它提供了一种在内核中安全、高效运行沙箱程序的能力，包括指令集、验证器、即时编译器（JIT Compiler）和用于数据交互的eBPF映射（Maps）。它定义了一个特定的挂钩点（即网卡驱动中的xdp点），并规定了这个点上eBPF程序可以执行的动作（如XDP_DROP、XDP_PASS等）。· Katran：Facebook开源的基于XDP的四层负载均衡器，展示了XDP在大规模生产环境中的能力。简单来

3. OpenTelemetry Collector Receiver：从 v0.5.0 版本开始，OBI 可以作为 Collector 的一个 Receiver 组件运行，将数据送入 Collector 强大的处理管道，进行过滤、采样、加密后，再分发到一个或多个后端。OBI 不侵入应用进程，而是作为一个独立的、运行在用户空间的守护进程，负责加载和管理内核中的 eBPF 程序。支持 Java (J

最近用envoy gateway发现跨容器采集这里面的metric指标总是失败，curl 却是可以通的。localhost往往是容器里面的，并不是pod级别的，如此就导致网路不通。替换成127.0.0.1的时候，就可以访问通了。

假设要让所有带有role=frontend标签的Pod访问带有role=backend标签的Pod，传统的基于IP的防火墙需要在每一个运行backend Pod的节点上维护包含所有frontend Pod IP地址的访问控制列表。这个身份是一个简单的数字标识符，存储在Cilium内部的身份库中。3. 基于身份的执行：在接收端节点，Cilium的eBPF程序会解析数据包，提取出发送者的身份，然后仅根

Monkey Patch（猴子补丁）是一种在运行时动态修改类或模块的技术。它允许我们替换、添加或修改已有的属性、方法，从而改变代码的行为，而无需修改原始源代码。看名字就知道是一种hack技术，不过只要应用得当，确实也是一个利器。本篇文章是笔者针对不同语言对代码进行自动注入的第三篇，目的是为了解决基础设施代码自动注入到业务代码的技术探讨，比如不在需要业务开发人员在业务代码中写类似全链路追踪这类功能的

Java Agent 是 Java 平台提供的一种工具包，允许开发者在 Java 虚拟机（JVM）启动后或运行时，修改已有程序的字节码，从而实现方法级别的增强或监控。当 JVM 加载类时，Agent 可以通过 java.lang.instrument 包提供的 API，拦截类加载过程，修改其字节码后再交给 JVM 执行。而这里采用的关键技术就是Java agent, 就我们目前使用的情况来看，这类

内核本身是无状态的——它不记忆哪个进程之前做了什么，每次系统调用都基于当前传入的参数和内核中的数据结构（如文件描述符表、页表）来执行。笔者觉得Ai编程更像是一个针对操作系统的使用，于是将操作系统中的进程与内核概念，与当代AI Agent系统中的智能体（Agent）与大模型（LLM）进行系统性类比。/proc 是 Linux 内核暴露的动态文件系统，提供只读的结构化系统信息（如 /proc/cpui

当套接字可读时，onReadReady 方法被触发。HCM 本身就是一个网络过滤器，它的职责是将原始的 TCP 数据流解析为 HTTP 协议（HTTP/1.1, HTTP/2 等）的请求和响应，并将这些应用层消息分发给后续的 HTTP 过滤器链。如果处理过程中，read_buffer_ 的大小超过了配置的高水位线（read_buffer_high_watermark_），Envoy 会自动调用 r

一旦连接被监听器接受，该连接的整个生命周期将绑定到单个工作线程，这使得 Envoy 的大部分代码是单线程的（令人尴尬的并行），只有少量复杂代码负责处理工作线程之间的协调。通过将连接生命周期绑定到单个工作线程，Envoy 避免了复杂的线程同步问题，并实现了令人尴尬的并行。Envoy 被设计为 100% 无阻塞的，对于大多数工作负载，建议将工作线程数量配置为等于机器上的硬件线程数。通过深入理解 Env

Istio 通过 UDS 与 SPIRE agent 通信，Envoy 通过 SDS API 从 SPIRE 获取工作负载身份。的设计目的是在高负载时平衡事件处理的响应时间和吞吐量，避免单次 event loop 处理过久影响其他事件的响应时效。：用于本地进程间通信，尤其在工作负载身份认证（SPIRE）场景中发挥关键作用。边缘触发（Edge-Triggered）模式，减少系统调用。三、UDS（Un