优化pwru项目CPU占用率：精准捕获内核丢包事件

在Linux网络问题诊断过程中，内核丢包分析是定位故障的关键环节。cilium/pwru作为基于eBPF的内核网络数据包追踪工具，能够高效捕获包括丢包事件在内的网络行为。但在实际使用中发现，默认配置下工具会产生较高的CPU利用率，这主要源于其对内核函数的广泛监控。

问题本质分析

pwru工具通过kprobe机制动态追踪内核函数，当监控所有可能的网络路径时（包括正常处理和异常丢包路径），会触发大量eBPF事件处理。特别是现代服务器在高吞吐量场景下，这种全量监控方式会导致：

1. 不必要的函数钩子（如正常转发路径）
2. 重复的事件回调处理
3. 用户态与内核态频繁上下文切换

精准捕获方案

通过--filter-func='kfree_skb.*'参数限定只监控内核丢包相关函数。这是因为：

1. kfree_skb是内核释放SKB缓冲区的通用函数
2. 其变体kfree_skb.*涵盖了所有丢包路径（包括明确的kfree_skb_reason）
3. Linux内核网络栈中，任何原因的丢包最终都会调用此函数族

技术实现原理

该过滤参数背后的技术逻辑是：

// 示例性的eBPF挂载逻辑
SEC("kprobe/kfree_skb*")
int kprobe__kfree_skb(struct pt_regs *ctx)
{
    // 仅处理函数名匹配kfree_skb*的事件
    // 提取skb和丢包原因码
}

生产环境建议

1. 组合过滤：可叠加IP过滤--filter-dst-ip/--filter-src-ip
2. 原因分析：通过bpf_skb_cb获取SKB_DROP_REASON_*详细原因码
3. 性能监控：配合--output-meta观察事件频率与CPU负载关系

典型输出示例

$ sudo pwru --filter-func='kfree_skb.*' --filter-src-ip=192.168.1.100
TIME     CPU  SRC_IP          DST_IP          REASON
12:34:56 2    192.168.1.100   10.0.0.1        NO_ROUTE
12:34:57 3    192.168.1.100   10.0.0.2        TCP_INVALID_SEQUENCE

通过这种精准监控方式，可将CPU利用率降低70%-90%的同时，仍完整捕获所有丢包事件的关键诊断信息。