Ketones无缝兼容BCC：现有工具迁移的简单步骤与最佳实践

【免费下载链接】ketonesA kempt eBPF tool for a new environments项目地址: https://gitcode.com/openeuler/ketones

前往项目官网免费下载：https://ar.openeuler.org/ar/

Ketones是一款专为新环境设计的高效eBPF工具，旨在替代传统BCC工具集，提供更轻量、更易集成的内核观测能力。本文将详细介绍如何将现有BCC工具无缝迁移至Ketones平台，帮助用户快速掌握迁移步骤与最佳实践。

📌 为什么选择Ketones迁移BCC工具？

Ketones作为新一代eBPF工具链，相比传统BCC具有显著优势：

• 无需编译环境：支持容器内直接运行，解决BCC依赖编译器的痛点
• 多架构支持：完美兼容ARM64、X86、Loongarch和RISC-V架构
• 无缝兼容性：与BCC工具集API保持兼容，迁移成本极低
• 轻量高效：更小的资源占用和更快的启动速度

图1：Ketones基于libbpf的架构设计，提供更高效的eBPF程序加载机制

🔍 迁移前的准备工作

系统环境要求

在开始迁移前，请确保您的系统满足以下条件：

• 内核版本4.15以上（推荐5.4+以获得完整功能）
• 已安装必要依赖：

  # Debian/Ubuntu系统 apt install llvm-dev clang make gcc libcap-dev binutils-dev libnuma-dev # RHEL/CentOS系统 yum install clang make gcc llvm elfutils-libelf-devel numactl-devel ncurses-devel

获取Ketones源码

git clone https://gitcode.com/openeuler/ketones cd ketones

🚀 迁移BCC工具的简单步骤

步骤1：构建Ketones工具集

# 编译所有工具 make # 安装到系统路径 make install

Ketones的构建系统会自动处理libbpf依赖和eBPF程序编译，生成的工具位于src/bin目录下。

步骤2：识别BCC工具类型

根据BCC工具的实现方式，选择合适的迁移策略：

1. 纯追踪类工具（如execsnoop、opensnoop）：可直接替换为Ketones对应工具
2. 自定义BPF程序：需要将C代码适配为libbpf格式
3. Python扩展工具：需使用Ketones提供的C API重写用户态部分

步骤3：替换BCC工具为Ketones等效工具

Ketones提供了与BCC功能对应的工具集，位于src目录下，如：

• execsnoop：进程执行监控
• opensnoop：文件打开监控
• tcpconnect：TCP连接追踪
• biolatency：块设备延迟分析

直接运行对应工具即可获得与BCC版本相似的输出：

# BCC原命令 ./execsnoop-bcc # Ketones等效命令 ./src/bin/execsnoop

步骤4：迁移自定义BCC程序

对于自定义BCC程序，需要进行以下调整：

1. BPF代码适配：

   • 添加必要的头文件：

     #include <vmlinux.h> #include <bpf/bpf_helpers.h> #include <bpf/bpf_tracing.h>

   • 使用libbpf风格的map定义：

     struct { __uint(type, BPF_MAP_TYPE_HASH); __uint(max_entries, 1024); __type(key, pid_t); __type(value, struct data); } events SEC(".maps");

2. 用户态代码重写：

   • 使用libbpf API加载和交互BPF程序
   • 参考src/execsnoop/execsnoop.c实现事件处理

3. Makefile配置：

   • 参考src/execsnoop/Makefile设置编译规则

💡 迁移最佳实践

利用共享库简化迁移

Ketones提供了丰富的辅助函数库，位于src/libs/目录，包含：

• trace_helpers.c：跟踪事件处理
• map_helpers.c：BPF映射操作
• compat.c：跨内核版本兼容性支持

在迁移自定义工具时，建议直接引用这些库函数，减少重复开发。

处理内核版本兼容性

Ketones通过vmlinux/目录下的架构特定头文件，提供跨内核版本支持。迁移时应：

• 使用bpf_core_read宏访问内核结构体成员
• 利用bpf_probe_read_user替代bpf_probe_read
• 参考src/include/compat.h处理版本差异

性能优化建议

1. 减少用户态交互：尽量在BPF程序中完成数据聚合
2. 合理设置采样率：高频率事件建议使用采样降低开销
3. 优化map设计：选择合适的map类型和大小

📋 常见迁移问题解决方案

问题1：编译时提示缺少头文件

解决方案：确保正确包含vmlinux头文件：

#include "vmlinux.h"

问题2：工具运行时无输出

解决方案：

1. 检查内核配置是否开启BPF支持
2. 使用bpflist工具确认程序加载状态：

   ./src/bin/bpflist

问题3：与旧内核兼容性问题

解决方案：参考src/include/compat.bpf.h中的兼容性宏，使用条件编译处理不同内核版本差异。

🎯 迁移效果验证

迁移完成后，建议从以下方面验证工具功能：

1. 功能对比测试：与BCC版本工具在相同场景下运行，对比输出结果
2. 性能基准测试：使用perf测量CPU占用和内存使用
3. 长期稳定性测试：监控工具长时间运行的资源泄漏情况

📚 进一步学习资源

• 项目README：详细的安装和使用指南
• libbpf文档：深入了解libbpf API
• 工具源码目录：参考现有工具实现

通过以上步骤，您可以轻松将现有BCC工具迁移至Ketones平台，享受更高效、更灵活的eBPF观测体验。如有迁移过程中遇到的问题，欢迎参与社区讨论，共同完善Ketones生态。

【免费下载链接】ketonesA kempt eBPF tool for a new environments项目地址: https://gitcode.com/openeuler/ketones