eunomia-bpf 项目教程

eunomia-bpf 项目教程

项目介绍

eunomia-bpf 是一个旨在简化 eBPF 程序构建和分发的开源项目。它提供了一个动态加载库/运行时和一个编译工具链框架，帮助开发者更容易地构建和分发 eBPF 程序。通过 eunomia-bpf，开发者可以简化编写 eBPF 程序的过程，自动从内核中暴露数据，并生成命令行参数配置。

项目快速启动

安装 ecli 工具

首先，下载并安装 ecli 工具：

$ wget https://aka.pw/bpf-ecli -O ecli && chmod +x ecli

运行预编译的 eBPF 程序

使用 ecli 工具运行一个预编译的 eBPF 程序：

$ sudo ./ecli run https://eunomia-bpf.github.io/eunomia-bpf/sigsnoop/package.json

输出示例：

INFO [bpf_loader_lib::skeleton] Running ebpf program
TIME PID TPID SIG RET COMM
01:54:49 77297 8042 0 0 node
01:54:50 77297 8042 0 0 node
01:54:50 78788 78787 17 0 which
01:54:50 78787 8084 17 0 sh
01:54:50 78790 78789 17 0 ps
01:54:50 78789 8084 17 0 sh
01:54:50 78793 78792 17 0 sed
01:54:50 78794 78792 17 0 cat
01:54:50 78795 78792 17 0 cat

应用案例和最佳实践

监控系统调用

使用 eunomia-bpf 可以轻松监控系统调用，例如跟踪 execve 调用：

$ sudo ./ecli run ghcr.io/eunomia-bpf/execve:latest

输出示例：

[79130] node -> /bin/sh -c which ps
[79131] sh -> which

性能优化

eunomia-bpf 提供的用户空间 eBPF 运行时 bpftime 可以加速 uprobe 和 syscall 钩子，比内核 uprobes 快 10 倍，适用于性能敏感的应用场景。

典型生态项目

bpftime

bpftime 是一个用户空间 eBPF 运行时，提供快速 uprobe 和 syscall 钩子功能，兼容内核 eBPF 和现有 eBPF 工具链。

KEN

KEN 是一个大型语言模型代理，利用 eunomia-bpf 进行内核扩展和性能监控。

通过这些生态项目，eunomia-bpf 不仅简化了 eBPF 程序的开发和分发，还扩展了 eBPF 在不同领域的应用。