如何监控EBPF

企鹅侠客

于 2025-05-24 10:30:40 发布

阅读量804

点赞数 8

CC 4.0 BY-SA版权

分类专栏：面试 linux 文章标签： ebpf bpftool perf

本文链接：https://blog.youkuaiyun.com/unbuntu_luo/article/details/148045704

面试同时被 2 个专栏收录

150 篇文章

订阅专栏

linux

147 篇文章

订阅专栏

eBPF（Extended Berkeley Packet Filter）是一种强大的内核技术，允许在不修改内核源代码的情况下，运行安全、可验证的代码来监控和操作内核的各个方面。eBPF能够用于网络流量过滤、性能分析、系统安全、跟踪和调试等多个领域。

要监控和使用eBPF，有几个常用的工具和方法，可以帮助你跟踪eBPF程序的运行、性能以及调试。

1. 使用 bpftool 监控 eBPF

bpftool 是一个原生的工具，用于与 eBPF 程序和对象交互。它可以显示当前系统中加载的所有 eBPF 程序、BPF maps、BPF文件系统挂载点等信息。

安装 bpftool

大多数现代Linux发行版可以直接通过包管理器安装bpftool。以Ubuntu为例：

sudo apt-get install bpftool

使用 bpftool 查看 eBPF 程序

查看所有加载的 eBPF 程序：

sudo bpftool prog show

这将列出所有已加载到内核中的 eBPF 程序及其相关信息。

查看 eBPF maps：

sudo bpftool map show

eBPF maps 用于在用户态与内核态之间共享数据，bpftool可以显示当前系统中所有的eBPF maps。

附加和分离 eBPF 程序：使用bpftool还可以将eBPF程序附加到不同的挂钩点（例如网络接口、系统调用），或将其分离：

sudo bpftool prog load <prog-file> /sys/fs/bpf/<prog-name>
sudo bpftool prog attach /sys/fs/bpf/<prog-name> xdp dev <interface>

2. 使用 bcc 工具集

bcc（BPF Compiler Collection）是一个高级的eBPF工具集，包含了许多预构建的工具，用于调试、性能分析和网络监控。

安装 bcc 工具集

可以通过包管理器安装bcc工具集（以Ubuntu为例）：

sudo apt-get install bpfcc-tools linux-headers-$(uname -r)

常用的 bcc 工具

execsnoop：监控系统中执行的命令：

sudo execsnoop

biosnoop：监控块设备的I/O操作：

sudo biosnoop

tcplife：显示TCP连接的生命周期信息：

sudo tcplife

xdpdump：用于捕获和分析XDP（eXpress Data Path）上的网络数据包：

sudo xdpdump

3. 使用 bpftrace 进行高级监控

bpftrace 是一个类似于DTrace的高级工具，允许用户编写小脚本来定义复杂的监控和分析任务。

安装 bpftrace

以Ubuntu为例，可以使用以下命令安装：

sudo apt-get install bpftrace

编写简单的 bpftrace 脚本

监控所有进程启动：

sudo bpftrace -e 'tracepoint:syscalls:sys_enter_execve { printf("PID %d called execve: %s\n", pid, str(args->filename)); }'

这个脚本会打印出所有调用execve系统调用的进程ID和执行的文件名。

监控文件打开操作：

sudo bpftrace -e 'tracepoint:syscalls:sys_enter_openat { printf("File opened: %s\n", str(args->filename)); }'

监控内核函数调用时间：监控特定内核函数的执行时间：

sudo bpftrace -e 'kprobe:vfs_read { @start[tid] = nsecs; } kretprobe:vfs_read { @time[tid] = nsecs - @start[tid]; }'

4. 使用 perf 结合 eBPF

perf 是一个广泛使用的Linux性能分析工具，它支持eBPF并且可以用于复杂的性能事件跟踪。

安装 perf

在大多数Linux发行版中，可以使用以下命令安装：

sudo apt-get install linux-tools-$(uname -r)

使用 perf 结合 eBPF

监控系统调用：

sudo perf trace -e 'syscalls:sys_enter_*'

跟踪内核函数：可以使用perf来跟踪内核函数调用，并结合eBPF进行进一步的分析。

5. 查看 eBPF 系统日志和 /sys 文件系统

系统日志：使用dmesg和journalctl查看eBPF加载的日志和错误信息：

dmesg | grep -i bpf

/sys/fs/bpf**** 文件系统：eBPF程序和maps可以挂载在/sys/fs/bpf中，你可以直接查看这些对象。

6. 总结

通过使用bpftool、bcc、bpftrace和perf等工具，你可以有效地监控和分析eBPF程序在Linux系统中的行为。这些工具不仅帮助你理解系统内部的行为，还可以优化性能、增强安全性以及进行实时的系统调试。