bpftool

bpftool eBPF 对象管理

补充说明

bpftool 查看和管理 eBPF 程序、map、link、BTF 和 cgroup，常用于排查 eBPF 程序加载失败、map 占用和网络/追踪程序状态。

子命令包括 prog、map、link、btf、cgroup、feature、trace、net。

常用示例

查看已加载程序：

bpftool prog show
bpftool prog show id 123

查看 map：

bpftool map show
bpftool map dump id 45

查看 link：

bpftool link show

查看 BTF：

bpftool btf list
bpftool btf dump id 1 format c

检查内核特性：

bpftool feature probe

查看 cgroup 程序：

bpftool cgroup tree

追踪内核函数：

bpftool trace run

易错点与排错

• 需要 root 或 CAP_BPF/CAP_SYS_ADMIN，普通用户看不到完整信息。
• 内核版本过低，部分子命令或 BTF 不可用。
• eBPF 程序加载失败时，先看 dmesg 和 verifier 日志。
• map 元素过多或 value 过大，内存占用高。
• 程序 attach 到错误的 cgroup/网卡，行为不符合预期。
• bpftool 版本与内核不匹配，输出字段缺失。
• 不要在生产随意 detach 或删除正在使用的程序。