eBPF là gì? Lập trình kernel Linux từ user-space

eBPF (Extended Berkeley Packet Filter) là công nghệ cho phép chạy code trong kernel Linux một cách an toàn, không cần load kernel module. Ban đầu eBPF chỉ dùng để lọc packet mạng, nhưng giờ đã trở thành nền tảng cho observability, security, networking và hiệu năng. Các công ty như Meta, Netflix, Isovalent đều triển khai eBPF quy mô lớn.

Ưu điểm lớn nhất của eBPF là safety. Code chạy trong verifier — bộ kiểm tra tĩnh đảm bảo không có vòng lặp vô hạn, không truy cập bộ nhớ ngoài phạm vi, và luôn kết thúc. Nhờ đó, eBPF không làm crash kernel ngay cả khi code lỗi. Điều này khác biệt hoàn toàn với kernel module truyền thống, chỉ cần lỗi nhỏ cũng có thể gây panic toàn hệ thống.

Cách eBPF hoạt động bên trong

eBPF program được compile thành bytecode, sau đó inject vào kernel thông qua syscall bpf(). Verifier chạy kiểm tra tĩnh: đảm bảo mọi lệnh đều reachable, không có undefined behavior, stack usage trong giới hạn. Nếu qua verifier, JIT compiler chuyển bytecode thành machine code native.

Các hook point phổ biến:

XDP (eXpress Data Path): Xử lý packet trước khi vào network stack — dùng cho DDoS mitigation, load balancing, monitoring.
kprobes/tracepoints: Hook vào hàm kernel hoặc điểm trace để thu thập metrics — dùng cho observability.
cgroups: Giám sát và giới hạn tài nguyên theo nhóm tiến trình.
LSM (Linux Security Modules): Hooks bảo mật như SELinux/AppArmor.

Ứng dụng thực tế

Networking: Cilium dùng eBPF để thay thế iptables, cung cấp load balancing L4/L7, network policy và observability cho Kubernetes. Isovalent (bây giờ Cisco) triển khai Cilium enterprise. Meta dùng eBPF cho Katran load balancer, xử lý hàng triệu request mỗi giây.

Observability: Pixie (bây giờ New Relic) dùng eBPF để auto-instrument ứng dụng mà không cần code change — thu thập network metrics, database queries, application profiles. Hubble là CNCF project cung cấp observability cho Cilium.

Security: Falco dùng eBPF để phát hiện anomal behavior trong runtime — truy cập file bất thường, process injection, privilege escalation. Tetragon là CNCF project mới của Cilium cho security monitoring.

Công cụ và ecosystem

Libbpf là thư viện userspace để load và quản lý eBPF program. BCC (BPF Compiler Collection) cung cấp high-level API với Python, Lua — phù hợp prototyping nhanh. BPFtrace là công cụ dạng DTrace cho Linux, cho phép viết one-liner tracing.

CO-RE (Compile Once — Run Everywhere) là bước đột phá mới, cho phép compile eBPF program một lần và chạy trên mọi kernel version. BPF skeleton tự động generate header từ BTF (BPF Type Format), giải quyết vấn đề compatibility giữa userspace và kernel.

eBPF vs Kernel Module

So sánh eBPF với kernel module truyền thống cho thấy sự khác biệt rõ rệt. Kernel module cần compile phù hợp kernel version, có quyền truy cập toàn bộ kernel memory, và lỗi có thể gây kernel panic. Ngược lại, eBPF chạy trong sandbox với verifier kiểm tra static safety, JIT compile để hiệu năng tương đương native code, và không cần load module — hệ thống ổn định hơn.

Tuy nhiên, eBPF không phải giải pháp cho mọi bài toán. Nếu cần thay đổi cấu trúc kernel sâu hoặc thêm system call mới, vẫn cần kernel module. eBPF phù hợp nhất cho use case networking, security, và observability — nơi cần linh hoạt cao mà không muốn rủi ro ổn định.

eBPF còn có hạn chế về stack size (512 bytes) và số lệnh tối đa (1 triệu). Điều này có nghĩa là program phức tạp cần được chia nhỏ hoặc dùng tail calls. Với các tính năng mới như BPF ringbuf, per-CPU maps, và helpers functions, eBPF đang mở rộng khả năng nhanh hơn.

Tương lai của eBPF: Wasm trong Kernel

Một hướng phát triển thú vị là chạy WebAssembly (Wasm) bên trong kernel thông qua eBPF. Các project như bpftime cho phép chạy Wasm module trong user-space với eBPF backend, mở ra khả năng dùng bất kỳ ngôn ngữ nào compile được sang Wasm (Rust, C++, Go) để viết eBPF program. Điều này giảm barrier to entry cho developer muốn tận dụng eBPF mà không cần nắm C kernel.

Kernel 6.10+ đã bắt đầu hỗ trợ bpf_vm hỗ trợ Wasm bytecode trực tiếp. Kết hợp với CO-RE, Wasm-eBPF có thể trở thành standard mới cho observability và security tooling, nơi plugin có thể được viết bằng Rust, Go, hoặc AssemblyScript và chạy an toàn trong kernel sandbox.

Hướng dẫn bắt đầu với eBPF

Để bắt đầu với eBPF, bạn có thể dùng BCC với Python hoặc bpftrace cho quick prototyping. Ví dụ đơn giản: đếm số lần system call execve trên toàn hệ thống. Để phát triển chuyên nghiệp, libbpf + clang LLVM là bộ công cụ chuẩn. CO-RE skeleton generator tự động tạo header từ BTF info, cho phép compile một lần chạy mọi kernel version.

eBPF cũng hoạt động tốt với Kubernetes. Bạn có thể triển khai Cilium cho network policy, Hubble cho observability, và Tetragon cho security monitoring — tất cả dựa trên eBPF, không cần thay đổi application code. Đây là lý do nhiều cloud provider như AWS, GCP, và Azure đang hỗ trợ eBPF native.