【可观测性工程】eBPF 可观测性全景：bcc、bpftrace、libbpf 的工程路径
内容提要
eBPF（扩展伯克利包过滤器）是一种内核技术，允许动态挂载小程序以采集系统事件，解决了传统监控的痛点，实现零侵入、内核级可见性和低开销。文章介绍了eBPF的可观测性路径，包括bcc、bpftrace和libbpf + CO-RE，分析了钩子类型及应用场景，并提供了实际案例和选型建议。eBPF的应用使内核成为重要的数据源。
关键要点
-
eBPF（扩展伯克利包过滤器）是一种内核技术，允许动态挂载小程序以采集系统事件，解决了传统监控的痛点。
-
eBPF 实现了零侵入、内核级可见性和低开销，使得应用程序无需主动暴露埋点。
-
eBPF 的可观测性路径包括 bcc、bpftrace 和 libbpf + CO-RE，适用于不同的应用场景。
-
eBPF 的钩子类型包括 kprobe、uprobe、静态跟踪点、USDT、fentry/fexit、XDP、TC 和 LSM BPF 钩子，适用于不同的监控需求。
-
bcc 是 eBPF 的第一代工程方案，依赖 Python 和 Clang/LLVM，适合开发和调试，但在生产环境中存在部署痛点。
-
bpftrace 是一种面向 SRE 的命令行工具，适合快速排障和短期工具使用。
-
libbpf + CO-RE 是当前 eBPF 工程化的标准路径，解决了 bcc 的部署痛点，支持跨内核版本的可移植性。
-
eBPF 的应用使内核成为重要的数据源，能够提供更深层次的可观测性。
-
国内大型互联网公司和云厂商广泛使用 eBPF 进行可观测性，面临内核版本兼容性问题。
-
eBPF 的商业化工具如 Pixie、DeepFlow 和 Grafana Beyla 提供了零埋点的可观测性解决方案。
延伸解读
eBPF的优势与应用场景
eBPF技术通过零侵入的方式实现内核级可见性，极大地降低了监控系统的复杂性和开销。它适用于多种场景，如性能监控、故障排查和安全审计。尤其在大型互联网公司中，eBPF被广泛应用于实时监控和数据采集，帮助运维团队快速定位问题。
选择合适的eBPF工具
在选择eBPF工具时，需根据具体需求进行评估。bcc适合开发和调试，但在生产环境中可能面临部署挑战；bpftrace则更适合快速排障；而libbpf + CO-RE则是当前的标准路径，支持跨内核版本的可移植性。了解各工具的优缺点，有助于在不同场景下做出最佳选择。
内核版本兼容性的重要性
eBPF的功能和性能受限于内核版本，较老的内核可能无法支持新特性。在生产环境中，确保所有节点的内核版本兼容性至关重要。企业应考虑使用自研内核或进行backport，以便充分利用eBPF的优势，避免因版本不一致而导致的功能缺失。
延伸问答
eBPF是什么，它的主要功能是什么？
eBPF（扩展伯克利包过滤器）是一种内核技术，允许动态挂载小程序以采集系统事件，提供零侵入、内核级可见性和低开销的监控能力。
eBPF的可观测性路径有哪些？
eBPF的可观测性路径包括bcc、bpftrace和libbpf + CO-RE，适用于不同的应用场景。
使用eBPF进行监控的优势是什么？
eBPF提供零侵入监控、内核级可见性、低开销和安全性，允许在不修改应用程序的情况下进行深度监控。
bcc和bpftrace有什么区别？
bcc是基于Python的开发框架，适合复杂的监控工具开发；而bpftrace是面向SRE的命令行工具，适合快速排障和短期使用。
libbpf + CO-RE的优势是什么？
libbpf + CO-RE允许一次编译生成的BPF字节码在不同内核版本上直接运行，解决了bcc的部署痛点，支持跨内核版本的可移植性。
eBPF在国内的应用案例有哪些？
国内大型互联网公司和云厂商广泛使用eBPF进行可观测性，如阿里巴巴、字节跳动和腾讯云等，主要用于性能诊断和安全监控。
