gobee

Пишите свои BPF-программы на Go, а не на C. gobee транслирует строгое подмножество Go в BPF C, генерирует типизированные Go-привязки для пользовательской стороны и проверяет загрузку на соответствие версии работающего ядра.

Экосистема Go имеет надежные пользовательские инструменты для BPF. Но сторона ядра всегда заканчивалась фразой «теперь напишите свою программу на C». Aya привнесла eBPF в Rust, написав новый бэкенд BPF в rustc. gobee добивается этого иначе: транслируя в C и используя зрелый бэкенд clang.

На входе Go-файл, на выходе BPF-программа

Точка трассировки, которая отправляет каждый execve в пользовательское пространство через ringbuf:

//go:build ignore

package main

import "github.com/boratanrikulu/gobee/bpf"

//bpf:license GPL

type Event struct {
    Pid  uint32
    Comm [16]byte
}

var Events = bpf.RingBuf[Event]{
    MaxEntries: 4096,
}

//bpf:section tracepoint/syscalls/sys_enter_execve
func OnExec(ctx *bpf.ExecveEnterCtx) bpf.TpReturn {
    e, ok := Events.Reserve()
    if !ok {
        return bpf.TpOk
    }
    e.Pid = bpf.GetCurrentPid()
    bpf.GetTaskComm(&e.Comm)
    Events.Submit(e)
    return bpf.TpOk
}

func main() {}

// Code generated by gobee. DO NOT EDIT.

#include "vmlinux.h"
#include <bpf/bpf_helpers.h>
#include <bpf/bpf_core_read.h>

char _license[] SEC("license") = "GPL";

struct Event {
    __u32 Pid;
    __u8 Comm[16];
};

struct {
    __uint(type, BPF_MAP_TYPE_RINGBUF);
    __uint(max_entries, 4096);
} Events SEC(".maps");

SEC("tracepoint/syscalls/sys_enter_execve")
int OnExec(struct trace_event_raw_sys_enter *ctx) {
    struct Event *e = bpf_ringbuf_reserve(
        &Events, sizeof(struct Event), 0);
    if (!e) {
        return 0;
    }
    e->Pid = (__u32)(
        bpf_get_current_pid_tgid() >> 32);
    bpf_get_current_comm(&e->Comm, 16);
    bpf_ringbuf_submit(e, 0);
    return 0;
}

gobee translate --bindings-dir ./bpf ./bpf/src создает оба файла, а также sourcemap (events.bpf.c.map), чтобы ошибки проверяющего соответствовали строкам Go, и типизированный файл привязок (bpf/events_bindings.go), чтобы пользовательский драйвер писал objs.Events, objs.AttachOnExec() и декодировал полезные данные ringbuf напрямую в bpf.Event (ту же структуру, что приведена выше, переизданную в Go) вместо строковых поисков coll.Programs["..."].

C-код намеренно читаем. Если gobee выдает что-то странное, вы это видите. Пример объединения tracepoints + kprobes + XDP в один бинарник см. в example/sysmon/.

Сравнение

Если вы уже используете рабочий процесс C / libbpf, gobee не пытается полностью его заменить. Он предназначен для случаев, когда вы хотите иметь сторону ядра, пользовательскую сторону и конвейер сборки в одном Go-модуле.

Что поддерживается сегодня

См. docs/status.md для полной матрицы (подмножество Go, операторы, выражения, каждый хелпер, каждый тип карты, каждая директива). Краткий обзор:

Что делает gobee

• Транслирует подмножество Go в BPF C (и сначала выполняет go/types над вашим входом, чтобы ошибки использования отображались с file:line:col).
• Генерирует типизированный файл <Stem>_bindings.go рядом с .bpf.c: bpf.LoadCounter(spec), objs.PerIface.Lookup(...), objs.AttachAll(ifindex), а также типы структур и константы стороны ядра, переизданные в Go.
• Автоматически аннотирует *ebpf.VerifierError от LoadAndAssign с позициями в Go-исходнике; ручной вызов gobee diagnose не требуется.
• Запускает bpfvet внутри Load<Stem>, так что старые ядра быстро завершаются с bpf program needs kernel >= 5.8, host is 5.4.
• Предоставляет ~200 типизированных Go-заглушек для набора хелперов libbpf v1.5.0, а также пользовательские функции-хелперы, генерируемые как static __always_inline.

Что gobee не будет делать

• Заменять clang. Бэкенд BPF от clang даёт нам CO-RE, BTF и дружественную верификатору генерацию кода бесплатно. Перереализация этого стоит годы и не даёт преимуществ.
• Заменять cilium/ebpf. Сгенерированные привязки работают поверх него.
• Скрывать BPF. Подмножество Go отображается 1:1 на идиомы BPF C. Если вы знаете BPF, gobee — тонкий сахар. Если нет, руководство всё равно обязательно к прочтению.
• Запускать clang за вас. Компиляция, встраивание и загрузка остаются в ваших руках. Та же схема, что и в bpf2go.

Зачем транслировать, а не генерировать BPF напрямую