eBPF（extended Berkeley Packet Filter）是一種高性能的內(nèi)核虛擬機(jī)，可以運(yùn)行在內(nèi)核空間中，以收集系統(tǒng)和網(wǎng)絡(luò)信息。隨著計(jì)算機(jī)技術(shù)的不斷發(fā)展，eBPF 的功能日益強(qiáng)大，并且已經(jīng)成為各種效率高效的在線診斷和跟蹤系統(tǒng)，以及構(gòu)建安全的網(wǎng)絡(luò)、服務(wù)網(wǎng)格的重要組成部分。

WebAssembly（Wasm）最初是以瀏覽器安全沙盒為目的開(kāi)發(fā)的，發(fā)展到目前為止，WebAssembly 已經(jīng)成為一個(gè)用于云原生軟件組件的高性能、跨平臺(tái)和多語(yǔ)言軟件沙箱環(huán)境，Wasm 輕量級(jí)容器也非常適合作為下一代無(wú)服務(wù)器平臺(tái)運(yùn)行時(shí)，或在邊緣計(jì)算等資源受限的場(chǎng)景高效執(zhí)行。

現(xiàn)在，借助 Wasm-bpf 編譯工具鏈和運(yùn)行時(shí)，我們可以使用 Wasm 將 eBPF 程序編寫(xiě)為跨平臺(tái)的模塊，使用 C/C++ 和 Rust 編寫(xiě)程序。通過(guò)在 WebAssembly 中使用 eBPF 程序，我們不僅讓 Wasm 應(yīng)用獲得 eBPF 的高性能、對(duì)系統(tǒng)接口的訪問(wèn)能力，還可以讓 eBPF 程序享受到 Wasm 的沙箱、靈活性、跨平臺(tái)性、和動(dòng)態(tài)加載的能力，并且使用 Wasm 的 OCI 鏡像來(lái)方便、快捷地分發(fā)和管理 eBPF 程序。例如，可以類(lèi)似 docker 一樣，從云端一行命令獲取 Wasm 輕量級(jí)容器鏡像，并運(yùn)行任意 eBPF 程序。通過(guò)結(jié)合這兩種技術(shù)，我們將會(huì)給 eBPF 和 Wasm 生態(tài)來(lái)一個(gè)全新的開(kāi)發(fā)體驗(yàn)！

使用 Wasm-bpf 工具鏈在 Wasm 中編寫(xiě)、動(dòng)態(tài)加載、分發(fā)運(yùn)行 eBPF 程序

在前兩篇短文中，我們已經(jīng)介紹了 Wasm-bpf 的設(shè)計(jì)思路，以及如何使用 C/C++ 在 Wasm 中編寫(xiě) eBPF 程序:

• Wasm-bpf: 架起 Webassembly 和 eBPF 內(nèi)核可編程的橋梁
• 在 WebAssembly 中使用 C/C++ 和 libbpf 編寫(xiě) eBPF 程序

基于 Wasm，我們可以使用多種語(yǔ)言構(gòu)建 eBPF 應(yīng)用，并以統(tǒng)一、輕量級(jí)的方式管理和發(fā)布。以我們構(gòu)建的示例應(yīng)用 bootstrap.wasm 為例，使用 C/C++ 構(gòu)建的鏡像大小最小僅為 ~90K，很容易通過(guò)網(wǎng)絡(luò)分發(fā)，并可以在不到 100ms 的時(shí)間內(nèi)在另一臺(tái)機(jī)器上動(dòng)態(tài)部署、加載和運(yùn)行，并且保留輕量級(jí)容器的隔離特性。運(yùn)行時(shí)不需要內(nèi)核特定版本頭文件、LLVM、clang 等依賴，也不需要做任何消耗資源的重量級(jí)的編譯工作。對(duì)于 Rust 而言，編譯產(chǎn)物會(huì)稍大一點(diǎn)，大約在 2M 左右。

本文將以 Rust 語(yǔ)言為例，討論：

• 使用 Rust 編寫(xiě) eBPF 程序并編譯為 Wasm 模塊
• 使用 OCI 鏡像發(fā)布、部署、管理 eBPF 程序，獲得類(lèi)似 Docker 的體驗(yàn)

我們?cè)趥}(cāng)庫(kù)中提供了幾個(gè)示例程序，分別對(duì)應(yīng)于可觀測(cè)、網(wǎng)絡(luò)、安全等多種場(chǎng)景。

編寫(xiě) eBPF 程序并編譯為 Wasm 的大致流程

一般說(shuō)來(lái)，在非 Wasm 沙箱的用戶態(tài)空間，使用 libbpf-bootstrap 腳手架，可以快速、輕松地使用 C/C++構(gòu)建 BPF 應(yīng)用程序。編譯、構(gòu)建和運(yùn)行 eBPF 程序（無(wú)論是采用什么語(yǔ)言），通常包含以下幾個(gè)步驟：

• 編寫(xiě)內(nèi)核態(tài) eBPF 程序的代碼，一般使用 C/C++ 或 Rust 語(yǔ)言
• 使用 clang 編譯器或者相關(guān)工具鏈編譯 eBPF 程序（要實(shí)現(xiàn)跨內(nèi)核版本移植的話，需要包含 BTF 信息）。
• 在用戶態(tài)的開(kāi)發(fā)程序中，編寫(xiě)對(duì)應(yīng)的加載、控制、掛載、數(shù)據(jù)處理邏輯；
• 在實(shí)際運(yùn)行的階段，從用戶態(tài)將 eBPF 程序加載進(jìn)入內(nèi)核，并實(shí)際執(zhí)行。

使用 Rust 編寫(xiě) eBPF 程序并編譯為 Wasm

Rust 可能是 WebAssembly 生態(tài)系統(tǒng)中支持最好的語(yǔ)言。Rust 不僅支持幾個(gè) WebAssembly 編譯目標(biāo)，而且 wasmtime、Spin、Wagi 和其他許多 WebAssembly 工具都是用 Rust 編寫(xiě)的。因此，我們也提供了 Rust 的開(kāi)發(fā)示例：

• Wasm 和 WASI 的 Rust 生態(tài)系統(tǒng)非常棒
• 許多 Wasm 工具都是用 Rust 編寫(xiě)的，這意味著有大量的代碼可以復(fù)用。
• Spin 通常在對(duì)其他語(yǔ)言的支持之前就有Rust的功能支持
• Wasmtime 是用 Rust編寫(xiě)的，通常在其他運(yùn)行時(shí)之前就有最先進(jìn)的功能。
• 可以在 WebAssembly 中使用許多現(xiàn)成的 Rust 庫(kù)。
• 由于 Cargo 的靈活構(gòu)建系統(tǒng)，一些 Crates 甚至有特殊的功能標(biāo)志來(lái)啟用Wasm的功能（例如Chrono）。
• 由于 Rust 的內(nèi)存管理技術(shù)，與同類(lèi)語(yǔ)言相比，Rust 的二進(jìn)制大小很小。

我們同樣提供了一個(gè) Rust 的 eBPF SDK，可以使用 Rust 編寫(xiě) eBPF 的用戶態(tài)程序并編譯為 Wasm。借助 aya-rs 提供的相關(guān)工具鏈支持，內(nèi)核態(tài)的 eBPF 程序也可以用 Rust 進(jìn)行編寫(xiě)，不過(guò)在這里，我們還是復(fù)用之前使用 C 語(yǔ)言編寫(xiě)的內(nèi)核態(tài)程序。

首先，我們需要使用 rust 提供的 wasi 工具鏈，創(chuàng)建一個(gè)新的項(xiàng)目：

rustuptargetaddwasm32-wasi
cargonewrust-helloworld

之后，可以使用 Makefile 運(yùn)行 make 完成整個(gè)編譯流程，并生成 bootstrap.bpf.o eBPF 字節(jié)碼文件。

使用 wit-bindgen 生成類(lèi)型信息，用于內(nèi)核態(tài)和 Wasm 模塊之間通信

wit-bindgen 項(xiàng)目是一套著眼于 WebAssembly，并使用組件模型的語(yǔ)言的綁定生成器。綁定是用 *.wit 文件描述的，文件中描述了 Wasm 模塊導(dǎo)入、導(dǎo)出的函數(shù)和接口。我們可以 wit-bindgen 它來(lái)生成多種語(yǔ)言的類(lèi)型定義，以便在內(nèi)核態(tài)的 eBPF 和用戶態(tài)的 Wasm 模塊之間傳遞數(shù)據(jù)。

我們首先需要在 Cargo.toml 配置文件中加入 wasm-bpf-binding 和 wit-bindgen-guest-rust 依賴：

wasm-bpf-binding = { path = "wasm-bpf-binding" }

這個(gè)包提供了 wasm-bpf 由運(yùn)行時(shí)提供給 Wasm 模塊，用于加載和控制 eBPF 程序的函數(shù)的綁定。

• wasm-bpf-binding 在 wasm-bpf 倉(cāng)庫(kù)中有提供。

[dependencies]
wit-bindgen-guest-rust = { git = "https://github.com/bytecodealliance/wit-bindgen", version = "0.3.0" }

[patch.crates-io]
wit-component = {git = "https://github.com/bytecodealliance/wasm-tools", version = "0.5.0", rev = "9640d187a73a516c42b532cf2a10ba5403df5946"}
wit-parser = {git = "https://github.com/bytecodealliance/wasm-tools", version = "0.5.0", rev = "9640d187a73a516c42b532cf2a10ba5403df5946"}

這個(gè)包支持用 wit 文件為 rust 客戶程序生成綁定。使用這個(gè)包的情況下，我們不需要再手動(dòng)運(yùn)行 wit-bindgen。

接下來(lái)，我們使用 btf2wit 工具，從 BTF 信息生成 wit 文件。可以使用 cargo install btf2wit 安裝我們提供的 btf2wit 工具，并編譯生成 wit 信息：

cdbtf
clang-targetbpf-gevent-def.c-c-oevent.def.o
btf2witevent.def.o-oevent-def.wit
cp*.wit../wit/

• 其中 event-def.c 是包含了我們需要的結(jié)構(gòu)體信息的的 C 程序文件。只有在導(dǎo)出符號(hào)中用到的結(jié)構(gòu)體才會(huì)被記錄在 BTF 中。

對(duì)于 C 結(jié)構(gòu)體生成的 wit 信息，大致如下：

default world host {
    record event {
         pid: s32,
        ppid: s32,
        exit-code: u32,
        --pad0: list,
        duration-ns: u64,
        comm: list,
        filename: list,
        exit-event: s8,
    }
}

wit-bindgen-guest-rust 會(huì)為 wit 文件夾中的所有類(lèi)型信息，自動(dòng)生成 rust 的類(lèi)型，例如：

#[repr(C,packed)]
#[derive(Debug,Copy,Clone)]
structEvent{
pid:i32,
ppid:i32,
exit_code:u32,
__pad0:[u8;4],
duration_ns:u64,
comm:[u8;16],
filename:[u8;127],
exit_event:u8,
}

編寫(xiě)用戶態(tài)加載和處理代碼

為了在 WASI 上運(yùn)行，需要為 main.rs 添加 #![no_main] 屬性，并且 main 函數(shù)需要采用類(lèi)似如下的形態(tài)：

#[export_name="__main_argc_argv"]
fnmain(_env_json:u32,_str_len:i32)->i32{

return0;
}

用戶態(tài)加載和掛載代碼，和 C/C++ 中類(lèi)似：

letobj_ptr=
binding::wasm_load_bpf_object(bpf_object.as_ptr()asu32,bpf_object.len()asi32);
ifobj_ptr==0{
println!("Failedtoloadbpfobject");
return1;
}
letattach_result=binding::wasm_attach_bpf_program(
obj_ptr,
"handle_exec".as_ptr()asu32,
"".as_ptr()asu32,
);
...

polling ring buffer：

letmap_fd=binding::wasm_bpf_map_fd_by_name(obj_ptr,"rb".as_ptr()asu32);
ifmap_fd0{
println!("Failedtogetmapfd:{}",map_fd);
return1;
}
//binding::wasm
letbuffer=[0u8;256];
loop{
//pollingthebuffer
binding::wasm_bpf_buffer_poll(
obj_ptr,
map_fd,
handle_eventasi32,
0,
buffer.as_ptr()asu32,
buffer.len()asi32,
100,
);
}

使用 handler 接收返回值：

extern"C"fnhandle_event(_ctx:u32,data:u32,_data_sz:u32){
letevent_slice=unsafe{slice::from_raw_parts(dataas*constEvent,1)};
letevent=&event_slice[0];
letpid=event.pid;
letppid=event.ppid;
letexit_code=event.exit_code;
ifevent.exit_event==1{
print!(
"{:<8}?{:<5}?{:<16}?{:<7}?{:<7}?[{}]",
"TIME",
"EXIT",
unsafe{CStr::from_ptr(event.comm.as_ptr()as*consti8)}
.to_str()
.unwrap(),
pid,
ppid,
exit_code
);
...
}

接下來(lái)即可使用 cargo 編譯運(yùn)行：

$cargobuild--targetwasi32-wasm
$sudowasm-bpf./target/wasm32-wasi/debug/rust-helloworld.wasm
TIMEEXECsh18024533666/bin/sh
TIMEEXECwhich180246180245/usr/bin/which
TIMEEXITwhich180246180245[0](1ms)
TIMEEXITsh18024533666[0](3ms)
TIMEEXECsh18024733666/bin/sh
TIMEEXECps180248180247/usr/bin/ps
TIMEEXITps180248180247[0](23ms)
TIMEEXITsh18024733666[0](25ms)
TIMEEXECsh18024933666/bin/sh
TIMEEXECcpuUsage.sh180250180249/root/.vscode-server-insiders/bin/a7d49b0f35f50e460835a55d20a00a735d1665a3/out/vs/base/node/cpuUsage.sh

使用 OCI 鏡像發(fā)布和管理 eBPF 程序

開(kāi)放容器協(xié)議 (OCI) 是一個(gè)輕量級(jí)，開(kāi)放的治理結(jié)構(gòu)，為容器技術(shù)定義了規(guī)范和標(biāo)準(zhǔn)。在 Linux 基金會(huì)的支持下成立，由各大軟件企業(yè)構(gòu)成，致力于圍繞容器格式和運(yùn)行時(shí)創(chuàng)建開(kāi)放的行業(yè)標(biāo)準(zhǔn)。其中包括了使用 Container Registries 進(jìn)行工作的 API，正式名稱(chēng)為 OCI 分發(fā)規(guī)范 (又名“distribution-spec”)。

Docker 也宣布推出與 WebAssembly 集成 (Docker+Wasm) 的首個(gè)技術(shù)預(yù)覽版，并表示公司已加入字節(jié)碼聯(lián)盟 (Bytecode Alliance)，成為投票成員。Docker+Wasm 讓開(kāi)發(fā)者能夠更容易地快速構(gòu)建面向 Wasm 運(yùn)行時(shí)的應(yīng)用程序。

借助于 Wasm 的相關(guān)生態(tài)，可以非常方便地發(fā)布、下載和管理 eBPF 程序，例如，使用 wasm-to-oci 工具，可以將 Wasm 程序打包為 OCI 鏡像，獲取類(lèi)似 docker 的體驗(yàn)：

wasm-to-ocipushtestdata/hello.wasm.azurecr.io/wasm-to-oci:v1
wasm-to-ocipull.azurecr.io/wasm-to-oci:v1--outtest.wasm

我們也將其集成到了 eunomia-bpf 的 ecli 工具中，可以一行命令從云端的 Github Packages 中下載并運(yùn)行 eBPF 程序，或通過(guò) Github Packages 發(fā)布：

#pushtoGithubPackages
eclipushhttps://ghcr.io/eunomia-bpf/sigsnoop:latest
#pullfromGithubPackages
eclipullhttps://ghcr.io/eunomia-bpf/sigsnoop:latest
#runeBPFprogram
eclirunhttps://ghcr.io/eunomia-bpf/sigsnoop:latest

我們已經(jīng)在 LMP 項(xiàng)目的 eBPF Hub 中，有一些創(chuàng)建符合 OCI 標(biāo)準(zhǔn)的 Wasm-eBPF 應(yīng)用程序，并利用 ORAS 簡(jiǎn)化擴(kuò)展 eBPF 應(yīng)用開(kāi)發(fā)，分發(fā)、加載、運(yùn)行能力的嘗試[11]，以及基于 Wasm 同時(shí)使用多種不同語(yǔ)言開(kāi)發(fā) eBPF 的用戶態(tài)數(shù)據(jù)處理插件的實(shí)踐。基于最新的 Wasm-bpf 框架，有更多的探索性工作可以繼續(xù)展開(kāi)，我們希望嘗試構(gòu)建一個(gè)完整的針對(duì) eBPF 和 Wasm 程序的包管理系統(tǒng)，以及更多的可以探索的應(yīng)用場(chǎng)景。

總結(jié)

本文以 Rust 語(yǔ)言為例，討論了使用 Rust 編寫(xiě) eBPF 程序并編譯為 Wasm 模塊以及使用 OCI 鏡像發(fā)布、部署、管理 eBPF 程序，獲得類(lèi)似 Docker 的體驗(yàn)。更完整的代碼，請(qǐng)參考我們的 Github 倉(cāng)庫(kù)：https://github.com/eunomia-bpf/wasm-bpf.

接下來(lái)，我們會(huì)繼續(xù)完善在 Wasm 中使用多種語(yǔ)言開(kāi)發(fā)和運(yùn)行 eBPF 程序的體驗(yàn)，提供更完善的示例和用戶態(tài)開(kāi)發(fā)庫(kù)/工具鏈，以及更具體的應(yīng)用場(chǎng)景。

審核編輯 ：李倩