2. eBPF 虚拟机

damon_lou
128 阅读4分钟

  1. 什么是 eBPF 虚拟机 ？

      eBPF 虚拟机是内核中的一个轻量级的 RISC 风格寄存器虚拟机：

    • 功能：负责运行通过 eBPF 编译器生成的字节码（类似于 CPU 执行机器指令）。

    • 执行方式：

      • 解释执行：逐条解释字节码。
      • JIT 编译：将字节码即时编译为原生机器指令以提高性能。

    • 运行环境：完全隔离于内核，eBPF 程序只能访问受限资源（如 eBPF Maps 和程序上下文）。

  1. eBPF 虚拟机 的架构

      eBPF 虚拟机的设计基于 寄存器 和 虚拟栈，类似于现代 CPU 的 RISC 架构。

      2.1 寄存器    eBPF 提供了 11 个寄存器：- R0-R9：10 个通用寄存器，用于存储中间数据和参数。

    • R10：栈指针寄存器，用于访问虚拟栈。    寄存器特性：- 全部是 64 位的。
    • 在每次函数调用或事件触发时初始化。
    • R0：用作返回值寄存器，保存程序返回值。

      2.2 虚拟栈- 大小：每个 eBPF 程序有固定的 512 字节虚拟栈。

    • 作用：用于临时存储程序运行中的中间数据。
    • 访问限制：只能通过 R10（栈指针寄存器）访问，且必须在 512 字节内。

      2.3 指令集    eBPF 的指令集是 精简指令集（ RISC ） ，具有以下特点：1. 每条指令为 64 位，支持以下操作：

    1.  算术运算（加减乘除、移位等）。
1.  逻辑运算（AND、OR、XOR 等）。
1.  加载和存储操作（从寄存器到内存，或从 eBPF Map 中读取）。
    1. 兼容 x86、ARM 等多种硬件架构，通过 JIT 编译优化。    示例：一条 eBPF 字节码指令的结构：
    struct bpf_insn {
    __u8    code;     // 操作码
    __u8    dst_reg:4; // 目标寄存器
    __u8    src_reg:4; // 源寄存器
    __s16   off;      // 偏移量
    __s32   imm;      // 立即数
};

      2.4 运行时上下文    eBPF 程序在运行时会接收到一个上下文对象，表示当前触发事件的相关数据，例如：- 系统调用上下文（如参数、返回值）。

    • 网络数据包的元信息（如源 IP、目标端口）。
    • Tracepoint 的事件数据。    eBPF 程序只能通过上下文访问受限的内核数据。

  1. eBPF 虚拟机 的执行流程

      以下是 eBPF 虚拟机的运行过程：

      3.1 加载字节码    用户通过 bpf() 系统调用加载 eBPF 程序到内核。- 字节码由用户态的编译器（如 Clang/LLVM）生成。

    • 内核验证器检查字节码是否合法：

      • 是否超出寄存器或栈的范围。
      • 是否存在未终止的循环。
      • 是否尝试访问未经授权的内核资源。

      3.2 挂载程序    eBPF 程序加载后会挂载到指定的触发点（如 Kprobe、Tracepoint、网络接口）。

      3.3 执行字节码    当触发点事件发生时，eBPF 虚拟机执行程序：1. 初始化寄存器和栈。

    1. 根据上下文数据逐条解释字节码，或者通过 JIT 编译优化执行。
    2. 返回结果（通过 R0 返回值）。

  1. eBPF 虚拟机 的设计特点

      4.1 安全性- eBPF 虚拟机受到严格限制：

    -   禁止直接访问内核内存。
-   禁止无限循环，所有程序必须是“有限执行”的。
-   程序运行时间受限，避免阻塞内核。

      4.2 高效性- eBPF 的字节码可以通过 JIT 编译直接转换为机器码，执行效率接近原生代码。

    • 只在触发点事件发生时执行，减少不必要的资源消耗。

      4.3 可移植性- eBPF 程序是硬件无关的字节码，支持多种架构（x86、ARM 等）。

    • 内核会根据硬件架构选择解释执行或 JIT 编译。

  1. 示例： eBPF 虚拟机 执行过程

      假设一个简单的 eBPF 程序，监控 write 系统调用的参数，并记录文件描述符和写入长度。

      eBPF 程序伪代码

    SEC("tracepoint/syscalls/sys_enter_write")
int monitor_write(struct pt_regs *ctx) {int fd = PT_REGS_PARM1(ctx);       // 获取文件描述符size_t count = PT_REGS_PARM3(ctx); // 获取写入数据长度
    bpf_printk("write: fd=%d, count=%lu\n", fd, count);return 0;
}

      字节码 指令    转换为 eBPF 字节码后，虚拟机执行的过程如下：1. 从上下文中加载第一个参数（文件描述符）到寄存器 R1。

    1. 从上下文中加载第三个参数（写入长度）到寄存器 R2。
    2. 调用 bpf_printk 函数，打印日志信息。
    3. 返回值存储在 R0，表示程序执行成功。

  1. eBPF 虚拟机 与硬件的关系

    • JIT 编译：eBPF 虚拟机可以将字节码即时编译为目标硬件的原生指令，大幅提升性能。
    • 硬件加速：未来可能通过硬件直接支持 eBPF 指令集（类似 GPU 运行 CUDA）。

  1. 总结

    • eBPF 虚拟机 是一个高效、安全的执行环境，运行 eBPF 程序的字节码。

    • 核心特点：

      • RISC 风格设计，支持 11 个寄存器和固定大小的虚拟栈。
      • 支持 JIT 编译，性能接近原生代码。
      • 提供上下文访问和受限内存操作，确保安全。

    • eBPF 虚拟机的设计让它成为内核调试、监控、性能优化和扩展功能的关键工具。

avatar
文章
阅读
粉丝