 家族、BTF、CO-RE、BPF_LSM、sched_ext——本文讲 eBPF 的内核侧机制。
【网络工程】eBPF 可编程网络：从包过滤到流量工程
eBPF 正在重新定义网络工程——从传统的 iptables/netfilter 规则堆砌，到可编程、可观测、高性能的网络数据平面。本文系统讲解 eBPF 网络程序类型（XDP/TC/Socket）、Map 数据结构、Cilium 的 eBPF 数据平面实现，以及 eBPF 在负载均衡、可观测性和网络安全中的工程实践。
【网络工程】XDP 与 AF_XDP：eBPF 驱动的早期包处理
XDP 在内核网络栈最早期处理数据包，兼顾 DPDK 级性能与内核生态兼容性。本文从 XDP 的三种执行模式、程序编写实战、AF_XDP 的零拷贝路径到 Facebook Katran L4 负载均衡器的 XDP 实现，系统讲解 eBPF 驱动的高性能包处理。
【网络工程】BPF 网络诊断：bpftrace 与 bcc 工具实战
系统讲解 eBPF 在网络诊断中的工程应用：bcc 工具集（tcplife/tcpretrans/tcpdrop）的使用场景、bpftrace 自定义网络探针编写、XDP 丢包分析、内核协议栈延迟追踪，建立基于 eBPF 的系统化网络诊断方法。
【从零造容器】容器网络性能真相：veth vs macvlan vs eBPF 数据面
容器网络为什么比裸机慢？veth + bridge 每个包经过两次 netfilter，macvlan 跳过了 bridge，Cilium 用 eBPF 替掉了 iptables。到底慢多少？我们用 iperf3、wrk 和自定义 echo server 实测。
【eBPF 系列】eBPF：Linux 内核的隐藏武器
eBPF 让你在内核里插代码而不用写内核模块。听起来很美，但验证器的限制、Map 的性能陷阱、BTF 的兼容性噩梦，这些他们不会在教程里告诉你。
【eBPF 系列】eBPF 追踪实战：用 bpftrace 在生产环境找到那个慢请求
你的 P99 延迟突然飙到 500ms，但平均值只有 3ms。日志里什么都没有，Prometheus 图表一片祥和。bpftrace 一行命令，30 秒定位问题。这篇文章告诉你怎么做到的。
【eBPF 系列】eBPF + 容器：Cilium 的数据面为什么不再需要 iptables
5000 个 Service、十万条 iptables 规则、一次更新锁五秒——这就是 kube-proxy 的现实。Cilium 用 eBPF Map 的 O(1) 查找干掉了整条 KUBE-SERVICES 链，顺便把 sidecar 也一起埋了。
【eBPF 系列】eBPF + io_uring：Linux 高性能网络栈的终极形态
eBPF 在内核里做决策，io_uring 在内核里做 I/O。当这两个东西连起来，你的数据包从网卡到应用可以完全不经过传统协议栈。
【eBPF 系列】eBPF 性能分析工具链：perf → BCC → bpftrace → Parca 的演化
你有火焰图，但它只能告诉你 CPU 在忙什么——CPU 不忙的时候呢？从 perf 到 Parca，Linux 性能分析工具链走过了 15 年，是时候搞清楚每个工具的真正定位了。
【eBPF 系列】XDP：在网卡驱动层就把包丢掉
当 DDoS 洪水来袭，iptables 在协议栈里挣扎，而 XDP 在网卡驱动层就把垃圾包丢了。不进协议栈、不分配 skb、不走 netfilter——这才是丢包该有的样子。
eBPF 系列文章索引
从 eBPF 基础到 XDP 防火墙、安全监控、容器网络、性能分析——eBPF 在现代 Linux 的完整应用图谱。