android平台eBPF初探

一、eBPF是什么

eBPF是extended BPF的缩写，而BPF是Berkeley Packet Filter的缩写。对linux网络比较熟悉的伙伴对BPF应该比较了解，它通过特定的语法规则使用基于寄存器的虚拟机来描述包过滤的行为。比较常用的功能是通过过滤来统计流量，tcpdump工具就是基于BPF实现的。而eBPF对它进行了扩展来实现更多的功能。

主要区别如下：

1） 允许使用 C 语言编写代码片段，并通过LLVM编译成eBPF 字节码；

2）cBPF 只实现了SOCKET_FILTER，而eBPF还有KPROBE 、PERF等。

3）BPF使用socket 实现了用户态与内核交互，eBPF 则定义了一个专用于eBPF 的新的系统调用，用于装载BPF 代码段、创建和读取BPF map，更加通用。

4）BPF map 机制，用于在内核中以key-value 的方式临时存储BPF 代码产生的数据。

对于 eBPF可以简单的理解成kernel实现了一个虚拟机机制，将类C代码编译成字节 码（后文有详细解释），挂在到内核的钩子上，当钩子被触发时，kernel在虚拟机的"沙盒"中运行字节码，这样既能方便的实现很多功能，也能通过沙箱保证内核的安全性。

二、eBPF能干什么

如果说 BPF专注于流量监控，那么eBPF主要专注的是性能领域，通过各种钩子，能在用户空间得到系统各种性能指标。可以大到监控系统整体的统计指标，也可以小到一个系统函数的运行时间。

这里需要提一下开源项目 BPF Compiler Collection (BCC)，这是一个很方便的基于eBPF的系统监视工具，下面这张BCC的说明图就能很好的说明我们使用eBPF能够做到的事。BCC在android系统上也可以运行，但是要对系统进行一定程度的修改，后续可能会写单独的文章进行讲解。对于内核开发者我还比较关注怎么自己来实现监控的功能，下文也将做简单的讲解。

从上图，我么可以看到， eBPF几乎能监控系统的所有方面：

1）应用及虚拟机的各种指标

2）系统库性能监控

3）kernel系统调用性能

4）文件系统性能

5）网络调用性能

6）CPU调度器性能

7）内存管理性能

8）中断性能

三、eBPF框架

在开始说明之前先解释下 eBPF上的名词，来帮忙更好的理解。

1）eBPF bytecode：将C语言写的钩子代码，通过clang编 译成二进制字节码，通过程序加载到内核中，钩子触发后在kernel "虚 拟机"中运行。

2）JIT: Just-in-time compilation，将字节码编译成本地机器码来提升运行速度，和Java中的概念类似。

3）Maps：钩子代码可以将一些统计类信息保存在键值对的map中，来与用户空间程序进行通信，传递数据。

关于 eBPF机制详细的讲解网上有很多，这里就不展开了，这里先上一张图，这里包括了使用或者编写ebpf涉及到的所有东西，下面会对这个图进行详细的讲解。

1）foo_kern.c 钩子实现代码，主要负责：

• 声明使用的 Map节点

• 声明钩子挂载点及处理函数

2）通过 LLVM/clang编译成字节码

编译命令： clang --target=bpf

android平台有集成eBPF的编译，后文会提到

3）foo_user.c 用户空间处理函数，主要负责：

• 将 foo_kern.c 编译成的字节码加载到kenel中

• 读取 Map中的信息并处理输出给用户

4）kernel当收到eBPF的加载请求时，会先对字节码进行验证，并通过JIT编译为机器码，当钩子事件来临后，调用钩子函数

kernel会对加载的字节码进行验证，来保证系统的安全性，主要验证规则如下：

a. 检查是否声明了 GNU GPL，检查kernel的版本是否支持

b. 函数调用规则：

• 允许 bpf函数之间的相互调用

• 只允许调用 kernel允许的BPF helper函数，具体可以参考linux/bpf.h文件

• 上述以外的函数及动态链接都是不允许的。

c. 流程处理规则：

• 不允许使用 loop循环以防止进入死循环卡死kernel

• 不允许有不可到达的分支代码

d. 堆栈大小被限制在 MAX_BPF_STACK范围内。

e. 编译的字节码大小被限制在 BPF_COMPLEXITY_LIMIT_INSNS范围内。

5)钩子挂载点，主要包括：

另外在 kernel的源代码中samples/bpf目录下有大量的示例，感兴趣的可以阅读下。

四、eBPF在Android平台的使用

经过上面枯燥的讲解，大家应该对 eBPF有了 基础的认识，下面我们就来通过 android平台上的一个监控性能的小例子来实操下。

这个小例子的需求是统计系统中每个应用在一段时间内系统调用的次数。

1.  android系统对eBPF的编译支持

目前 android编译系统已经对eBPF进行了集成，通过android.bp就能很方便的在android源代码中编译eBPF的字节码。

android.bp示例：

相关的编译代码在 soong的bpf.go，虽然google关于soong的文档很少，但是至少代码是比较清晰的。

这里的 $ccCmd一般是clang, 所以它的编译命令主要是clang --target=bpf。和普通的bpf编译没有区别。

2. eBPF钩子代码实现

解决了编译问题，下一步我们开始实现钩子代码，我们准备使用 tracepoint钩子，首先要找到我们需要的tracepoint函数sys_enter 和 sys_exit 。

函数定义在 include/trace/events/syscalls.h文件中

1）sys_enter的trace参数是id 和长度为6的数组。

2）sys_exit的trace参数是两个长整形数 id 和ret。

找到了钩子后，下一步就可以编写钩子处理代码了：

1）定义 map保存系统调用统计信息，在DEFINE_BPF_MAP声明map的同时，也会生成删，改，查的宏函数，例如本例中会生成如下函数

bpf_pid_syscall_map_lookup_elem

bpf_pid_syscall_map_update_elem

bpf_pid_syscall_map_delete_elem

2）定义回调函数参数类型，需要参考前面的 tracepoint的定义。

3）指定监听的 tracepoint事件。

4）使用 bpf_trace_printk函数打印debug信息，会直接打印信息到ftrace中。

5）在 map中查找指定key。

6）更新指定的 key的值。

3. 加载钩子代码

我们只需要把我们编译出来的 *.o文件push到手机的system/etc/bpf目录下，重启手机，系统会自动加载我们的钩子文件，加载成功后会在 /sys/fs/bpf目录下显示我们定义的map及prog文件。

系统加载代码在 system/bpf/bpfloader中，代码很简单。

主要有如下操作：

1）在 early-init阶段向下面两个节点写1

–  /proc/sys/net/core/bpf_jit_enable

使能 eBPF JIT，当内核设定BPF_JIT_ALWAYS_ON的时候，默认为1

– /proc/sys/net/core/bpf_jit_kallsyms

使特权用户可以通过 kallsyms节点读取kernel的symbols

2）启动 bpfloader service

–  读取 system/etc/bpf目录下的*.o文件，调用libbpf_android.so中的loadProg函数加载进内核。

–  生成相应的 /sys/fs/bpf/节点。

–  设置属性 bpf.progs_loaded为1

sys节点分为map节点和prog节点两种， 分别为map_<filename>_<mapname>, prog_<filename>_<mapname>

下面是 Android Q版本上的节点信息。

可以使用下面的命令调试动态加载

4. 用户空间程序实现

下面我们需要编写用户空间的显示程序，本质上就是在用户态通过系统调用把BPF map给读出来 。

1）eBPF统计只有在调用bpf_attach_tracepoint只有才会起作用。 bpf_attach_tracepoint是bcc里面的函数，android将bcc 的一部分内容打包成了 libbpf，放到了系统库里面。

2）取得 map的fd, bpf_obj_get会直接调用bpf的系统调用。

3）将 fd包装成BpfMap，android在BpfMap.h中定义了很多方便的函数。

4）遍历 map回调函数。返回值必须是android::netdutils::status::ok（在android的新版本中已经进行修改）。

5. 运行结果查看

直接在目录下执行 mm，将编译出来的bpf.o push到/system/etc/bpf目录下，将统计程序push到/system/bin目录下，重启，看下结果。

前面的是 pid， 后面的是系统调用次数。

至此，如何在android平台使用eBPF实现统计系统中每个pid在一段时间内系统调用的次数的功能就介绍完了。

此外还有很多技术细节没有深入研究，不过毕竟只是初探，就先讲到这里了，后续有时间再进一步深入研究。研究的时间还是比较短，如果有任何错误的地方欢迎指正。

参考资料

eBPF 简史 （下篇） ：

https://cloud.tencent.com/developer/article/1006318

goolge原生使用ebpf的两篇文章 ：

https://source.android.com/devices/architecture/kernel/bpf

https://source.android.com/devices/tech/datausage/ebpf-traffic-monitor

BCC ：

https://github.com/iovisor/bcc

长按关注

内核工匠微信

Linux 内核黑科技 | 技术文章 | 精选教程