Khả năng quan sát của eBPF là một cách tiếp cận mạnh mẽ liên quan đến việc triển khai các chương trình để giám sát các sự kiện nhân và nâng cao khả năng quan sát, kết nối mạng và bảo mật của nhân Linux. Nó loại bỏ nhu cầu chỉnh sửa mã nguồn nhân hoặc thêm mô-đun, cho phép bạn tạo cơ sở hạ tầng mạnh mẽ hơn để hỗ trợ hệ thống của mình mà không làm phức tạp hệ thống. Trong bài viết này, chúng ta sẽ thảo luận về eBPF, cách thức hoạt động cũng như những ưu điểm và nhược điểm của việc sử dụng eBPF để quan sát.

eBPF là gì?

Đầu tiên chúng ta hãy hiểu eBPF là gì, và tại sao nó lại quan trọng. Bộ lọc gói Berkeley mở rộng (eBPF) là một tính năng nhân Linux tiên tiến cho phép các chương trình hộp cát hoạt động trong nhân hệ điều hành. Nó nâng cao chức năng của nhân một cách an toàn và hiệu quả mà bạn không cần phải tải các mô-đun nhân hoặc sửa đổi mã nguồn.

Với khả năng giám sát và quản lý toàn bộ hệ thống của nhân, các hệ điều hành thường là khu vực lý tưởng để kết hợp các khả năng bảo mật, khả năng quan sát và kết nối mạng. Do mục đích quan trọng và các yêu cầu nghiêm ngặt về tính ổn định và bảo mật, nhân hệ điều hành có khả năng chống lại sự thay đổi. Do đó, quá trình phát triển cấp hệ điều hành bị tụt hậu so với các cải tiến được cung cấp bên ngoài thông qua eBPF.

Khả năng quan sát eBPF là gì?

Khả năng quan sát eBPF đề cập đến việc triển khai đơn giản nhưng đầy đủ các chương trình dành cho việc quan sát các sự kiện hạt nhân. Điều này được thực hiện chủ yếu trong Hạt nhân Linux. eBPF nổi bật như một công cụ có khả năng quan sát vì nó có thể chạy các chương trình bên trong nhân để lọc dữ liệu giám sát mà không làm thay đổi mã nguồn. Khả năng quan sát với eBPF là cực kỳ an toàn, biệt lập và kín đáo, và nó có thể được chuyển sang các hệ thống tập trung. Nó tăng khả năng quan sát bằng cách tăng cường cơ sở hạ tầng và khả năng hiển thị, ngữ cảnh và độ chính xác của sự kiện mạng.

eBPF hoạt động như thế nào?

Trong các cụm Kubernetes, các bộ chứa thường được sử dụng để cài đặt các dịch vụ tiếp tục hoạt động miễn là ứng dụng đang hoạt động và eBPF cung cấp một phương pháp đáng tin cậy để giám sát các dịch vụ trong cụm. eBPF cũng có thể được sử dụng để kiểm tra các lệnh cụm Kubernetes, cung cấp chế độ xem chi tiết cho từng lệnh. Nó cung cấp thông tin về người khởi xướng, thời gian, địa điểm và các thông tin liên quan khác.

Các ứng dụng eBPF hướng sự kiện được liên kết với một tuyến mã. Móc là trình kích hoạt cụ thể trong đường dẫn mã chạy bất kỳ chương trình eBPF nào được liên kết khi chúng được cung cấp. Móc có thể được tìm thấy trong các sự kiện mạng và các cuộc gọi hệ thống.

Khi mã được kích hoạt, đầu tiên nó được biên dịch thành mã byte BPF. Đổi lại, trước khi thực thi, mã byte được kiểm tra để đảm bảo rằng nó không tạo ra vòng lặp. Bước này bảo vệ phần mềm khỏi vô tình hoặc cố ý xâm phạm nhân Linux. Khi một chương trình được gọi tại một hook, nó sẽ thực hiện các cuộc gọi hỗ trợ. Các cuộc gọi tiện ích này là các chức năng cung cấp cho eBPF một số chức năng truy cập bộ nhớ. Hạt nhân phải chỉ định trước các lệnh gọi của trình trợ giúp, tuy nhiên số lượng chức năng có thể truy cập không ngừng tăng lên.

nguồn

Khả năng quan sát của eBPF hoạt động như thế nào?

Để hiểu hoàn toàn cơ chế cơ bản cho phép khả năng quan sát của eBPF, trước tiên chúng ta phải hiểu ý tưởng về móc. Các chương trình eBPF thường hướng theo sự kiện, nghĩa là chúng được kích hoạt sau khi một sự kiện cụ thể xảy ra. Ví dụ: bất cứ khi nào một lệnh gọi chức năng được thực hiện, ứng dụng eBPF có thể được gọi để thu thập dữ liệu cho khả năng quan sát.

Đầu tiên, những hook này có thể tồn tại trong nhân hoặc không gian người dùng. Do đó, eBPF có thể được sử dụng để giám sát cả ứng dụng không gian người dùng và sự kiện cấp nhân. Thứ hai, các hook này có thể được xác định trước/tĩnh hoặc tự động đưa vào một hệ thống đang chạy (không cần khởi động lại!). Mỗi người trong số họ được kích hoạt bởi bốn quy trình eBPF duy nhất:

• Kprobes (Đầu dò hạt nhân): Được sử dụng trong thời gian chạy để móc động vào bất kỳ vùng nào của mã nhân.

• Uprobes (Thăm dò người dùng): Được sử dụng trong thời gian chạy để móc động vào bất kỳ phần nào của chương trình không gian người dùng.

• Điểm theo dõi hạt nhân: Được sử dụng để nối vào các sự kiện do kernel xác định.

• USDT: Được sử dụng để nối vào các điểm theo dõi do nhà phát triển xác định trong mã ứng dụng.

Có nhiều hook được xác định trước khác nhau trong không gian kernel mà ứng dụng eBPF có thể dễ dàng được gắn vào (ví dụ: lệnh gọi hệ thống, mục nhập/thoát chức năng, sự kiện mạng, điểm theo dõi kernel). Tương tự, nhiều thời gian chạy ngôn ngữ, hệ thống cơ sở dữ liệu và ngăn xếp phần mềm có các móc được cấu hình sẵn để BCC Linux các tiện ích mà các chương trình eBPF có thể nối vào trong không gian người dùng.

Ai nên sử dụng khả năng quan sát eBPF?

Việc sử dụng eBPF trong các ứng dụng gốc trên đám mây đang tăng lên. Trong Kubernetes và các cài đặt dựa trên vùng chứa và phân tán khác, eBPF thường được sử dụng khi giám sát bảo mật truyền thống không thành công. eBPF có thể hỗ trợ thu hẹp khoảng cách về khả năng hiển thị trong các tình huống như vậy vì nó cung cấp khả năng hiển thị đối với lưu lượng HTTP.

Ưu điểm của việc sử dụng eBPF cho khả năng quan sát

Khả năng thích ứng với các nhu cầu và cài đặt khác nhau là rất quan trọng đối với khả năng quan sát của hệ thống. Đây là điểm vượt trội của công nghệ này, mang đến cho các nhà phát triển sự tự do không thể so sánh được. Dưới đây là một vài lợi thế khi sử dụng eBPF để có thể quan sát.

Bảo mật

Các chương trình về cơ bản được đóng hộp cát, điều này ngụ ý rằng mã nguồn hạt nhân vẫn còn nguyên vẹn và an toàn. Quá trình xác minh đảm bảo rằng các chương trình thực hiện các vòng lặp vô tận không lạm dụng tài nguyên.

Tập trung

Các chương trình eBPF được tập trung hóa và cung cấp dữ liệu chi tiết hơn về các sự kiện hạt nhân. Điều này cung cấp nhiều thông tin về các hoạt động mạng và vùng chứa, sau đó có thể được chuyển sang các nền tảng tập trung để tổng hợp và hiển thị.

Tiện

Việc viết mã nối vào các thủ tục nhân cần ít nỗ lực hơn so với việc xây dựng và bảo trì các mô-đun nhân.

Truy tìm thống nhất

eBPF cung cấp một khuôn khổ thống nhất, mạnh mẽ và thân thiện với người dùng để theo dõi các quy trình. Điều này cải thiện cả khả năng hiển thị và bảo mật.

Lập trình

Sử dụng eBPF làm tăng tính năng phong phú của môi trường mà không cần thêm các lớp bổ sung. Tương tự, do mã được thực hiện trực tiếp trong nhân, nên eBPF có thể lưu trữ dữ liệu giữa các sự kiện eBPF thay vì hủy dữ liệu như các công cụ theo dõi khác.

Nhược điểm của việc sử dụng eBPF cho khả năng quan sát

Sử dụng eBPF cho khả năng quan sát có những lợi ích của nó, tuy nhiên, tất cả những khả năng vượt trội này đều phải trả giá. Chúng ta hãy xem xét một số hạn chế của eBPF và những gì đang được thực hiện về nó.

Hạn chế Linux

eBPF hiện chủ yếu được sử dụng trong các nhân Linux. Điều này gây ra sự cố cho các tổ chức đang cố gắng sử dụng các công nghệ eBPF cho Kubernetes và khối lượng công việc chứa chạy trong các hệ thống không phải Linux. Mặt khác, eBPF cho Windows đang được phát triển tích cực.

Tiếp nhận thị trường

Có rất nhiều sự nhiệt tình và bàn tán về công nghệ này, đồng thời sự hỗ trợ từ các công ty công nghệ lớn đã giúp củng cố vị thế của nó trong lĩnh vực đám mây gốc. Tuy nhiên, nó vẫn đang ở giai đoạn đầu và đòi hỏi phải có kiến ​​thức chuyên môn quan trọng. Kết quả là, sự hấp thụ của thị trường đã chậm lại.

Kết luận

Trong vài năm tới, công nghệ này có khả năng biến đổi cách tiếp cận hiện tại sang khả năng quan sát. Khi các ứng dụng eBPF mới về khả năng quan sát xuất hiện, rõ ràng là công nghệ biến đổi này sẽ thúc đẩy sự đổi mới và ảnh hưởng đến tương lai của khả năng quan sát. eBPF là một công nghệ có khả năng quan sát mạnh mẽ hỗ trợ chúng tôi nắm bắt các điểm dữ liệu quan trọng với chi phí thấp. Tiềm năng mang lại khả năng triển khai quan sát đơn giản và an toàn hơn của nó sẽ rất quan trọng để nâng cao hiệu suất, độ an toàn và hiệu quả hoạt động tổng thể của hệ thống.

• Phân phối nội dung và PR được hỗ trợ bởi SEO. Được khuếch đại ngay hôm nay.
• PlatoAiStream. Thông minh Web3. Kiến thức khuếch đại. Truy cập Tại đây.
• Mua và bán cổ phần trong các công ty PRE-IPO với PREIPO®. Truy cập Tại đây.
• Nguồn: Plato Data Intelligence: PlatoDữ liệu