eBPF开发者教程：一步步学习eBPF

1. 项目介绍

eBPF开发者教程 是一份基于CO-RE（一次编译，到处运行）的eBPF学习资源，旨在帮助初学者到高级开发者逐步掌握eBPF技术。教程采用libbpf、Cilium、libbpf-rs和eunomia-bpf等框架，提供了多种语言（如C、Go、Rust）的示例代码。主要内容包括基本概念、实战练习以及在观测性、网络和安全等领域中的应用。

与BCC不同，这个教程不涉及复杂的概念或特定场景，而是通过一系列简短的代码示例（大约20行起），让开发者能够快速上手eBPF的开发技术和技巧。

2. 项目快速启动

首先，确保你的系统安装了必要的依赖项，如Git和C编译器。然后，克隆仓库并初始化子模块：

$ git clone https://github.com/eunomia-bpf/bpf-developer-tutorial.git
$ cd bpf-developer-tutorial
$ git submodule update --init --recursive

现在，尝试编译并运行一个示例，例如“Hello World”程序：

$ cd src/lesson-1-helloworld
$ make

运行后的输出将显示eBPF程序加载成功的消息。

3. 应用案例和最佳实践

教程中的各个目录包含了具体的eBPF应用例子，如：

• lesson-2-kprobe-unlink: 使用kprobe捕获'unlink'系统调用。
• lesson-3-fentry-unlink: 使用fentry捕获'unlink'系统调用。
• lesson-4-opensnoop: 跟踪打开文件的进程，并通过全局变量过滤PID。
• lesson-5-uprobe-bashreadline: 使用uprobe记录bash的'readline'函数调用。
• lesson-6-sigsnoop: 监控信号发送的系统调用并存储到哈希映射。

这些案例展示了如何在不同的上下文中使用eBPF，并教你如何利用eBPF的最佳实践。

4. 典型生态项目

eBPF生态系统中有多个关键项目，它们为开发人员提供了便利：

• libbpf: 提供C语言接口来加载、创建和管理eBPF程序。
• Cilium: 开源网络和安全平台，充分利用eBPF实现高性能网络和容器安全。
• libbpf-rs: Rust语言的libbpf绑定，用于便捷的eBPF程序开发。
• eunomia-bpf: 作为上述教程基础的开发框架，简化eBPF工具的构建过程。

这些项目共同构成了强大的eBPF工具链，支持开发人员构建各种复杂的应用场景。

---

本文档提供了eBPF开发者教程的概述，启动指南及实例演示。继续探索这个教程，深入理解eBPF的实际应用和潜力。