#eBPF

DeepFlow项目为复杂的云原生与AI应用提供深度可观测性，通过eBPF实现零代码数据采集，涵盖全栈关联和高效访问所有观测数据。主要功能包括通用服务地图、零代码分布式追踪、连续函数分析和与主流观测堆栈的无缝集成。DeepFlow帮助开发者简化代码监测，为DevOps/SRE团队提供全面的监控与诊断能力。

本教程基于CO-RE技术，从基础到高级，提供eBPF开发的实际案例，包括基础概念、代码示例和真实应用。使用libbpf、Cilium、libbpf-rs和eunomia-bpf框架，涵盖C、Go和Rust语言示例，帮助开发者掌握eBPF开发方法，应用于观测、网络和安全等领域。

Cilium 是基于 eBPF 技术的网络、可观测性和安全解决方案。它提供第 3 层网络功能,支持跨多集群的路由。Cilium 能感知 L7 协议,在 L3-L7 层实施基于身份的安全策略。此外,它还具备负载均衡、网关、带宽管理等功能,并提供网络和安全的可视化与监控能力。

bpftrace是适用于Linux eBPF的高级跟踪语言，专为最新Linux内核设计。它通过LLVM将脚本编译为BPF字节码，并利用libbpf和bcc与Linux BPF系统交互。支持内核和用户级动态跟踪、跟踪点等功能，语法融合了awk、C和DTrace等工具的特点。bpftrace为系统性能分析和调试提供了强大而灵活的工具，适合系统管理员和开发人员使用。

Anteon是开源的Kubernetes监控和性能测试平台，基于eBPF技术。它无需代码修改即可自动生成集群服务地图，提供实时性能洞察和异常警报。该平台集成多地点性能测试，简化监控流程，助力开发者快速定位系统瓶颈，有效提升工作效率。

eCapture是一个基于eBPF技术的网络安全分析工具，能够在无需CA证书的情况下捕获SSL/TLS加密通信内容。该工具支持OpenSSL、GnuTLS等多种加密库，并提供Bash命令和数据库查询审计功能。eCapture主要用于Linux和Android系统，具有pcap、keylog和文本输出等多种捕获模式，为网络安全分析和系统审计提供便利。

Retina作为Kubernetes网络可观测性平台，集成了应用健康、网络状况和安全监控功能。该开源工具采用eBPF技术，实现了可定制的遥测数据采集，并支持多种数据存储和可视化选项。Retina的核心优势包括灵活配置、标准化指标和高效的数据包捕获，可在各类云环境和操作系统中部署使用，为网络管理和DevOps团队提供全面的可观测性支持。

opentelemetry-ebpf-profiler是一款Linux系统性能分析工具，采用eBPF技术实现全系统跨语言分析。它具有低系统开销、支持多种编程语言、无需调试信息即可分析原生代码等优势。该项目实现了OpenTelemetry实验性分析信号，提供从内核空间到高级语言的混合堆栈跟踪。无需修改目标进程或重启系统，即可进行高效的性能分析。

Coroot是一个开源的智能可观测性平台，利用eBPF技术自动收集系统数据，无需代码修改。该平台提供服务地图、应用健康摘要、分布式追踪、日志分析和性能剖析等功能。Coroot可自动识别大部分系统问题，并具备部署跟踪和成本监控功能，协助开发人员快速诊断和解决问题，提升应用性能。

bpftime是一个功能完善的eBPF用户态运行时，提供高性能的Uprobe和系统调用钩子。其用户态Uprobe较内核Uprobe快10倍，能安全高效地钩住进程的所有系统调用。该项目兼容现有eBPF工具链，支持跨平台JIT编译，可动态注入运行中的进程，并能与内核eBPF协作。bpftime为系统监控和性能分析提供了强大支持。

Tracee是一款运行时安全和可观察性工具，用于监控和分析系统及应用程序行为。它基于eBPF技术，能够捕获从普通系统活动到复杂安全事件的各类信息，有助于识别可疑行为模式。该工具兼容Docker和Kubernetes环境，支持多数常见Linux发行版和内核。Tracee提供快速入门指南和详细安装文档，是Aqua Security旗下的开源项目。

Hades是一款主机入侵检测系统（HIDS），基于eBPF和netlink技术开发。该系统提供21个eBPF钩子，监控系统调用、网络连接和文件操作等关键事件。Hades具备多种收集器功能，包括进程、定时任务、SSH配置等，并支持实时监控。目前项目处于积极开发阶段，旨在提供全面的主机安全监控和分析能力。

ebpf-go是一个纯Go实现的eBPF开发库，提供eBPF程序加载、编译和调试功能。该库依赖少，适合长期运行的进程。它包含多个实用包，如用于编写eBPF汇编的asm、用于编译和嵌入C语言eBPF程序的cmd/bpf2go，以及用于eBPF程序附加的link。ebpf-go兼容最新Go版本，并在kernel.org长期支持版本上进行持续集成测试。

awesome-ebpf收录了eBPF相关的优质项目。eBPF作为Linux内核中的虚拟机，允许用户空间程序在内核中安全运行，提升了网络处理、系统监控等任务的性能和灵活性。该列表涵盖eBPF的文档、教程、工具、项目和应用，为开发者提供了全面的学习资源。