【可观测性工程】eBPF 可观测性全景：bcc、bpftrace、libbpf 的工程路径
内容提要
eBPF（扩展伯克利包过滤器）是一种内核技术，允许动态挂载小程序以采集系统事件，解决了传统监控的痛点，实现零侵入、内核级可见性和低开销。文章介绍了eBPF的可观测性路径，包括bcc、bpftrace和libbpf + CO-RE，分析了钩子类型及应用场景，并提供了实际案例和选型建议。eBPF的应用使内核成为重要的数据源。
关键要点
-
eBPF（扩展伯克利包过滤器）是一种内核技术，允许动态挂载小程序以采集系统事件，解决了传统监控的痛点。
-
eBPF 实现了零侵入、内核级可见性和低开销，使得应用程序无需主动暴露埋点。
-
eBPF 的可观测性路径包括 bcc、bpftrace 和 libbpf + CO-RE，适用于不同的应用场景。
-
eBPF 的钩子类型包括 kprobe、uprobe、静态跟踪点、USDT、fentry/fexit、XDP、TC 和 LSM BPF 钩子，适用于不同的监控需求。
-
bcc 是 eBPF 的第一代工程方案，依赖 Python 和 Clang/LLVM，适合开发和调试，但在生产环境中存在部署痛点。
-
bpftrace 是一种面向 SRE 的命令行工具，适合快速排障和短期工具使用。
-
libbpf + CO-RE 是当前 eBPF 工程化的标准路径，解决了 bcc 的部署痛点，支持跨内核版本的可移植性。
-
eBPF 的应用使内核成为重要的数据源，能够提供更深层次的可观测性。
-
国内大型互联网公司和云厂商广泛使用 eBPF 进行可观测性，面临内核版本兼容性问题。
-
eBPF 的商业化工具如 Pixie、DeepFlow 和 Grafana Beyla 提供了零埋点的可观测性解决方案。
延伸问答
eBPF是什么，它的主要功能是什么？
eBPF（扩展伯克利包过滤器）是一种内核技术，允许动态挂载小程序以采集系统事件，提供零侵入、内核级可见性和低开销的监控能力。
eBPF的可观测性路径有哪些？
eBPF的可观测性路径包括bcc、bpftrace和libbpf + CO-RE，适用于不同的应用场景。
使用eBPF进行监控的优势是什么？
eBPF提供零侵入监控、内核级可见性、低开销和安全性，允许在不修改应用程序的情况下进行深度监控。
bcc和bpftrace有什么区别？
bcc是基于Python的开发框架，适合复杂的监控工具开发；而bpftrace是面向SRE的命令行工具，适合快速排障和短期使用。
libbpf + CO-RE的优势是什么？
libbpf + CO-RE允许一次编译生成的BPF字节码在不同内核版本上直接运行，解决了bcc的部署痛点，支持跨内核版本的可移植性。
eBPF在国内的应用案例有哪些？
国内大型互联网公司和云厂商广泛使用eBPF进行可观测性，如阿里巴巴、字节跳动和腾讯云等，主要用于性能诊断和安全监控。
