从SRE的角度来分析eBPF，能给其工作带来一系列的Tracing以及可观测方面的性能提升

使用eBPF对Container容器的安全设计方案

Linux内核观测技术BPF

本文为主题分享《Linux Tracing System浅析 & eBPF框架开发分享》的会议整理和补充，此为PPT版本。 主稿人：许庆伟， Linux Kernel Security Researcher & Performance Developer 主讲人：杨润青，博士毕业于浙江大学，目前从事网络安全研究，研究方向包括高级威胁检测，攻击溯源与响应。 视频地址：https://www.bilibili.com/video/BV17t4y1x7kV?spm_id_from=333.999.0.0 文章地址：https://blog.csdn.net/weixin_72742917/article/details/125855606?spm=1001.2014.3001.5501

内核运行时安全新机制，LSM + eBPF内核安全的新方向

互联网服务常常需要预防DDoS攻击，希望尽早丢弃攻击流量减少服务器资源的浪费。从概念上分析，防火墙是抵御DDoS的有效手段，但是实际基于NetFilter的IpTables并不能解决该问题，因为其处理报文的位置已分配SKB，大量无效SKB会耗尽内存资源，拖垮服务器。但基于eBPF/XDP实现的防火墙能够更早处理攻击流量而不消耗CPU和内存资源，更高效，更安全。

连接跟踪(conntrack)是网络应用非常非常的基础，比如有状态防火墙 (firewall)，网络地址转换(nat),负载均衡(lb)。Linux conntrack 是 基于 netfilter 实现的，如图所示，分别在 PREROUTING, POSTROUTING 位置前 和后对网络报文进行跟踪;但是 XDP 位置在进入网络栈之前，无法利用到内核栈的 conntrack 能力， Cilium 应该遇到同样的问题， 所以 Cilium 基于 eBPF 实现了 conntrack；换句话说，只要具备 Hook 能力，能拦截进出主机的每个报文，完全可以实 现一套连接跟踪功能， 这个该项目的核心思路。 购买文档，免费给源代码！！ 购买文档，免费给源代码！！ 购买文档，免费给源代码！！

传统网络转发路径是从L2L3，查询路由表然后转发，中间解析报文且分配SKB。 XDP转发路径可以下沉L2, 解析报文再封装，无SKB分配，高效且快速。 购买设计文档免费送源码, 免费咨询

Xpress DNS-实验XDP DNS服务器 关于 Xpress DNS是用BPF编写的实验性DNS服务器，用于高吞吐量，低延迟的DNS响应。 它使用在Linux网络路径的早期处理数据包。 提供了一个用户空间应用程序，用于将DNS记录添加到BPF映射中，该映射由XDP模块从内核中读取。 不匹配的DNS请求将传递到Linux网络堆栈。 用例 Xpress DNS可以用作对静态DNS记录的常见DNS请求的高性能DNS代理。 通过在Linux网络堆栈处理数据包之前响应DNS请求，可以减轻系统和用户空间中DNS服务器的负载。 特点与局限性 目前支持A记录 仅支持基于UDP的纯DNS（端口53） 基本的EDNS实施 目前仅响应单个查询 没有递归查找 要求 需要5.8或更高版本的内核，因为此程序使用bpf_xdp_adjust_tail调用来扩展数据包大小。 参见 ，合并于5.8。 iprout

Hidden Linux Metrics with Prometheus eBPF Exporter