Архитектура ошибки и симптомы сбоя

Ошибка «fentry/kprobe: failed to attach eBPF program: invalid instruction» (сопровождающаяся кодом возврата -EINVAL) возникает при попытке загрузить или прикрепить программу eBPF (BCC, bpftrace, Cilium, Falco, Datadog/Tetragon) к точкам трассировки ядра fentry / fexit или kprobes. Ошибка означает, что загружаемый eBPF байткод содержит инструкции ISA (например, 32-bit atomics, bswap, jump bounds), не поддерживаемые текущей версией ядра, либо ядро собрано без поддержки BTF (BPF Type Format) и CONFIG_DYNAMIC_FTRACE_WITH_REGS.

Диагностическая таблица параметров сбоя

Пошаговое дерево решений и сценарии траблшутинга

Сценарий 1: Проверка поддержки BTF и трамплинов в текущем ядре

# Проверка наличия файла vmlinux BTF в sysfs:
ls -lh /sys/kernel/btf/vmlinux

# Проверка обязательных флагов конфигурации ядра:
zgrep -E "(CONFIG_DEBUG_INFO_BTF|CONFIG_BPF_JIT|CONFIG_HAVE_DYNAMIC_FTRACE_WITH_REGS)" /proc/config.gz || grep -E "(CONFIG_DEBUG_INFO_BTF|CONFIG_BPF_JIT)" /boot/config-$(uname -r)

Если CONFIG_DEBUG_INFO_BTF не равен y, интерфейсы fentry/fexit работать не могут.

Сценарий 2: Перекомпиляция eBPF программы под совместимую версию ISA

Если компилятор Clang сгенерировал инструкции BPF v4, не поддерживаемые старыми ядрами (ниже Linux 6.0):

# Укажите флаг совместимости -mcpu=v2 или -mcpu=v3 при компиляции:
clang -O2 -target bpf -mcpu=v2 -g -c my_ebpf_prog.c -o my_ebpf_prog.o

Сценарий 3: Откат с fentry на стандартные kprobe точки перехвата

Если ядро хоста не поддерживает fentry (требуется Linux 5.5+ и x86_64), переключите тип программы в исходном коде или bpftrace:

# Вместо синтаксиса fentry:
# fentry:do_unlinkat { ... }

# Используйте совместимый синтаксис kprobe:
kprobe:do_unlinkat { ... }

Сценарий 4: Включение JIT-компилятора eBPF

# Включение BPF JIT в ядре:
sudo sysctl -w net.core.bpf_jit_enable=1
sudo sysctl -w net.core.bpf_jit_harden=0