🐧 eBPF ยกระดับเครื่องมือ Sysadmin สู่ยุคใหม่ eBPF (Extended Berkeley Packet Filter) เป็นเทคโนโลยีที่ให้ผู้ดูแลระบบสามารถรันโปรแกรมเล็ก ๆ ใน Kernel ได้โดยตรง ทำให้สามารถตรวจสอบพฤติกรรมของระบบแบบ X-ray vision โดยไม่ต้องรีบูตหรือคอมไพล์ใหม่ บทความจาก It's FOSS แนะนำเครื่องมือ CLI 12 ตัวที่สร้างบน eBPF ซึ่งช่วยให้การแก้ปัญหาที่เคย “แทบเป็นไปไม่ได้” กลายเป็นเรื่องง่ายขึ้น ⚡ เครื่องมือเด่นที่ช่วยชีวิตผู้ดูแลระบบ 🎗️ bpftrace: ภาษาสคริปต์เล็ก ๆ สำหรับดีบัก Kernel แบบเฉพาะกิจ เช่น ตรวจสอบ latency ของ scheduler 🎗️ execsnoop: จับกระบวนการที่เกิดขึ้นและหายไปเร็วเกินกว่าจะเห็นด้วย ps 🎗️ opensnoop: แสดงไฟล์ที่โปรเซสพยายามเปิด พร้อม error code ที่ชัดเจน 🎗️ tcplife: ติดตามอายุการเชื่อมต่อ TCP แต่ละ session เหมาะกับระบบ microservices 🎗️ gethostlatency: ตรวจสอบความล่าช้าในการ resolve DNS ซึ่งมักเป็นสาเหตุของ “network ช้า” 📊 การจัดการ I/O และ Network เครื่องมืออย่าง biotop และ biolatency ช่วยให้ผู้ดูแลระบบเข้าใจปัญหา Disk I/O ได้ทันที ขณะที่ tcpretrans, tcpconnect, และ tcpaccept ช่วยตรวจสอบการเชื่อมต่อเครือข่ายทั้งขาออกและขาเข้า รวมถึงการ retransmission ที่บ่งบอกถึงปัญหาความเสถียรของเครือข่าย นอกจากนี้ biosnoop ยังให้ข้อมูลเชิงลึกระดับ sector สำหรับการดีบัก storage 🔒 การตรวจสอบโปรแกรม eBPF ที่รันอยู่ สุดท้าย bpftool เป็นเครื่องมือสำคัญที่ช่วยตรวจสอบว่าโปรแกรม eBPF อะไรกำลังทำงานอยู่ในระบบ พร้อมรายละเอียดเช่น memory usage และจุดที่โปรแกรมถูก attach ทำให้ผู้ดูแลระบบสามารถควบคุมและแก้ไขได้อย่างมั่นใจ 📌 สรุปประเด็นสำคัญ ✅ eBPF คือการอัปเกรดจากเครื่องมือ Linux แบบดั้งเดิม ➡️ ให้การตรวจสอบระบบแบบเรียลไทม์โดยแทบไม่กระทบ performance ✅ เครื่องมือเด่น 12 ตัว ➡️ bpftrace, execsnoop, opensnoop, tcplife, gethostlatency ➡️ biotop, biolatency, tcpretrans, tcpconnect, tcpaccept, biosnoop, bpftool ✅ การใช้งานจริง ➡️ Debug latency, ตรวจสอบ DNS, วิเคราะห์ Disk I/O, ตรวจสอบ TCP sessions ‼️ คำเตือนสำหรับผู้ดูแลระบบ ⛔ ต้องใช้ Kernel เวอร์ชัน ≥ 4.1 และเปิด config ที่จำเป็น เช่น CONFIG_BPF ⛔ ต้องมีสิทธิ์ root หรือ CAP_SYS_ADMIN มิฉะนั้นเครื่องมืออาจไม่ทำงาน https://itsfoss.com/ebpf-sysadmin-tools/