Scope
This original IROSG guide covers مشاهدهٔ kernel و شبکه با eBPF/BCC using the cited primary documentation.
Core model
eBPF برنامه‌های محدود و verifierشده را در نقاط مشخص kernel اجرا می‌کند. tracepoint، kprobe و network hook هرکدام visibility متفاوت دارند. ابزارهایی مانند BCC abstraction آماده روی این primitiveها می‌سازند.
Practical workflow
از سؤال شروع کنید: کدام syscall کند است؟ retransmission کجاست؟ process روی چه I/O منتظر است؟ بعد ابزار کم‌دامنه انتخاب کنید و window جمع‌آوری کوتاه نگه دارید.
Failure modes
جمع‌آوری همهٔ eventها روی production می‌تواند overhead و data flood بسازد. interpretation kernel event بدون context application هم ممکن است root cause کاذب بدهد.
Lab
یک workload با disk یا network delay مصنوعی بسازید، یک ابزار BCC/eBPF مرتبط اجرا کنید و timeline kernel event را با latency application مقایسه کنید.
Production method
Capture a baseline, change one variable at a time, test positive and negative paths, keep evidence, and rehearse rollback before broad rollout.
