eBPF expliqué

1. eBPF en quelques mots #

Une machine virtuelle dans le noyau.

Le principe #

eBPF (extended Berkeley Packet Filter) permet de charger de petits programmes dans le noyau Linux, sans module ni redémarrage. Avant d'être exécuté, chaque programme passe par un vérificateur (pas de boucle infinie, pas d'accès mémoire hors limites), puis il est compilé en code natif (JIT) et attaché à un événement.

Pour l'observabilité, cela signifie : voir chaque appel système, chaque paquet, chaque fonction d'un processus, avec un surcoût très faible et sans modifier les applications.

2. Les points d'accroche #

Où un programme peut s'attacher.

Types de hooks #

À savoir : Les tracepoints sont stables entre versions du noyau ; les kprobes dépendent des fonctions internes et peuvent casser lors d'une mise à jour.

3. Maps, BTF et CO-RE #

Échanger des données et rester portable.

Les maps #

Un programme eBPF ne fait pas d'entrées-sorties : il écrit dans des maps (tables de hachage, tableaux, ring buffers) que l'agent en espace utilisateur lit. On agrège donc dans le noyau (compteurs, histogrammes) et seul le résultat remonte : c'est ce qui rend eBPF si économe.

Portabilité #

BTF (BPF Type Format) décrit les structures du noyau courant ; CO-RE (Compile Once, Run Everywhere) ajuste le programme à la volée. Un même binaire fonctionne ainsi sur plusieurs versions du noyau.

uname -r                                   # 5.8+ recommandé, 5.15+ idéal
ls /sys/kernel/btf/vmlinux                 # BTF disponible ?
bpftool feature probe | grep -i "map_type" | head