一個(gè)非常牛批的 Linux 內(nèi)核網(wǎng)絡(luò)包追蹤工具
一、介紹
1. 核心技術(shù)原理
pwru（Packet, Where Are You?）基于eBPF（Extended Berkeley Packet Filter）實(shí)現(xiàn)，通過(guò)在內(nèi)核網(wǎng)絡(luò)棧關(guān)鍵函數(shù)插入探針，實(shí)現(xiàn)包處理路徑的全景追蹤。主要技術(shù)組件包括：
# eBPF探針注入偽代碼示例
bpf.attach_kprobe(
event="ip_rcv",
fn_name="trace_packet"
)
def trace_packet(ctx):
skb = ctx.get_skb()
record_packet_info(skb)2. 核心功能矩陣
功能模塊 | 技術(shù)實(shí)現(xiàn) | 依賴內(nèi)核版本 |
包路徑追蹤 | kprobe綁定網(wǎng)絡(luò)棧函數(shù) | ≥5.3 |
元數(shù)據(jù)提取 | 訪問(wèn)sk_buff結(jié)構(gòu)體 | ≥5.9 |
多后端支持 | kprobe-multi機(jī)制 | ≥5.18 |
容器網(wǎng)絡(luò)可視化 | 集成cgroupv2接口 | ≥4.15 |
二、部署與驗(yàn)證
1. 環(huán)境準(zhǔn)備清單
# 環(huán)境驗(yàn)證腳本
#!/bin/bash
check_kernel() {
uname -r | awk -F. '{
if ($1<5 || ($1==5 && $2<3)) exit 1
}'
}
mount | grep debugfs || sudo mount -t debugfs none /sys/kernel/debug2. 典型安裝路徑
graph TD
A[獲取可執(zhí)行文件] --> B{環(huán)境類型}
B -->|物理機(jī)| C[直接運(yùn)行pwru]
B -->|容器| D[使用cilium/pwru鏡像]
C --> E[驗(yàn)證BPF程序加載]
D --> E三、高級(jí)調(diào)試場(chǎng)景
1. 復(fù)雜網(wǎng)絡(luò)問(wèn)題診斷
場(chǎng)景描述：某Kubernetes集群出現(xiàn)NodePort服務(wù)間歇性不可達(dá)
# 診斷命令改進(jìn)建議
- ./pwru --filter-namespace default
+ ./pwru --output-stack --filter-func 'kube_proxy*' \
+ --filter-interface eth02. 性能分析模式
# 性能采樣命令（需Linux 5.11+）
sudo ./pwru --profile-cpu --sample-rate 1000 \
--output-lines > pwru_profile.txt四、技術(shù)驗(yàn)證報(bào)告
功能驗(yàn)證矩陣：
測(cè)試項(xiàng) | 方法論 | 預(yù)期結(jié)果 | 實(shí)測(cè)結(jié)果 |
基礎(chǔ)包追蹤 | 在Vagrant環(huán)境發(fā)送ICMP請(qǐng)求 | 顯示完整的ip_rcv到dev_queue_xmit路徑 | ?? |
iptables規(guī)則追蹤 | 添加DROP規(guī)則后發(fā)送匹配流量 | 準(zhǔn)確顯示nf_hook_slow丟棄點(diǎn) | ?? |
容器網(wǎng)絡(luò)隔離 | 在Docker網(wǎng)絡(luò)命名空間執(zhí)行tcpdump | 正確關(guān)聯(lián)容器PID和網(wǎng)絡(luò)事件 | ?? |
五、擴(kuò)展集成方案
與Cilium生態(tài)集成：
// 示例：通過(guò)Cilium API獲取Endpoint信息
func GetEndpoints() {
client := cilium.NewClient()
eps, _ := client.EndpointList()
for _, ep := range eps {
RunPwruDiagnose(ep)
}
}六、安全與許可說(shuō)明
安全告警處理：
# 權(quán)限最小化運(yùn)行方案
sudo capsh --caps='cap_sys_admin+ep' \
-- -c "./pwru --filter-port 80"
七、總結(jié)
pwru 是一個(gè)強(qiáng)大的 Linux 網(wǎng)絡(luò)調(diào)試工具，利用 eBPF 技術(shù)提供對(duì)內(nèi)核網(wǎng)絡(luò)包處理的深入洞察。無(wú)論是網(wǎng)絡(luò)管理員還是開(kāi)發(fā)者，pwru 都能幫助高效診斷和解決復(fù)雜的網(wǎng)絡(luò)問(wèn)題。其靈活的過(guò)濾和輸出選項(xiàng)，以及對(duì)容器化環(huán)境的適配，使其成為現(xiàn)代網(wǎng)絡(luò)調(diào)試的理想選擇。用戶可以通過(guò) GitHub 和 Docker Hub 輕松獲取，并通過(guò) Cilium Slack 社區(qū)獲取支持。
八、地址
https://github.com/cilium/pwru
