# eBPF 内核可编程革命：七大 YouTube 频道深度精读 ## 本期概述 如果说过去十年 Linux 内核是一座"只能远观、不可擅改"的城堡，那么 eBPF（extended Berkeley Packet Filter）就是为这座城堡开的一扇"安全侧门"——它允许你在**不修改内核源码、不加载易崩溃的内核模块**的前提下，把小程序安全地注入内核运行时，从而在系统调用、网络数据包、内核追踪点等最底层的位置做观测、做网络、做安全、做性能分析。这让 eBPF 成为近年来编程世界最具革命性的底层技术之一，被 Isovalent 联合创始人称为"近 15 年来击中 Linux 内核的最了不起的技术"。 本期为编程与开发分类第 2 轮精选，聚焦 **eBPF 内核可编程** 这一完全独立于已覆盖主题（Rust/WASM/前端/数据库/并发/编译器/低延迟）的方向。我们从 YouTube 海量内容中精选 7 个最具代表性的频道与演讲，覆盖从入门概念、起源历史，到火焰图性能分析、Cilium 网络数据面、Tetragon 运行时安全、Service Mesh 的完整光谱。 **核心发现**：eBPF 的学习曲线呈"概念易、工程难"特征——理解"内核可编程"一句话只需 5 分钟，但真正掌握 Verifier 验证器、CO-RE 一次编译到处运行、Maps 数据结构、Hook 挂载点选择，需要大量实战。因此优质 YouTube 内容的价值在于：用可视化拆解内核黑盒、用真实 Demo 代替枯燥文档、用专家视角讲清"为什么这样设计"。本期 7 强恰好覆盖这三条价值路径。 ## 七强对比总览 | # | 频道/视频 | 主理人/出品方 | 内容定位 | 技术深度 | 适合人群 | |---|----------|--------------|---------|---------|---------| | 1 | Liz Rice 个人频道与演讲 | Liz Rice（Isovalent/Cisco 首席开源官） | eBPF 原理与 Cilium 实战 | 中高 | 云原生工程师 | | 2 | Brendan Gregg 频道 | Brendan Gregg（Netflix/Intel，性能观测泰斗） | eBPF 性能分析与火焰图 | 高 | SRE/性能工程师 | | 3 | eBPF & Cilium Community 官方频道 | Isovalent/CNCF 社区 | 官方教程与生态汇总 | 中 | 全水平学习者 | | 4 | eCHO 节目（Office Hours） | Duffie Cooley、Liz Rice 等 | 每周直播实战 | 高 | 已入门进阶者 | | 5 | "What is eBPF?" 经典入门 | Isovalent 出品 | 5 分钟概念入门 | 低 | 零基础/决策者 | | 6 | The eBPF Documentary | eBPF Foundation | 起源历史与人物 | 低中 | 所有人/文化爱好者 | | 7 | eBPF Technical Talks 合集 | CNCF/KubeCon/InfoQ | 网络与 Service Mesh 深潜 | 高 | 平台架构师 | ## 逐个深度解读 ### 1. Liz Rice：把 Linux 内核变成"可编程平台" **代表演讲**：[Liz Rice on Programming the Linux Kernel with eBPF](https://www.youtube.com/watch?v=ubFPPcY8Ev4)（InfoQ 出品）｜ **个人频道**：[@LizRice](https://www.youtube.com/@LizRice) Liz Rice 是 Isovalent（已被 Cisco 收购）首席开源官，被公认为 eBPF/Cilium 领域最会"讲课"的专家。她的核心洞察是：**eBPF 让内核从"静态固化"走向"动态可编程"**——传统做法要么改内核源码等几年合并，要么写内核模块（kernel module）一旦有 bug 就整机崩溃；eBPF 通过"沙箱化的安全小程序"打破了这一两难。 在 InfoQ 这场对谈中，她从"为什么传统观测工具又慢又贵"切入，解释 eBPF 程序如何挂载到内核 Hook 点、用 Verifier 做静态安全验证、再经 JIT 编译为原生机器码以接近零开销运行。她还现场演示 Cilium 如何用 eBPF 替代 kube-proxy 做更高效的 Kubernetes 服务负载均衡。 **实用价值**：云原生工程师能从此建立"数据面下沉到内核"的心智模型，理解为何 Service Mesh 从 sidecar 模式向 eBPF 无 sidecar 模式演进。**适合人群**：有 Kubernetes 基础、想理解 Cilium 底层原理的中高级工程师。她的个人频道订阅虽不多（数千级），但其演讲散布于 CNCF、InfoQ、DevOps Toolkit 等大频道，累计播放数十万次。 ### 2. Brendan Gregg：eBPF 火焰图与性能观测之父 **代表演讲**：[eBPF: Fueling New Flame Graphs & more](https://www.youtube.com/watch?v=HKQR7wVapgk)（YOW! 2022）｜ **频道**：[brendangregg](https://www.youtube.com/brendangregg/videos) Brendan Gregg 是系统性能分析领域的泰斗，曾在 Netflix 任高级性能架构师，现于 Intel 推进 eBPF 性能工具。火焰图（Flame Graph）正是他的发明，而 eBPF 让火焰图从"采样粗糙"进化到"全栈精确"。他频道中《Linux Performance Tools》单条播放达 18.5 万次，是该领域标杆内容。 这场 YOW! 演讲的核心是：**eBPF 让性能分析从"盲人摸象"变为"全景透视"**。他展示了如何用 bpftrace、bcc 工具集采集 CPU 栈、系统调用、内存分配等事件，再渲染成火焰图，一眼定位热点函数。更前沿的是他近期推动的"AI 火焰图"（[AI flame graphs with eBPF](https://www.youtube.com/watch?v=W4IaI-OEFf8)）——把 GPU/AI 训练的算子栈也纳入 eBPF 可观测范围。 **实用价值**：SRE 与性能工程师可直接拿来排查生产环境 CPU 飙高、延迟毛刺、锁竞争等疑难问题，方法论比工具本身更值得学。**适合人群**：有 Linux 性能调优基础、负责线上稳定性的工程师。他对"USE 方法""60 秒快速分析清单"等框架的讲解已成行业标配。 ### 3. eBPF & Cilium Community：官方一站式学习枢纽 **频道地址**：[youtube.com/eBPFCiliumCommunity](https://www.youtube.com/eBPFCiliumCommunity) 这是由 Isovalent 与 CNCF 社区共同维护的官方频道，定位是"无论你是刚听说 eBPF，还是资深内核开发者，都能找到匹配内容"。它的价值不在单条爆款，而在于**生态全貌的系统性整理**：从"What is eBPF?"系列入门，到 Cilium 网络策略、Hubble 可观测、Tetragon 安全、Service Mesh 的进阶专题，再到 eBPF Summit 峰会全部录像，构成一条完整学习路径。 频道把碎片化的社区内容按主题归档，避免了初学者"看完一个视频不知下一个该看什么"的困境。配套的 [ebpf.io](https://ebpf.io/get-started/) 官方文档与 [eunomia-bpf 开发教程](https://github.com/eunomia-bpf/bpf-developer-tutorial)（基于 CO-RE，从第一个程序到 Maps/追踪的渐进式实战）与之互补。 **实用价值**：作为"学习导航中枢"，帮助读者规划 1–3 个月的 eBPF 系统学习路径。**适合人群**：所有水平，尤其适合需要团队统一培训材料的 tech lead。 ### 4. eCHO：每周一次的 eBPF 实战直播课 **节目主页**：[eCHO - eBPF & Cilium Office Hours](https://www.youtube.com/playlist?list=PLDg_GiBbAx-mY3VFLPbLHcxo6wUjejAOC)（已更新 200+ 期）｜ **主持**：Duffie Cooley、Liz Rice 等 eCHO 名字取自"eBPF & Cilium Office Hours"，灵感来自著名的 TGIK（TGI Kubernetes）。它是每周固定直播，由 Isovalent 工程师（以 Duffie Cooley 为主，Liz Rice 等轮值）**现场敲命令、现场排错**，这种"不做剪辑的真实工程过程"是其最大特色。 节目内容极具时效性：Cilium 每个新版本（如 1.15）发版后会立即有专题解读；eBPF Summit 的 CTF（夺旗赛）题目会被逐题拆解（见 eCHO Episode 64）；还会深入 Terraform + Cilium、多集群网络等真实部署场景。由于是直播连麦，观众提问常被当场解答，保留了"课堂互动感"。 **实用价值**：把"读文档"变成"跟着高手一起敲"，对动手能力提升最快；排错过程尤其能学到教科书不写的工程直觉。**适合人群**：已理解 eBPF 概念、想在真实集群中落地的进阶学习者。 ### 5. "What is eBPF?"：5 分钟建立正确心智模型 **视频地址**：[What is eBPF?](https://www.youtube.com/watch?v=Q921W9oePjo)｜ **出品**：Isovalent 这是全网传播最广的 eBPF 入门概念片之一，适合作为"第一课"。它的巧妙之处在于用一句话点破本质：**eBPF 之于 Linux 内核，类似 JavaScript 之于网页**——后者让浏览器从静态文档变成可交互应用，前者让内核从静态基础设施变成可编程数据面。 视频用动画讲清四件事：①内核 Hook 点（系统调用、网络栈、追踪点）是 eBPF 程序的"挂载入口"；②Verifier 在加载时静态检查，保证程序不会死循环、不会越界访问内核内存，这是"安全"的根基；③JIT 把字节码编译为原生码，性能开销极低；④通过 Maps 在内核态与用户态间高效交换数据。配套的 [Isovalent 视频库](https://isovalent.com/videos/what-is-ebpf/)还有《eBPF Explained: How to Safely Program the Linux Kernel》等延伸。 **实用价值**：决策者与团队新人能在极短时间内达成对 eBPF 的共识，避免被"内核编程=危险"的偏见劝退。**适合人群**：零基础学习者、需要向非技术同事解释 eBPF 的工程师、技术选型决策者。 ### 6. The eBPF Documentary：技术背后的历史与人物 **资源地址**：[ebpf.io](https://ebpf.io/)（eBPF 纪录片）｜ **出品**：eBPF Foundation 不同于上述偏工程的内容，这部纪录片讲述 eBPF 的**起源与演化史**：从早年 BSD 的 BPF（伯克利包过滤器，用于抓包）讲起，到 Alexei Starovoitov 等人在 2014 年前后将其扩展为 eBPF 并合入 Linux 内核，再到 Cilium、Pixie、Tetragon、Falco 等生态项目的诞生。 它回答了一个深层问题：**为什么一项"内核技术"能催生出一个数十亿美元的产业（Isovalent 被 Cisco 收购）？**答案在于 eBPF 把"内核扩展能力"从少数内核维护者的特权，民主化给了全体云原生开发者——任何人都能写小程序观测自己的系统，而无需等待上游。片中多位核心贡献者的访谈，也展现了开源协作如何推动底层基础设施演进。 **实用价值**：建立技术纵深感，理解一项技术"从哪来、为何而生、往哪去"，对做技术选型与长期判断极有帮助。**适合人群**：所有人，尤其是喜欢"技术人文"叙事、想理解产业脉络的读者。 ### 7. eBPF Technical Talks：网络与 Service Mesh 深潜 **合集地址**：[eBPF Technical Talks 播放列表](https://www.youtube.com/playlist?list=PLDg_GiBbAx-lJRPROcSadWaI_5sZ_kfpi)（CNCF/KubeCon/InfoQ 精选） 这是汇集 KubeCon、CNCF、InfoQ 等顶级会议 eBPF 演讲的精选合集，定位是**架构级深潜**。代表内容包括 Thomas Graf（Cilium 联合创始人、eBPF 网络化的关键推动者）对"用 eBPF 重构 Kubernetes 数据面"的系统阐述，以及多个团队分享用 Cilium 替代 kube-proxy、用 eBPF 实现 Service Mesh 的生产经验。 合集的核心价值是**讲透"为什么 eBPF 比 sidecar 更优"**：传统 Service Mesh 每个 Pod 注入一个 sidecar 代理，带来额外内存、延迟与运维复杂度；而 eBPF 把流量治理逻辑下沉到内核 socket 层，实现"无 sidecar"或"sidecar-less"模式，在大规模集群中显著降本。多场真实落地分享给出性能对比数据与踩坑经验。 **实用价值**：平台架构师据此评估"是否上 Cilium、何时从 sidecar 迁移"，并学习生产级网络策略设计。**适合人群**：负责 K8s 网络架构、Service Mesh 选型的资深工程师与架构师。 ## eBPF 知识结构图 ```mermaid graph TD A[eBPF 内核可编程] --> B[核心机制] A --> C[工具链] A --> D[应用场景] A --> E[学习路径] B --> B1[Verifier 安全验证器] B --> B2[JIT 即时编译] B --> B3[Hook 挂载点] B --> B4[Maps 内核/用户态数据交换] B --> B5[CO-RE 一次编译到处运行] C --> C1[bcc 工具集] C --> C2[libbpf C 库] C --> C3[bpftrace 追踪语言] D --> D1[可观测性 Observability] D --> D2[网络 Networking] D --> D3[安全 Security] D --> D4[性能 Performance] D1 --> D1a[Cilium / Hubble] D1 --> D1b[Pixie] D2 --> D2a[Cilium 数据面 替代 kube-proxy] D2 --> D2b[Service Mesh 无 sidecar] D3 --> D3a[Tetragon 运行时防护] D3 --> D3b[Falco] D4 --> D4a[火焰图 Flame Graph] E --> E1[入门: What is eBPF? + 纪录片] E --> E2[进阶: eCHO 实战 + 官方频道] E --> E3[专家: Brendan Gregg + Technical Talks] ``` ## 一个 eBPF 程序的生命周期 理解上述内容后，下面这张流程图展示一段 eBPF 代码从编写到运行的完整链路，也是所有视频反复演示的核心模型： ```mermaid flowchart LR S1[编写 C 代码] --> S2[Clang/LLVM 编译为 BPF 字节码] S2 --> S3[加载到内核] S3 --> S4{Verifier 验证} S4 -->|通过| S5[JIT 编译为机器码] S4 -->|失败| F[拒绝加载 保护内核] S5 --> S6[挂载到 Hook 点] S6 --> S7[事件触发执行] S7 --> S8[经 Maps 与用户态交互] S8 --> S9[用户态工具展示数据] ``` 这张图解释了 eBPF "安全"与"高效"的两大承诺从何而来：Verifier 在加载时挡住危险程序，JIT 在运行时保证速度。掌握它，就掌握了判断任何 eBPF 工具合理性的底层标尺。 ## 延伸推荐 1. **iximiuz Labs（Ivan Velichko）** — [eBPF Beginner Skill Path](https://labs.iximiuz.com/skill-paths/ebpf-beginner-skill-path-aa16c6e8)：从零到第一个 eBPF 程序的浏览器内实战路径，适合喜欢"边敲边学"的读者，其 YouTube 频道也有大量容器与底层网络讲解。 2. **eunomia-bpf 开发教程** — [eunomia.dev/tutorials](https://eunomia.dev/tutorials/0-introduce/)：基于 CO-RE 的渐进式中文友好教程，配套可运行示例，是动手写程序的最佳起点之一。 3. **CNCF 官方频道** — KubeCon 每年大量 eBPF/Cilium 议题录像，关注"Cilium、Tetragon、Pixie"关键词可追踪最新落地案例。 4. **Hussein Nasser** — 后端与网络底层原理讲解者，常有 eBPF/网络协议栈的可视化解读，风格偏"白板推导"，适合补底层基础。 5. **r/eBPF（Reddit 社区）** — [reddit.com/r/eBPF](https://www.reddit.com/r/eBPF/)：非视频但极有价值的社区，新手提问与项目动态聚集地，可与视频学习互补。 ## 参考来源 1. [What is eBPF? — Isovalent 视频](https://isovalent.com/videos/what-is-ebpf/) — 官方概念定义与"eBPF 之于内核=JS 之于网页"的经典类比 2. [eBPF.io 官方文档与纪录片](https://ebpf.io/) — eBPF Foundation 出品的权威入门、教程与历史纪录片入口 3. [eunomia-bpf 开发者教程（GitHub）](https://github.com/eunomia-bpf/bpf-developer-tutorial) — 基于 CO-RE 的渐进式实战教程，从第一个程序到追踪与安全 4. [Liz Rice on Programming the Linux Kernel with eBPF（InfoQ）](https://www.youtube.com/watch?v=ubFPPcY8Ev4) — 把内核可编程原理讲得最透彻的对谈之一 5. [eBPF & Cilium Community 官方 YouTube 频道](https://www.youtube.com/eBPFCiliumCommunity) — 官方维护的 eBPF/Cilium 学习枢纽与 eCHO 直播合集 --- > 本文由「51学通信」技术团队出品。51学通信由通信行业18年老兵**爱卫生**（微信ID: gprshome201101）维护，聚焦5G/6G核心网、3GPP标准解读、通信前沿技术深度分析。 > 出版作品有《5G核心网原理与实践》《IMS原理与实践》等4本通信专业书籍。知识星球「51学通信」提供深度技术答疑和行业洞察。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。