linux - 使用 pcap 与原始套接字捕获性能

Question

在捕获网络流量进行调试时，似乎有两种常见的方法:

1. 使用原始套接字。

2. 使用 libpcap。

在性能方面，这两种方法有很大区别吗？ libpcap 似乎是一种很好的兼容方式来监听真实的网络连接或重放一些固定数据，但该功能集是否会带来性能损失？

Answer 1

答案旨在解释更多关于 libpcap 的信息。

libpcap 使用 PF_PACKET 来捕获接口(interface)上的数据包。请引用以下链接。 https://www.kernel.org/doc/Documentation/networking/packet_mmap.txt

来自上面的链接

在 Linux 2.4/2.6/3.x 中如果没有启用 PACKET_MMAP，捕获过程非常效率低下。它使用非常有限的缓冲区并且需要一个系统调用来捕获每个数据包，如果要获取数据包的时间戳，则需要两次(就像 libpcap 总是那样)。另一方面，PACKET_MMAP 非常有效。 PACKET_MMAP 提供一个大小映射在用户空间中的可配置循环缓冲区，可用于发送或接收数据包。这样读取数据包只需要等待它们，大多数时候不需要发出单个系统调用。关于传输时，可以通过一次系统调用发送多个数据包以获得最高带宽。通过在内核和用户之间使用共享缓冲区还具有最大限度地减少数据包副本的好处。

性能改进可能因使用的 PF_PACKET 实现而异。

来自 https://www.kernel.org/doc/Documentation/networking/packet_mmap.txt -

据说TPACKET_V3带来了以下好处:*) CPU 使用减少 ~15 - 20%*) 抓包率提高~20%

使用 libpcap 的缺点 -

1. 如果应用程序需要保存数据包，那么它可能需要传入数据包的副本。

   请参阅 pcap_next_ex 的联机帮助页。

   pcap_next_ex() 读取下一个数据包并返回成功/失败指示。如果数据包被读取没有问题，指针pkt_header 参数指向的设置为指向数据包的 pcap_pkthdr 结构，以及指向的指针pkt_data 参数设置为指向数据包中的数据。这struct pcap_pkthdr 和数据包数据不会被释放来电者，并不能保证在下一次调用后有效pcap_next_ex()、pcap_next()、pcap_loop() 或 pcap_dispatch()；如果代码需要它们保持有效，它必须复制它们。

2. 如果应用程序只对传入感兴趣，则会导致性能下降 数据包。

   PF_PACKET 在内核中作为分路器工作，即所有传入和传出的数据包都传递到 PF_SOCKET。这会导致对所有传出数据包进行昂贵的 packet_rcv 调用。由于 libpcap 使用 PF_PACKET，因此 libpcap 可以捕获所有传入和传出数据包。如果应用程序只对传入数据包感兴趣，则可以通过在 libpcap 句柄上设置 pcap_setdirection 来丢弃传出数据包。 libpcap 通过检查数据包元数据上的标志在内部丢弃传出的数据包。所以本质上，传出的数据包仍然被 libpcap 看到，但只是稍后被丢弃。这是仅对传入数据包感兴趣的应用程序的性能损失。