eBPF在系统兼容性和互操作性中起到了什么作用

eBPF（Extended Berkeley Packet Filter）作为一项革命性的技术，在系统兼容性和互操作性方面发挥着重要作用。本文将深入探讨eBPF在这两个领域的具体应用和影响。

一、eBPF在系统兼容性中的作用

1. 跨内核的可移植性

eBPF程序可以访问内核数据结构，但这些结构在不同内核版本中可能发生变化。过去编译eBPF程序时，需基于目标内核兼容的头文件集。例如，在一些旧内核版本中，数据结构的定义可能与新内核有所不同，这就导致了兼容性问题。

为解决跨内核的可移植性问题，BCC（BPF Compiler Collection）项目采取在运行时编译eBPF代码的方法，在目标机器上就地进行。但这需要在每个目标机器上安装编译工具链，且要等待编译完成，并且文件系统上必须有内核头文件（实际上并不总是这样）。

CO

RE（Compile Once，Run Everyone，编译一次，到处运行）方法的出现改善了这种情况。它由BTF（BPF Type Format）、libbpf（BPF库）、编译器支持和可选的BPF骨架等元素组成。BTF是一种用于表达数据结构和函数签名布局的格式，现代Linux内核支持BTF，可从运行中的系统中生成包含BPF程序可能需要的内核数据结构信息的vmlinux.h头文件。libbpf一方面提供加载eBPF程序和映射到内核的功能，另一方面依靠BTF信息调整eBPF代码，以弥补编译时与目标机器上数据结构的差异。clang编译器编译eBPF程序时包括BTF重定位，使得libbpf在加载BPF程序和映射到内核时知道要调整什么。使用bpftool gen skeleton可从编译的BPF对象文件中自动生成骨架，包含用户空间代码可方便调用的函数，管理BPF程序的生命周期。

2. 用户空间eBPF运行时的兼容性扩展

虽然eBPF最初为内核设计，但内核对于GPL LICENSE的限制以及用户空间的巨大潜力催生了用户空间eBPF运行时。这些运行时允许开发者在内核之外利用eBPF的能力，提供了内核之外的运行平台，扩展了其实用性和适用性，同时不受限于GPL LICENSE。例如，uBPF是将eBPF引入用户空间的早期尝试之一，其非GPL许可证（Apache）使其适用于各种项目，包括非开源项目。uBPF正在迎头赶上内核发展，特别是微软为其eBPF Windows实现做出的贡献，并且开发uBPF和rbPF程序可能需要特定工具链，对一些用户是障碍，且uBPF只有有限的哈希maps实现，对大多数场景可能不够，本身只是虚拟机/解释器，在实际使用中需编写胶水代码，和其他用户空间程序编译、链接后才能使用。rbPF和uBPF相似，重点是使用Rust开发，其许可证（MIT）允许在各种项目中广泛重用，但缺乏eBPF Maps支持，仅为x86_64提供JIT支持，也需要编译和手动嵌入对应的应用程序中才可以使用。还有bpftime这种用户态eBPF运行时，进一步拓展了eBPF的能力，使现有的eBPF工具和应用，例如BCC tools，bpftrace，Deepflow等，能够不需要进行代码修改即可在非特权用户空间运行，同时使用和内核eBPF相同的库和工具链，不仅提供Uprobe和系统调用追踪点等动态追踪或扩展机制，还相比内核Uprobe有一个数量级的性能提升，并且和内核eBPF一样，无需手动进行代码插桩或重启进程，通过用户态共享内存支持进程间eBPF maps，同时兼容内核eBPF maps，能够实现与内核eBPF基础设施的无缝操作，包含针对多种架构的高性能LLVM JIT/AOT编译器。

二、eBPF在互操作性中的作用

1. 形成更成熟的标准促进互操作性和可移植性

更成熟的eBPF标准有助于促进eBPF的互操作性和可移植性。当不同的系统或应用都遵循相同的eBPF标准时，它们之间的互操作性会大大增强。例如，在不同的Linux发行版或者不同的云平台上，如果都采用了统一的eBPF标准，那么基于eBPF开发的工具和应用就可以更容易地在这些环境中运行，而不会因为环境的差异而出现兼容性问题。

2. 在安全可信协议栈中的互操作性应用

以清华大学徐恪老师团队提出的面向无状态协议攻击的防御系统——ICMP Filter为例，其基于Linux内核的eBPF子系统实现。eBPF能够在不改变内核源码或加载内核模块的前提下帮助用户扩展额外功能，如今已被实现在Linux主线中。eBPF的核心实现是一个虚拟机，能够运行自定义的64位的RISC指令集。用户通过编写自定义的eBPF程序，通过编译器生成BPF字节码，随后加载进内核中的eBPF子系统执行JIT（Just

in – Time）编译和验证，并调用helper API与操作系统运行时进行交互。eBPF子系统中同时实现了eBPF Map，用户可以通过eBPF程序和系统调用两种方式访问eBPF Map，使用API对数据进行读写，以实现状态存储与通信需求。eBPF通过指定程序类型以将eBPF程序挂载至内核中预设的不同的钩子处，截至目前eBPF中负责协议栈入站数据包处理的程序类型主要有3类，xdp（Linux 4.8引入），tc（Linux 4.1引入）和netfilter（Linux 6.4引入）。ICMP Filter防御机制以eBPF的netfilter类程序的方式实现，挂载在NF_INET_LOCAL_IN钩子处，该钩子位于Linux内核的IP数据包入站路径上，对于所有的入站数据包的处理，均会调用该eBPF程序进行额外的过滤和防御。这体现了eBPF在不同的安全协议栈中的互操作性应用，能够以防御组件的形式热加载进Linux内核中，监测入站ICMP报文的频率和语义特性，在维持轻量化设计的对潜在的恶意攻击报文进行提前过滤，并向用户及时反馈防御日志。

eBPF在系统兼容性和互操作性方面的作用显著。在系统兼容性方面，它通过跨内核的可移植性解决方案（如CO – RE方法）和用户空间eBPF运行时的发展，大大提高了eBPF程序在不同内核版本和用户空间的兼容性。在互操作性方面，eBPF通过形成更成熟的标准和在安全可信协议栈中的应用，促进了不同系统和应用之间的互操作性和可移植性。这些进步不仅推动了eBPF技术的发展，也为整个系统的兼容性和互操作性提供了新的解决方案。随着eBPF技术的不断发展和完善，我们可以期待它在未来的系统兼容性和互操作性方面发挥更大的作用。