こんにちは！日々のインフラ運用やトラブルシューティング、本当にお疲れ様です。
突然ですが、夜中に突然「APIのレスポンスが急激に悪化しているぞ！」というアラートが飛んできた時、あなたならどうやって原因を特定しますか？
アプリケーションのログを見る？ APMのトレースを追う？ もちろんそれらも大事ですが、「そもそもKubernetesのポッド間や、クラウドの仮想マシン間ネットワークで何が起きているのか？」というカーネルレベルの真実を知りたくても、従来のツールでは中身がブラックボックスになっていて頭を抱えた経験、ありませんか？
今回は、そんなインフラエンジニアの永遠の悩みを鮮やかに解決してくれる「Datadog System Probe（eBPFベースのネットワーク監視とプロセスインサイト）」について、現場で即戦力となる知識をギュッと凝縮して優しく解説していきます。
これをマスターすれば、「ネットワークのどこでパケットが詰まっているのか」「どのプロセスがリソースを食いつぶしているのか」が手に取るように分かり、毎日のインフラ監視が劇的に楽になりますよ。さあ、一緒に深層オブザーバビリティの世界へ飛び込みましょう！
—
1. eBPFテクノロジーを採用したDatadog System Probeの仕組みとオーバーヘッド削減効果
そもそも「eBPF」って何？ なぜすごいの？
従来の監視エージェントは、カーネル空間（OSの根幹）のデータを取得するために、ユーザー空間から無理やりカーネルに割り込んだり（システムコールのフック）、専用の重いカーネルモジュール（カーネルパニックのリスクがあるもの）を組み込んだりしていました。これがパフォーマンスのボトルネック（オーバーヘッド）の原因になっていたのです。
ここで登場するのが eBPF（Extended Berkeley Packet Filter） です。
eBPFは、「カーネルのソースコードを書き換えることなく、安全に、サンドボックス化されたプログラムをカーネルの特定の位置（フックポイント）で安全に実行できる仕組み」です。
Datadog System Probeの役割
Datadog Agentの内部で動作するSystem Probeは、このeBPFのパワーをフル活用しています。
- 何が嬉しいのか？
- 圧倒的な低オーバーヘッド: カーネル内でパケットやプロセス情報をフィルタリング・集計するため、ユーザー空間に不要なデータを大量に送る必要がありません。CPUやメモリを無駄に消費せず、本番環境でも安心して常時稼働させられます。
- コンテナの「向こう側」が見える: DockerやKubernetesといったコンテナ環境では、ネットワーク名前空間が分離されていて外から見通しが悪くなりがちです。eBPFを使えば、ホストのカーネル直下でパケットをキャッチできるため、どのコンテナからどのコンテナへ通信が流れているのかを完全に把握できます。
—
2. カーネル空間でのTCP再送やコネクション追跡の実装手順
百聞は一見にしかず。実際にDatadog AgentでeBPFベースのネットワーク性能監視（Network Performance Monitoring / NPM）とプロセスインサイトを有効にするための基本セットアップを行いましょう。
ここでは、最も一般的なLinux環境（KubernetesまたはDocker）を想定した手順を解説します。
ステップ1: 前提条件の確認
eBPFを利用するためには、お使いのLinuxカーネルが比較的新しい必要があります。
- 推奨カーネル: Linux 4.4以上（TCP再送や詳細なメトリクスには 4.15以上を強く推奨）
- 権限: 特権コンテナ（Privileged Container）としての実行権限
ステップ2: Datadog Agentの設定ファイル（`datadog.yaml`）
System Probeとネットワーク監視を有効にするための設定を行います。
/etc/datadog-agent/datadog.yaml
1. System Probeの機能を有効化
system_probe_config:
enabled: true
# eBPFを通じたネットワークトラフィックの収集を有効化
network_config:
enabled: true
# プロセスインサイト（リソース消費プロセスの詳細）を有効化
process_config:
enabled: true
2. Network Performance Monitoring (NPM) の有効化
network_monitoring:
enabled: true
ステップ3: Kubernetes（DaemonSet）でのデプロイ設定
Kubernetes環境でSystem Probeを動かす場合、カーネルと直接対話するため、セキュリティコンテキストで特権（`privileged: true`）を付与し、必要なLinuxケーパビリティ（権限）を渡す必要があります。
以下は、Helmやマニフェストで設定する際の最も重要なポイントです（抜粋）。
apiVersion: apps/v1
kind: DaemonSet
metadata:
name: datadog-agent
spec:
template:
…
spec:
containers:
- name: agent
image: gcr.io/datadoghq/agent:7.45.0 # 最新の安定バージョンを推奨
env:
- name: DD_SYSTEM_PROBE_ENABLED
value: “true”
- name: DD_NETWORK_MONITORING_ENABLED
value: “true”
securityContext:
# カーネル空間でeBPFプログラムをロードするために必要
privileged: true
volumeMounts:
# カーネルのデバッグやトレーシングに必要なパスをマウント
- name: debugfs
mountPath: /sys/kernel/debug
- name: cgroup
mountPath: /sys/fs/cgroup
volumes:
- name: debugfs
hostPath:
path: /sys/kernel/debug
- name: cgroup
hostPath:
path: /sys/fs/cgroup
これだけで、Datadog Agentは起動時に自動でカーネルのバージョンを検出し、最適なeBPFバイトコードをJITコンパイルしてカーネルにロードします。
—
3. コンテナ間の通信ボトルネックをeBPFで特定する実務のユースケース
セットアップが無事に完了したら、いよいよ「Hello World」ならぬ、実務で使える極上のユースケースを確認しましょう。
ユースケース：「マイクロサービス間のレイテンシ悪化とTCP再送の犯人特定」
ある日、フロントエンドのポッドから、バックエンドの決済APIポッドへの通信で、時折レスポンスが数秒に跳ね上がる現象が発生したとします。
従来のメトリクス監視（CPUやメモリ）では「異常なし」。ログを見てもタイムアウトしているだけで原因が分からない……そんな絶望的な状況です。
ここでDatadogのNetwork Performance Monitoring (NPM)画面を開きます。
1. サービスマップで通信の「流れ」を可視化
DatadogのGUI上で、フロントエンドのコンテナからバックエンドのコンテナへのコネクションをクリックします。すると、eBPFがカーネルレベルで収集した以下のメトリクスがリアルタイムで表示されます。
- スループット（Bytes/sec）
- ラウンドトリップタイム（RTT）
- TCP再送回数（TCP Retransmissions） ← ここが神髄！
2. カーネルレベルでの「TCP再送」の検知
もしここで「TCP再送率」が急上昇していたらどうでしょう？
これは、アプリのコードの問題ではなく、「ネットワーク層（パケットロスやバッファ溢れ）」に問題があることを意味します。
- eBPFが教えてくれる詳細:
- どのポッド（IP:Port）とどのポッド間でパケットがロストしているか。
- カーネルのソケットバッファが溢れていないか。
3. プロセスインサイトで犯人（リソース泥棒）を特定
さらに、System Probeの「プロセスインサイト」機能を使うと、その瞬間、同じノード上でどのプロセスがCPUやネットワーク帯域を激しく消費していたのかが特定できます。
例えば、裏で動いていたログ転送エージェントがネットワーク帯域を飽和させており、それが原因で決済APIへのパケットがドロップしていた――といった複雑な原因も、一撃で突き止められるのです。
—
まとめ
今回は、Datadog System ProbeとeBPFがもたらすカーネルレベルの深層オブザーバビリティについて解説しました。
- eBPFのおかげで、OSのカーネルを傷つけず、超低オーバーヘッドでネットワークやプロセスの生データを取得できる。
- 設定は `datadog.yaml` で有効化し、Kubernetesでは特権コンテナとしてデプロイするだけ。
- 従来のアプリケーション監視では見えなかった「TCP再送」や「コンテナ間のパケットロス」を可視化し、インフラの悩みを根絶やしにできる。
「ブラックボックスだったカーネルの中身が、手に取るように見える」。この快感を一度味わうと、もう元の監視には戻れなくなります。ぜひ、あなたの現場のStaging環境から試してみてくださいね。
あなたの毎日の運用が、より知的で快適なものになりますように！