วิธีตั้งค่าและใช้งาน eBPF เพื่อมอนิเตอร์ประสิทธิภาพแอปพลิเคชันบน Linux อย่างปลอดภัย

ภาพรวม — Overview

eBPF (extended Berkeley Packet Filter) เป็นเทคโนโลยีที่ทำให้เราสามารถเขียนโค้ดเล็ก ๆ ที่ทำงานในเคอร์เนลของ Linux ได้โดยไม่ต้องคอมไพล์โมดูลใหม่ การใช้ eBPF เพื่อตรวจสอบประสิทธิภาพแอปพลิเคชันจึงเป็นวิธีที่ เร็ว, ปลอดภัย และ ยืดหยุ่น มากกว่าวิธีแบบเดิม

• รันโค้ดในเคอร์เนลโดยไม่ต้องรีบูต
• เก็บข้อมูลเชิงลึกแบบ real‑time
• ลด overhead ที่เกิดจากการสั่งให้ผู้ใช้เรียก syscall ซ้ำหลายครั้ง

**Tip: ใช้เวอร์ชัน Linux ≥ 4.18 จะได้ฟีเจอร์ eBPF ที่ครบถ้วนที่สุด

การทำงานของ eBPF — How It Works

eBPF ทำงานโดยการโหลดโปรแกรมไบต์โค้ดเข้าไปในเคอร์เนล แล้วผูกกับ hook point ต่าง ๆ เช่น kprobe, tracepoint หรือ socket filter โปรแกรมเหล่านี้จะทำหน้าที่เก็บสถิติหรือแก้ไขข้อมูลตามที่กำหนด

• BPF verifier ตรวจสอบความปลอดภัยของโค้ดก่อนโหลด
• Maps เป็นพื้นที่แชร์ระหว่างเคอร์เนลและผู้ใช้เพื่อส่งผลลัพธ์กลับมา
• Perf events ใช้สำหรับการสั่งให้เคอร์เนลส่งข้อมูลตามช่วงเวลาที่กำหนด

การตั้งค่าเบื้องต้น — Initial Setup

ขั้นตอนแรกคือเตรียมระบบให้พร้อมรองรับ eBPF

• ตรวจสอบว่า kernel รองรับ `CONFIG_BPF=y` และ `CONFIG_DEBUG_INFO_BTF=y`
• ติดตั้งแพคเกจพื้นฐาน เช่น `bpftool`, `clang`, `llvm`, `libbpf-dev`
• เปิดใช้งาน cgroup v2 หากต้องการจำกัดสิทธิ์ของโปรแกรม eBPF

**Tip: คำสั่ง `sudo bpftool feature` จะบอกคุณว่า kernel ของคุณสนับสนุนฟีเจอร์อะไรบ้าง

ขั้นตอนการเขียนและโหลดโปรแกรม eBPF — Step‑By‑Step

• **ขั้นที่ 1: สร้างไฟล์ C ที่ใช้ BPF ตัวอย่างเช่น `trace_latency.c`

```c #include <uapi/linux/ptrace.h> BPF_HASH(start, u64); int trace_entry(struct pt_regs *ctx) { u64 pid = bpf_get_current_pid_tgid(); u64 ts = bpf_ktime_get_ns(); start.update(&pid, &ts); return 0; } int trace_return(struct pt_regs *ctx) { u64 pid = bpf_get_current_pid_tgid(); u64 *tsp = start.lookup(&pid); if (tsp) { u64 delta = bpf_ktime_get_ns() - *tsp; bpf_trace_printk("latency %lld ns\\n", delta); start.delete(&pid); } return 0; } ```

• **ขั้นที่ 2: คอมไพล์ด้วย clang ให้เป็น BPF object

```bash clang -O2 -target bpf -c trace_latency.c -o trace_latency.o ```

• **ขั้นที่ 3: โหลดโปรแกรมเข้าสู่เคอร์เนลโดยใช้ `bpftool` หรือไลบรารี `libbpf`

```bash sudo bpftool prog load trace_latency.o /sys/fs/bpf/trace_latency type kprobe ```

• **ขั้นที่ 4: ผูกกับฟังก์ชันเป้าหมาย (เช่น `do_sys_open`) ผ่าน `kprobe`

```bash sudo bpftool prog attach pinned /sys/fs/bpf/trace_latency kprobe/do_sys_open ```

• **ขั้นที่ 5: ดูผลลัพธ์จาก buffer `/sys/kernel/debug/tracing/trace_pipe`

```bash sudo cat /sys/kernel/debug/tracing/trace_pipe ```

เครื่องมือยอดนิยมสำหรับ eBPF — Popular Tools

ความปลอดภัยเมื่อใช้ eBPF — Security Considerations

แม้ว่า eBPF จะผ่านการตรวจสอบโดย verifier แต่ก็ยังต้องกำหนดขอบเขตให้ชัดเจน

• ใช้ cgroup v2 เพื่อจำกัดโปรแกรมที่ผู้ใช้ใดสามารถโหลดได้
• ตั้งค่า `sysctl kernel.unprivileged_bpf_disabled=1` หากไม่ต้องการให้ผู้ใช้ไม่มีสิทธิ์ทำงานกับ eBPF
• ตรวจสอบ map permissions (`read/write`) อย่างรัดกุม

**Warning: การเปิดใช้งาน `bpf()` system call ให้กับผู้ใช้ทั่วไปอาจทำให้เกิดช่องโหว่แบบ privilege escalation

เคล็ดลับเพิ่มประสิทธิภาพ — Performance Tips

• ใช้ per‑CPU maps เพื่อลด contention เมื่อหลาย CPU เขียนข้อมูลพร้อมกัน
• ลดจำนวน `trace_printk` เนื่องจากการพิมพ์ข้อความใน kernel มี overhead สูง
• ควบคุม sampling rate ด้วย `perf_event_attr.sample_period` เพื่อไม่ให้เก็บข้อมูลมากเกินไป

สรุป — Summary

eBPF ให้วิธีตรวจสอบประสิทธิภาพแอปพลิเคชันบน Linux ที่ รวดเร็ว, ปลอดภัย และ ปรับแต่งได้ง่าย เพียงตั้งค่าระบบ, เขียนโปรแกรมสั้น ๆ ด้วย C หรือ bpftrace แล้วโหลดเข้าเคอร์เนล คุณจะได้ข้อมูลเชิงลึกแบบ real‑time พร้อมความเสี่ยงที่ต่ำ

• ตรวจสอบ kernel รองรับ eBPF ก่อนเริ่ม
• ใช้เครื่องมือ `bpftool`, `bpftrace` หรือ `bcc` ตามความถนัด
• จำกัดสิทธิ์ด้วย cgroup v2 และ sysctl เพื่อรักษาความปลอดภัย
• ปรับแผนที่และ sampling ให้เหมาะกับ workload ของคุณ

ด้วยขั้นตอนเหล่านี้ คุณสามารถ มอนิเตอร์ประสิทธิภาพ ของแอปพลิเคชันบน Linux ได้อย่างมั่นใจและไม่กระทบต่อระบบ production.