【eBPF 内核实现深度拆解】从验证器到 JIT，从 BTF 到调度器
eBPF 内核虚拟机内部实现系统讲解：BPF 指令集与寄存器机器、验证器的抽象解释与状态裁剪、JIT 编译器后端、Map 各类型的并发与内存模型、helper 函数注册与类型检查、BTF 格式规范与 CO-RE 重定位引擎、libbpf 加载器工程、fentry/fexit 蹦床机制、sched_ext 调度器内核接口。面向想读懂 eBPF 内核源码、写生产级 BPF 程序的系统工程师。
fentry 标签归档
共 5 篇文章 · 返回首页
【Tetragon / eBPF】Sensor 与 Hook：进程传感器、kprobe、tracepoint、uprobe、LSM 与 fentry
钉清 Tetragon v1.7.0 内置 __base__ 进程传感器与 TracingPolicy 动态 hook 的分工：kprobe/kretprobe、tracepoint/rawtp、uprobe/USDT、LSM 与 fentry 各自能观察什么、依赖哪些内核能力，以及选错 hook 类型时的失败表象。
【Tetragon / eBPF】TracingPolicy：CRD、三条加载路径与 collectionKey
钉清 TracingPolicy 与 TracingPolicyNamespaced 的差异；给出 v1.7.0 CRD 字段总表（含 fentries）；说明 kubectl、gRPC、静态文件如何共用 collectionKey；并写明 Enable/Disable gRPC 在默认配置下返回错误。
【eBPF 内核实现深度拆解】蹦床（Trampoline）与 fentry / fexit：零开销内核追踪
fentry/fexit 通过 BPF 蹦床机制在目标函数的 nop 位置直接替换为 call 指令进入 BPF，避免了 kprobe 的 int3 中断开销。本文拆解 bpf_trampoline 内核实现、arch_prepare_bpf_trampoline 的架构相关栈帧构造、struct_ops 与蹦床的协作——以及蹦床在什么条件下开销并不为零。
【操作系统百科】ftrace
ftrace 是 Linux 内核的内置追踪框架——函数追踪、function graph、tracepoints、trace-cmd。本文讲 mcount/fentry 机制、动态 patching、histogram、synthetic events。