分会场2_黄竹刚_ptcpdump：Procesa-aware,eBPF-based tcpdump_报告PPT.pdf

1、ptcpdump第三届 eBPF开发者大会w w w.e b p f t r a v e l.c o m中 国 西 安Process-aware,eBPF-based tcpdump黄竹刚项目介绍使用 eBPF 程序进行抓包的几种方法为流量关联进程信息的几种方法如何支持 pcap-filter(7)包过滤语法资源推荐第 三 届 e B P F 开 发 者 大 会目录项目介绍第三届 eBPF开发者大会w w w.e b p f t r a v e l.c o m中 国 西 安ptcpdump 是一个使用 eBPF 技术开发的网络抓包工具。它的主要特点如下：支持为流量关联进程、容器、Pod 信息。

2、支持对指定进程/容器/Pod 进行抓包。兼容 tcpdump 常用的命令行参数以及输出格式。兼容 tcpdump 使用的 pcap-filter(7)包过滤语法。静态链接，无外部依赖。项目地址：https:/ 三 届 e B P F 开 发 者 大 会项目简介第 三 届 e B P F 开 发 者 大 会默认输出第 三 届 e B P F 开 发 者 大 会详细输出第 三 届 e B P F 开 发 者 大 会PcapNG（PCAP Next Generation）格式输出使用 eBPF 程序进行抓包的几种方法第三届 eBPF开发者大会w w w.e b p f t r a v e l.c o

3、 m中 国 西 安第 三 届 e B P F 开 发 者 大 会常用的网络相关的 eBPF 程序类型ptcpdump 当前支持通过-backend 参数指定使用 TC 或 cGroup SKB（socket buffer）进行抓包。第 三 届 e B P F 开 发 者 大 会ptcpdump 使用的抓包方法为流量关联进程信息的几种方法第三届 eBPF开发者大会w w w.e b p f t r a v e l.c o m中 国 西 安第 三 届 e B P F 开 发 者 大 会cGroup SKB+bpf_get_current_task()第 三 届 e B P F 开 发 者 大 会第

4、 三 届 e B P F 开 发 者 大 会TC+bpf_get_socket_cookie()第 三 届 e B P F 开 发 者 大 会第 三 届 e B P F 开 发 者 大 会Kprobe+bpf_get_current_task()第 三 届 e B P F 开 发 者 大 会支持 pcap-filter(7)包过滤语法第三届 eBPF开发者大会w w w.e b p f t r a v e l.c o m中 国 西 安第 三 届 e B P F 开 发 者 大 会流程第 三 届 e B P F 开 发 者 大 会示例代码https:/ 三 届 e B P F 开 发 者 大 会

5、一行代码实现将 pcap-filter 表达式转换为 eBPF 字节码并注入到原有 eBPF 字节码中：第 三 届 e B P F 开 发 者 大 会 eBPF开发者大会w w w.e b p f t r a v e l.c o m中 国 西 安第 三 届 e B P F 开 发 者 大 会docs.ebpf.io Slack#ebpf第 三 届 e B P F 开 发 者 大 会Telegram 频道t.me/eBPFTalker人称“卷王”的黄富黄老师每天都在给 eBPF 社区做贡献，不是在给内核提交 eBPF 补丁，就是在开发既实用又强大的 eBPF 应用。这个频道时常会分享各种 eBPF 知识以及老师的新项目、新贡献。t.me/w2tbp梁之川梁老师是一个问题解决者，擅长解决各种疑难杂症，能解常人所不能解的 BUG，梁老师是我膜拜和仰望的大牛。这个频道时常会分享各种 eBPF 和 DEBUG 技巧以及新颖的开创性想法。谢谢！第 三 届 e B P F 开 发 者 大 会