【亲测免费】 推荐开源项目：ptcpdump —— 基于eBPF的高效网络抓包工具

项目介绍

ptcpdump 是一个基于 eBPF 的 tcpdump 实现，它在传统 tcpdump 的基础上增加了一个独特的功能：尽可能地为每个数据包添加进程信息作为注释。这一灵感来源于 jschwinger233/skbdump 项目。

项目技术分析

ptcpdump 利用 eBPF（扩展伯克利包过滤器）技术在内核空间直接应用过滤器，从而实现对网络数据包的高效捕获和分析。eBPF 的优势在于其能够在内核层面进行高效的数据处理，避免了传统方法中用户空间与内核空间频繁切换的开销。

主要技术亮点：

1. 进程感知：能够识别与数据包相关的进程信息，支持按进程 ID 和进程名称过滤数据包。
2. 容器和 Kubernetes 感知：能够识别与数据包相关的容器和 Pod 信息，支持 Docker Engine 和 containerd 多种容器运行时，并支持按容器 ID、容器名称和 Pod 名称过滤数据包。
3. 支持 pcap-filter 语法：使用熟悉的 pcap-filter 语法进行数据包过滤。
4. 内核空间过滤：直接在内核空间应用过滤器，提高抓包效率。
5. PcapNG 格式支持：支持将捕获的数据包保存为 PcapNG 格式，便于使用 Wireshark 等第三方工具进行离线分析。

项目及技术应用场景

ptcpdump 适用于以下场景：

1. 网络故障诊断：通过捕获和分析网络数据包，快速定位网络故障。
2. 安全审计：监控和分析网络流量，识别潜在的安全威胁。
3. 性能优化：分析网络流量，优化网络配置和应用程序性能。
4. 容器和 Kubernetes 环境监控：在容器化环境中，追踪特定容器或 Pod 的网络活动。
5. 开发调试：开发者可以实时查看应用程序的网络通信情况，辅助调试。

项目特点

1. 高效性

基于 eBPF 技术，ptcpdump 能够在内核空间直接处理数据包，大幅提升抓包效率，减少资源消耗。

2. 功能丰富

支持进程、容器和 Kubernetes 多维度的信息展示和过滤，满足多样化的抓包需求。

3. 易用性

提供丰富的命令行参数和示例，用户可以轻松上手，快速进行数据包捕获和分析。

4. 兼容性强

支持多种容器运行时，适用于多种网络环境和操作系统版本。

5. 数据格式灵活

支持将捕获的数据包保存为 PcapNG 格式，便于使用主流的网络分析工具进行进一步分析。

安装和使用

安装要求

• Linux 内核版本 >= 5.2

安装方法

可以从 发布页面 下载适用于 x86_64 和 arm64 的静态链接可执行文件。

使用示例

过滤数据包

sudo ptcpdump -i eth0 tcp
sudo ptcpdump -i eth0 -A -v tcp and port 80 and host 10.10.1.1
sudo ptcpdump -i eth0 'tcp[tcpflags] & (tcp-syn|tcp-fin) != 0'

多接口捕获

sudo ptcpdump -i eth0 -i lo

按进程过滤

sudo ptcpdump -i any --pid 1234 --pid 233 -f
sudo ptcpdump -i any --pname curl

捕获指定进程的网络活动

sudo ptcpdump -i any -- curl ubuntu.com

按容器过滤

sudo ptcpdump -i any --container-id 36f0310403b1
sudo ptcpdump -i any --container-name test

按 Pod 过滤

sudo ptcpdump -i any --pod-name test.default

保存数据为 PcapNG 格式

sudo ptcpdump -i any -w demo.pcapng
sudo ptcpdump -i any -w - port 80 | tcpdump -n -r -
sudo ptcpdump -i any -w - port 80 | tshark -r -

总结

ptcpdump 是一款功能强大、高效易用的网络抓包工具，特别适用于需要深入分析网络流量和进程关系的场景。无论是网络运维、安全审计还是开发调试，ptcpdump 都能提供强大的支持。欢迎大家尝试和使用这款优秀的开源工具！

项目链接