如果说过去十年 Linux 内核是一座"只能远观、不可擅改"的城堡，那么 eBPF（extended Berkeley Packet Filter）就是为这座城堡开的一扇"安全侧门"——它允许你在不修改内核源码、不加载易崩溃的内核模块的前提下，把小程序安全地注入内核运行时，从而在系统调用、网络数据包、内核追踪点等最底层的位置做观测、做网络、做安全、做性能分析。这让 eBPF 成为近年来编程世界最具革命性的底层技术之一，被 Isovalent 联合创始人称为"近 15 年来击中 Linux 内核的最了不起的技术"。
本期为编程与开发分类第 2 轮精选，聚焦 eBPF 内核可编程 这一完全独立于已覆盖主题（Rust/WASM/前端/数据库/并发/编译器/低延迟）的方向。我们从 YouTube 海量内容中精选 7 个最具代表性的频道与演讲，覆盖从入门概念、起源历史，到火焰图性能分析、Cilium 网络数据面、Tetragon 运行时安全、Service Mesh 的完整光谱。
核心发现：eBPF 的学习曲线呈"概念易、工程难"特征——理解"内核可编程"一句话只需 5 分钟，但真正掌握 Verifier 验证器、CO-RE 一次编译到处运行、Maps 数据结构、Hook 挂载点选择，需要大量实战。因此优质 YouTube 内容的价值在于：用可视化拆解内核黑盒、用真实 Demo 代替枯燥文档、用专家视角讲清"为什么这样设计"。本期 7 强恰好覆盖这三条价值路径。
| # | 频道/视频 | 主理人/出品方 | 内容定位 | 技术深度 | 适合人群 |
|---|---|---|---|---|---|
| 1 | Liz Rice 个人频道与演讲 | Liz Rice（Isovalent/Cisco 首席开源官） | eBPF 原理与 Cilium 实战 | 中高 | 云原生工程师 |
| 2 | Brendan Gregg 频道 | Brendan Gregg（Netflix/Intel，性能观测泰斗） | eBPF 性能分析与火焰图 | 高 | SRE/性能工程师 |
| 3 | eBPF & Cilium Community 官方频道 | Isovalent/CNCF 社区 | 官方教程与生态汇总 | 中 | 全水平学习者 |
| 4 | eCHO 节目（Office Hours） | Duffie Cooley、Liz Rice 等 | 每周直播实战 | 高 | 已入门进阶者 |
| 5 | "What is eBPF?" 经典入门 | Isovalent 出品 | 5 分钟概念入门 | 低 | 零基础/决策者 |
| 6 | The eBPF Documentary | eBPF Foundation | 起源历史与人物 | 低中 | 所有人/文化爱好者 |
| 7 | eBPF Technical Talks 合集 | CNCF/KubeCon/InfoQ | 网络与 Service Mesh 深潜 | 高 | 平台架构师 |
代表演讲：Liz Rice on Programming the Linux Kernel with eBPF（InfoQ 出品）｜ 个人频道：@LizRice
Liz Rice 是 Isovalent（已被 Cisco 收购）首席开源官，被公认为 eBPF/Cilium 领域最会"讲课"的专家。她的核心洞察是：eBPF 让内核从"静态固化"走向"动态可编程"——传统做法要么改内核源码等几年合并，要么写内核模块（kernel module）一旦有 bug 就整机崩溃；eBPF 通过"沙箱化的安全小程序"打破了这一两难。
在 InfoQ 这场对谈中，她从"为什么传统观测工具又慢又贵"切入，解释 eBPF 程序如何挂载到内核 Hook 点、用 Verifier 做静态安全验证、再经 JIT 编译为原生机器码以接近零开销运行。她还现场演示 Cilium 如何用 eBPF 替代 kube-proxy 做更高效的 Kubernetes 服务负载均衡。
实用价值：云原生工程师能从此建立"数据面下沉到内核"的心智模型，理解为何 Service Mesh 从 sidecar 模式向 eBPF 无 sidecar 模式演进。适合人群：有 Kubernetes 基础、想理解 Cilium 底层原理的中高级工程师。她的个人频道订阅虽不多（数千级），但其演讲散布于 CNCF、InfoQ、DevOps Toolkit 等大频道，累计播放数十万次。
代表演讲：eBPF: Fueling New Flame Graphs & more（YOW! 2022）｜ 频道：brendangregg
Brendan Gregg 是系统性能分析领域的泰斗，曾在 Netflix 任高级性能架构师，现于 Intel 推进 eBPF 性能工具。火焰图（Flame Graph）正是他的发明，而 eBPF 让火焰图从"采样粗糙"进化到"全栈精确"。他频道中《Linux Performance Tools》单条播放达 18.5 万次，是该领域标杆内容。
这场 YOW! 演讲的核心是：eBPF 让性能分析从"盲人摸象"变为"全景透视"。他展示了如何用 bpftrace、bcc 工具集采集 CPU 栈、系统调用、内存分配等事件，再渲染成火焰图，一眼定位热点函数。更前沿的是他近期推动的"AI 火焰图"（AI flame graphs with eBPF）——把 GPU/AI 训练的算子栈也纳入 eBPF 可观测范围。
实用价值：SRE 与性能工程师可直接拿来排查生产环境 CPU 飙高、延迟毛刺、锁竞争等疑难问题，方法论比工具本身更值得学。适合人群：有 Linux 性能调优基础、负责线上稳定性的工程师。他对"USE 方法""60 秒快速分析清单"等框架的讲解已成行业标配。
频道地址：youtube.com/eBPFCiliumCommunity
这是由 Isovalent 与 CNCF 社区共同维护的官方频道，定位是"无论你是刚听说 eBPF，还是资深内核开发者，都能找到匹配内容"。它的价值不在单条爆款，而在于生态全貌的系统性整理：从"What is eBPF?"系列入门，到 Cilium 网络策略、Hubble 可观测、Tetragon 安全、Service Mesh 的进阶专题，再到 eBPF Summit 峰会全部录像，构成一条完整学习路径。
频道把碎片化的社区内容按主题归档，避免了初学者"看完一个视频不知下一个该看什么"的困境。配套的 ebpf.io 官方文档与 eunomia-bpf 开发教程（基于 CO-RE，从第一个程序到 Maps/追踪的渐进式实战）与之互补。
实用价值：作为"学习导航中枢"，帮助读者规划 1–3 个月的 eBPF 系统学习路径。适合人群：所有水平，尤其适合需要团队统一培训材料的 tech lead。
节目主页：eCHO - eBPF & Cilium Office Hours（已更新 200+ 期）｜ 主持：Duffie Cooley、Liz Rice 等
eCHO 名字取自"eBPF & Cilium Office Hours"，灵感来自著名的 TGIK（TGI Kubernetes）。它是每周固定直播，由 Isovalent 工程师（以 Duffie Cooley 为主，Liz Rice 等轮值）现场敲命令、现场排错，这种"不做剪辑的真实工程过程"是其最大特色。
节目内容极具时效性：Cilium 每个新版本（如 1.15）发版后会立即有专题解读；eBPF Summit 的 CTF（夺旗赛）题目会被逐题拆解（见 eCHO Episode 64）；还会深入 Terraform + Cilium、多集群网络等真实部署场景。由于是直播连麦，观众提问常被当场解答，保留了"课堂互动感"。
实用价值：把"读文档"变成"跟着高手一起敲"，对动手能力提升最快；排错过程尤其能学到教科书不写的工程直觉。适合人群：已理解 eBPF 概念、想在真实集群中落地的进阶学习者。
视频地址：What is eBPF?｜ 出品：Isovalent
这是全网传播最广的 eBPF 入门概念片之一，适合作为"第一课"。它的巧妙之处在于用一句话点破本质：eBPF 之于 Linux 内核，类似 JavaScript 之于网页——后者让浏览器从静态文档变成可交互应用，前者让内核从静态基础设施变成可编程数据面。
视频用动画讲清四件事：①内核 Hook 点（系统调用、网络栈、追踪点）是 eBPF 程序的"挂载入口"；②Verifier 在加载时静态检查，保证程序不会死循环、不会越界访问内核内存，这是"安全"的根基；③JIT 把字节码编译为原生码，性能开销极低；④通过 Maps 在内核态与用户态间高效交换数据。配套的 Isovalent 视频库还有《eBPF Explained: How to Safely Program the Linux Kernel》等延伸。
实用价值：决策者与团队新人能在极短时间内达成对 eBPF 的共识，避免被"内核编程=危险"的偏见劝退。适合人群：零基础学习者、需要向非技术同事解释 eBPF 的工程师、技术选型决策者。
资源地址：ebpf.io（eBPF 纪录片）｜ 出品：eBPF Foundation
不同于上述偏工程的内容，这部纪录片讲述 eBPF 的起源与演化史：从早年 BSD 的 BPF（伯克利包过滤器，用于抓包）讲起，到 Alexei Starovoitov 等人在 2014 年前后将其扩展为 eBPF 并合入 Linux 内核，再到 Cilium、Pixie、Tetragon、Falco 等生态项目的诞生。
它回答了一个深层问题：为什么一项"内核技术"能催生出一个数十亿美元的产业（Isovalent 被 Cisco 收购）？答案在于 eBPF 把"内核扩展能力"从少数内核维护者的特权，民主化给了全体云原生开发者——任何人都能写小程序观测自己的系统，而无需等待上游。片中多位核心贡献者的访谈，也展现了开源协作如何推动底层基础设施演进。
实用价值：建立技术纵深感，理解一项技术"从哪来、为何而生、往哪去"，对做技术选型与长期判断极有帮助。适合人群：所有人，尤其是喜欢"技术人文"叙事、想理解产业脉络的读者。
合集地址：eBPF Technical Talks 播放列表（CNCF/KubeCon/InfoQ 精选）
这是汇集 KubeCon、CNCF、InfoQ 等顶级会议 eBPF 演讲的精选合集，定位是架构级深潜。代表内容包括 Thomas Graf（Cilium 联合创始人、eBPF 网络化的关键推动者）对"用 eBPF 重构 Kubernetes 数据面"的系统阐述，以及多个团队分享用 Cilium 替代 kube-proxy、用 eBPF 实现 Service Mesh 的生产经验。
合集的核心价值是讲透"为什么 eBPF 比 sidecar 更优"：传统 Service Mesh 每个 Pod 注入一个 sidecar 代理，带来额外内存、延迟与运维复杂度；而 eBPF 把流量治理逻辑下沉到内核 socket 层，实现"无 sidecar"或"sidecar-less"模式，在大规模集群中显著降本。多场真实落地分享给出性能对比数据与踩坑经验。
实用价值：平台架构师据此评估"是否上 Cilium、何时从 sidecar 迁移"，并学习生产级网络策略设计。适合人群：负责 K8s 网络架构、Service Mesh 选型的资深工程师与架构师。
graph TD
A[eBPF 内核可编程] --> B[核心机制]
A --> C[工具链]
A --> D[应用场景]
A --> E[学习路径]
B --> B1[Verifier 安全验证器]
B --> B2[JIT 即时编译]
B --> B3[Hook 挂载点]
B --> B4[Maps 内核/用户态数据交换]
B --> B5[CO-RE 一次编译到处运行]
C --> C1[bcc 工具集]
C --> C2[libbpf C 库]
C --> C3[bpftrace 追踪语言]
D --> D1[可观测性 Observability]
D --> D2[网络 Networking]
D --> D3[安全 Security]
D --> D4[性能 Performance]
D1 --> D1a[Cilium / Hubble]
D1 --> D1b[Pixie]
D2 --> D2a[Cilium 数据面 替代 kube-proxy]
D2 --> D2b[Service Mesh 无 sidecar]
D3 --> D3a[Tetragon 运行时防护]
D3 --> D3b[Falco]
D4 --> D4a[火焰图 Flame Graph]
E --> E1[入门: What is eBPF? + 纪录片]
E --> E2[进阶: eCHO 实战 + 官方频道]
E --> E3[专家: Brendan Gregg + Technical Talks]
理解上述内容后，下面这张流程图展示一段 eBPF 代码从编写到运行的完整链路，也是所有视频反复演示的核心模型：
flowchart LR
S1[编写 C 代码] --> S2[Clang/LLVM 编译为 BPF 字节码]
S2 --> S3[加载到内核]
S3 --> S4{Verifier 验证}
S4 -->|通过| S5[JIT 编译为机器码]
S4 -->|失败| F[拒绝加载 保护内核]
S5 --> S6[挂载到 Hook 点]
S6 --> S7[事件触发执行]
S7 --> S8[经 Maps 与用户态交互]
S8 --> S9[用户态工具展示数据]
这张图解释了 eBPF "安全"与"高效"的两大承诺从何而来：Verifier 在加载时挡住危险程序，JIT 在运行时保证速度。掌握它，就掌握了判断任何 eBPF 工具合理性的底层标尺。
本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵爱卫生（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。
[!tip] 51学通信知识星球 星主：爱卫生（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 星球定位：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 当前规模：5200 篇主题 / 990 个回答，198 元/年。 加入福利：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 AI 加持：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。