使用 eBPF 实现高性能网络监控

最新推荐文章于 2025-06-12 12:25:53 发布

桂月二二

最新推荐文章于 2025-06-12 12:25:53 发布

阅读量809

点赞数 3

CC 4.0 BY-SA版权

文章标签：网络

本文链接：https://blog.youkuaiyun.com/qq_51700102/article/details/145471635

1. eBPF 简介

eBPF（Extended Berkeley Packet Filter）是一种在 Linux 内核中运行的高效沙箱技术，允许开发者在不修改内核源码或加载内核模块的情况下，运行安全且高性能的程序。eBPF 最初用于网络数据包过滤，如传统的 Berkeley Packet Filter（BPF），但现在已扩展到监控、安全、跟踪和优化系统性能等多个领域。

eBPF 具有以下优点：

高效性：eBPF 代码在内核态执行，性能接近原生 C 代码。
安全性：所有 eBPF 程序在执行前都会被验证，确保不会崩溃或影响系统稳定性。
灵活性：支持动态加载、无中断更新，适用于网络监控、性能分析等场景。
丰富的生态：与 XDP（eXpress Data Path）、tc（Traffic Control）、perf、BCC（BPF Compiler Collection）等工具结合，提供完整的可观测性解决方案。

2. eBPF 在网络监控中的应用

在网络监控领域，eBPF 主要用于：

网络流量分析：捕获并分析流量模式，实时检测异常行为。
DDoS 防护：使用 XDP 进行高效的流量过滤，快速丢弃恶意流量。
延迟监测：跟踪 TCP 连接建立时间、丢包率等关键性能指标。
服务依赖跟踪：结合 eBPF 与分布式追踪系统，分析服务间调用关系。

3. eBPF 实战：编写一个简单的网络监控工具

3.1 环境准备

要使用 eBPF 进行网络监控，需要安装以下工具：

sudo apt update && sudo apt install -y clang llvm libelf-dev iproute2

如果使用 BCC（BPF Compiler Collection），可以安装：

sudo apt install -y bpfcc-tools linux-headers-$(uname -r)

3.2 编写 eBPF 程序

下面是一个简单的 eBPF 程序，它可以监控进程创建网络连接的情况。

eBPF C 代码 (`tcp_monitor.c`)

#include <linux/bpf.h>
#include <linux/in.h>
#include <linux/tcp.h>
#include <linux/ptrace.h>
#include <bpf/bpf_helpers.h>

struct event_t {
    u32 pid;
    u32 saddr;
    u32 daddr;
    u16 sport;
    u16 dport;
};

BPF_PERF_OUTPUT(events);

SEC("kprobe/tcp_connect")
int monitor_tcp(struct pt_regs *ctx) {
    struct event_t event = {};
    struct sock *sk = (struct sock *)PT_REGS_PARM1(ctx);
    
    event.pid = bpf_get_current_pid_tgid() >> 32;
    event.saddr = sk->__sk_common.skc_rcv_saddr;
    event.daddr = sk->__sk_common.skc_daddr;
    event.sport = sk->__sk_common.skc_num;
    event.dport = sk->__sk_common.skc_dport;
    
    events.perf_submit(ctx, &event, sizeof(event));
    return 0;
}

char LICENSE[] SEC("license") = "GPL";

3.3 编写用户态程序

我们还需要编写一个用户态程序来加载 eBPF 代码并接收事件。

from bcc import BPF
import socket
import struct

bpf = BPF(src_file="tcp_monitor.c")

def print_event(cpu, data, size):
    event = bpf["events"].event(data)
    print(f"Process {event.pid} connected from {socket.inet_ntoa(struct.pack('I', event.saddr))} ",
          f"to {socket.inet_ntoa(struct.pack('I', event.daddr))}:{event.dport}")

bpf["events"].open_perf_buffer(print_event)

while True:
    bpf.perf_buffer_poll()