5G从根本上重新定义了网络的构建、运营和安全防护方式
现代5G网络专为超低延迟、超大规模以及覆盖无线接入网（RAN）、核心网和边缘的云原生服务化架构而设计。
这种架构在实现前所未有的敏捷性和可扩展性的同时，也带来了新的运维挑战。5G核心网不再由一组集中式网元构成，而是由容器化服务组成的动态网状架构。这些服务通常由多个供应商提供，每个供应商都有各自的实现方式、安全模型和可观测性工具。
因此，传统监控方法难以全面呈现控制面和用户面内部的运行状况。加密会遮蔽关键的信令数据，特定于供应商的检测工具会形成信息孤岛，而传统的基于数据包的工具则会增加成本、复杂性和性能开销。随着网络对业务成果日益重要，这些因素使运营商面临严重的监控盲区。
5G核心网由分布式微服务网格构成，各微服务通过基于HTTP/2的加密服务化接口（SBI）进行通信。由于各供应商采用各自的技术栈和安全模型，很难了解控制面和用户面内部的运行情况。
5G可观测性挑战
传统监控工具是针对静态网络和未加密数据包流设计的。在如今采用容器化技术的5G架构中，这些前提已不再成立，原因如下：
- 工作负载动态变化。网络功能（NF）持续扩缩容，导致控制面和用户面的可见性与关联分析出现缺口。
- 流量采用端到端加密。传输层安全协议（TLS）1.3和基于HTTP/2的SBI消息传递会隐藏传统监控和安全系统所依赖的元数据。
- 多供应商集成增加复杂性。每家供应商都提供自己的虚拟分流器（VTAP）或数据包捕获机制，但仅适用于其自身的NF、格式和运维边界。
- 分散的可见性会削弱安全性。如果无法统一了解订阅用户、会话和网络功能的行为，就很难以一致且可扩展的方式实施零信任策略和异常检测
5G网络的以下特性进一步加剧了这些挑战：
- 独有协议、传统协议及其协议栈，涵盖SBI和非SBI（PFCP、NAS、NGAP、F1-AP）
- 历代旧版物理基础设施
- 需要跨多个领域进行监控，包括基础设施、应用（网络功能）、安全、操作系统和编排
- 地理覆盖范围和用户体验需求要求网络具备广泛覆盖、可扩展性和高连接性
为保护这些环境，运营商需要实时掌握每条消息、每个会话和每项订阅用户事件，同时避免增加额外开销或运营复杂性。策略必须能够根据风险即时调整，并满足不断变化的监管和合规要求。
订阅用户感知对于高级安全用例至关重要，也是满足合规、审计和合法侦听要求的基础。这些要求依赖于在不同网络日志和域中准确、一致地识别订阅用户。
云原生可见性挑战
分布式环境中的云原生可观测性本身就面临诸多挑战。工作负载动态变化、生命周期短，而且通常隐藏在编排层之后，导致以数据包为中心的传统监控模式日益难以发挥作用。
传统可见性构建方法专为静态基础设施和集中式流量而设计。在云原生5G环境中，这些方法会造成监控盲区、增加运维开销，并限制扩展能力。
F5 BIG-IP eBPF Observability 助力
简化并优化5G
现代5G环境需要一致的高性能可观测性层，以跨越不同供应商，理解5G特有的SBI协议和非SBI协议，并提供支持安全、运维和合规工作流所需的情境智能。
F5 BIG-IP eBPF Observability (EOB)通过部署在5G核心网、边缘和多接入边缘计算环境中的轻量级容器化代理捕获丰富的元数据，从而提供此功能。每个代理均基于eBPF技术，直接在内核层观测流量，涵盖控制平面（SBI、NGAP、PFCP）和用户平面流量，无需依赖边车、数据包代理或特定于供应商的TAP。
与传统方法不同，EOB在每个节点上仅使用一个代理，即可全面洞察该节点上的所有Pod和容器，从而最大限度地降低运维开销，并消除加密和动态扩缩容造成的可观测性盲区。
来自这些代理的遥测数据通过安全消息总线实时流式传输至下游分析、服务保障和安全平台。由此形成持续的运营闭环，可观察网络行为、分析上下文、执行策略，并随条件变化动态调整。
工作原理
BIG-IP EOB为云原生5G环境提供统一的节点级可观测性层，覆盖核心网、边缘/MEC和分布式基础设施。
BIG-IP EOB由轻量级容器化代理组成，可部署在任何运行Kubernetes的环境中。每个代理均采用eBPF技术，直接在内核层观察网络活动，无需依赖边车、数据包代理或特定于供应商的流量探针，即可深入洞察控制平面信令和用户平面流量。
EOB代理从网络流量和容器内部通信中捕获并生成多种类型的遥测数据，包括：
- 原始数据包（用于针对性故障排除）
- 动态拓扑和服务关系
- 从加密流量（包括TLS 1.3）中提取的元数据
- 特定于协议的上下文（例如F1-AP、SBI、DNS、HTTP）
- 高级云原生流记录（CNFlow）
分析平台和第三方工具可以通过编程方式，仅请求特定用例所需的数据，从而减少开销，同时在需要时保留完整保真度的可见性。
所有BIG-IP EOB遥测数据均通过安全消息总线持续实时流式传输，以供即时使用，并支持同步和异步工作流。此架构可在服务保障、安全、基础设施分析和开源工具之间形成持续的运营闭环，同时不会造成可观测性盲区或性能损失。
BIG-IP EOB 与基于 vTAP 的可观测性对比
集成BIG-IP EOB相比传统方法具有明显优势：
实际影响
某大型一级服务提供商在多供应商5G核心网中部署了BIG-IP EOB。该核心网此前依赖多个供应商专用vTAP。该运营商面临遥测数据不一致、网络功能之间存在可见性盲区，以及第三方探针导致资源消耗过高等问题。
通过在每个节点部署一个BIG-IP EOB代理，该运营商实现了对整个5G核心网统一且不受厂商限制的可视性。遥测数据实时流式传输至云原生分析和安全平台，包括以CNF形式运行的F5 BIG-IP Advanced Firewall Manager (AFM)，从而更快获得洞察，并更一致地执行策略。
可量化的改进包括：
- 无需依赖特定供应商，即可统一查看各项网络功能
- 与传统的基于vTAP的方法相比，可降低资源利用率
- 加快故障排除和策略驱动型强制执行的响应速度
由于BIG-IP EOB基于开放标准和容器化架构构建，因此可与F5解决方案及第三方分析平台无缝集成。遥测数据可流式传输至安全信息和事件管理（SIEM）系统、人工智能和机器学习管道，或NETSCOUT、EXFO等服务保障平台，从而无需重复收集数据即可获得更全面的运营洞察。
结论
BIG-IP EOB将深入的内核级可见性与轻量级云原生部署模式相结合，帮助运营商消除现代5G和云原生工作负载中的可见性盲区。
BIG-IP EOB提供实时且不受厂商限制的可观测性，覆盖5G核心网、边缘和分布式基础设施，可从加密的动态环境中提取关键内容，而不会产生额外开销。通过将高保真遥测数据流式传输到现有的分析、服务保障和安全平台，EOB可帮助运营商从被动故障排除转向更快获取洞察、更有力地执行策略，并大规模提升网络运营韧性。