温怀湘--中国联通软研院基于eBPF可观测性落地实践.pdf

1、基于eBPF可观测性落地实践第二届 eBPF开发者大会w w w.e b p f t r a v e l.c o m中 国 西 安中国联通软件研究院-温怀湘第 二 届 e B P F 开 发 者 大 会01可观测性演进路线第 二 届 e B P F 开 发 者 大 会微服务演进过程单体应用框架微服务mesos网格kubernetesVM应用架构演进第 二 届 e B P F 开 发 者 大 会监控演进过程可观测性演进日志调用链指标性能特性运维工具第 二 届 e B P F 开 发 者 大 会02eBPF可观测性落地实践第 二 届 e B P F 开 发 者 大 会 新特性可以快速加载，业务受影

2、响快速卸载 计算、网络、IO场景应用 专注于业务开发，提升开发效率演进时需要解决的问题第 二 届 e B P F 开 发 者 大 会用户态和内核态程序加载REST API内核态配置用户态配置eBPF-Agentlib.so 文件lib.so 文件用户态文件eBPF.o 文件eBPF.o 文件eBPF文件内核空间用户空间kprobeuprobetracepointftracehook支持远程和本地加载支持默认和声明解析支持.so链接库函数programs:-name:tcp_connlat path:file:/xxx/tcp_connlat.bpf.o type:ebpf_object -na

3、me:tcp_connlat_user path:http:/xxxx/tcp_connlat.so type:user_so properties:initfile:functions:-name:process type:default.支持用户函数初始化、调用前/后处理第 二 届 e B P F 开 发 者 大 会eBPF-Agentlib.so 文件lib.so 文件处理函数eBPF.o 文件eBPF.o 文件数据采集内核空间用户空间kprobeuprobetracepointftracehook支持kafka、本地文件及内嵌tsdb输出file或tsdb数据采集与消息处理支持数据采集

4、、消息通道与用户函数多对多关联处理支持全局配置和单独配置channels:tcp_connlat_events:type:ring_buffer events:-name:tcp_connlat_user hash:hash target_processor:process storage:kafka:true消息事件告警存储后端查询第 二 届 e B P F 开 发 者 大 会内核函数、用户函数、配置示例type TracerCtx struct CRingCtx uintptr CResCtx uintptr.RingCtx RingCtx ResCtx ResCtx type tcpCo

5、nnlatEvent struct Comm 16uint8 Pid uint32.Delta_time uint64func process(ctx uintptr)var event tcpConnlatEventvar saddr,daddr stringtraceCtx:=(*TracerCtx)(unsafe.Pointer(ctx)err:=binary.Read(bytes.NewBuffer(traceCtx.RingCtx.Data),binary.LittleEndian,&event).result:=mapstringanypid:event.Pid,.copy(tra

6、ceCtx.ResCtx.Data,resData:)struct _uint(type,BPF_MAP_TYPE_RINGBUF);_uint(max_entries,1 filename);第 二 届 e B P F 开 发 者 大 会演进方向-支持进程过滤与业务标识ContainerdSystemdxxx进程PodPodPodeBPF-Agentlib.so 文件lib.so 文件处理函数eBPF.o 文件eBPF.o 文件数据采集kprobeuprobetracepo