eBPF 프로그램은 처음에 제한된 C 하위 집합으로 작성된 다음, Clang과 같은 프런트엔드 프로그래밍 언어를 위한 eBPF의 백엔드 아키텍처 역할을 하는 LLVM과 같은 툴을 사용하여 eBPF 바이트코드로 컴파일됩니다. 바이트코드는 기본적으로 eBPF 명령어 세트 아키텍처를 준수하고 런타임 오류를 방지하는 제한된 명령어 세트입니다.

Linux 커널 기술은 eBPF 바이트코드를 실행 가능한 동작으로 변환할 수 있지만, JIT(Just-In-Time) 컴파일러가 더 뛰어난 성능을 제공합니다. JIT 컴파일러는 바이트코드를 특정 하드웨어 플랫폼을 위한 기본 기계어로 즉시 변환할 수 있습니다. 

사용자 공간 로더는 eBPF 바이트코드를 커널에 로드하고 이를 적절한 후크에 연결하여 관련 eBPF 맵을 관리하는 사용자 공간의 프로그램입니다. 사용자 공간 로더의 예로는 BPF 컴파일러 컬렉션(BCC) 및 bpftrace와 같은 툴이 있습니다.   

eBPF 맵은 키-값 쌍과 읽기-쓰기 액세스가 있는 데이터 구조로, 공유 저장 공간을 제공하고 eBPF 커널 프로그램과 사용자 공간 애플리케이션 간의 상호 작용을 용이하게 합니다. 시스템 호출을 사용하여 생성 및 관리되는 eBPF 맵은 eBPF 프로그램의 여러 반복 작업 사이에 상태를 유지하는 데에도 사용할 수 있습니다.

eBPF 시스템의 핵심 구성 요소인 베리파이어는 바이트코드가 커널에 로드되기 전에 이를 검사하여 프로그램에 무한 루프, 불법 명령어 또는 범위를 벗어난 메모리 액세스와 같은 유해한 연산이 포함되지 않도록 합니다. 또한 프로그램의 모든 데이터 경로가 성공적으로 종료되도록 보장합니다.

후크는 커널 코드에서 eBPF 프로그램을 연결할 수 있는 지점을 말합니다. 커널이 후크에 도달하면 연결된 eBPF 프로그램을 실행합니다.

추적점, kprobe 및 네트워크 패킷 수신 대기열과 같은 다양한 유형의 후크는 eBPF 프로그램에 광범위한 데이터 접근성을 제공하며 다양한 작업을 수행할 수 있도록 합니다. 예를 들어 추적점을 사용하면 프로그램이 커널이나 기타 프로세스에 대한 데이터를 검사하고 수집할 수 있으며, 트래픽 제어 후크를 사용하면 네트워크 패킷을 검사하고 수정할 수 있습니다.

eBPF는 임의의 함수를 생성할 수 없고 가능한 모든 커널 버전과의 호환성을 유지해야 하므로, 때로는 기본 eBPF 명령어 세트가 고급 연산을 수행하기에는 충분히 섬세하지 못한 경우가 있습니다. 헬퍼 함수는 이러한 격차를 해소합니다.

헬퍼 함수는 eBPF가 시스템 내에서 호출할 수 있는 사전 정의된 API 기반 커널 함수의 집합으로, 명령어 집합에서 직접 지원하지 않는 더 복잡한 작업(예: 현재 시간 및 날짜 가져오기 또는 난수 생성)을 eBPF 프로그램이 수행할 수 있는 방법을 제공합니다.