[OS 06] eBPF·커널 경계와 성능·안전 (전문)

본 장은 전문 난이도입니다. eBPF는 커널 내부에 검증된 프로그램을 로드해 패킷 필터링·관측·성능 진단을 수행하는 기술로 널리 쓰입니다. XDP는 그중 조기 패킷 경로에 가까운 지점을 다룰 때 자주 함께 언급됩니다. 이 트랙의 챕터 09는 “개요”에 머물렀고, 본 장은 운영 가능한 의사결정을 위한 프레임입니다.

왜 커널 경계인가

유저 공간 애플리케이션만 최적화해도, 커널에서의 복사·스케줄링·소프트IRQ가 바닥을 지배할 수 있습니다. eBPF/XDP는 경로를 짧게 만들거나 불필요한 작업을 줄이는 레버가 될 수 있지만, 동시에 검증기 제약·커널 버전 의존·보안 모델이라는 비용이 붙습니다.

성능 이득이 나올 수 있는 전형

고속 패킷 처리: 특정 클래스의 패킷을 유저 공간으로 끌고 오기 전에 조기 판정합니다.
관측 오버헤드 감소: 기존 tracepoint·kprobe 기반 도구보다 가벼운 훅을 원할 때(도구·버전에 따라 다름).
커스텀 집계: 커널 안에서 짧은 통계만 유지하고 유저 공간으로는 요약만 보냅니다.

반대로 복잡한 상태 기계나 무거운 문자열 처리를 eBPF에 억지로 넣으면 오히려 지연이 커질 수 있습니다.

안전·검증·운영 리스크

Verifier: 커널은 로드 시 프로그램을 정적 검증합니다. 루프·스택·접근 범위 제약 때문에 개발 속도가 느려질 수 있습니다.
커널 업그레이드: 마이너 버전에서도 헬퍼·동작이 달라질 수 있어 회귀가 애플리케이션과 별개 축으로 생깁니다.
보안 사고면: eBPF는 강력한 훅이므로 누가 로드할 수 있는지(capabilities, cgroup, seccomp 정책)가 Tr.11와 연결됩니다.

flowchart TB
  subgraph gain ["잠재 이득"]
    A["경로 단축"]
    B["조기 드롭"]
    C["커널 내 집계"]
  end
  subgraph cost ["잠재 비용"]
    D["검증 제약"]
    E["버전 드리프트"]
    F["권한·감사"]
  end
  gain --> cost