周鋒-第二屆eBPF開發者大會報告-xcap.pdf

1、基于eBPF的下一代網絡抓包工具第二屆 eBPF開發者大會w w w.e b p f t r a v e l.c o m周鋒字節跳動STE團隊簡介典型使用場景實現原理未來計劃Q&A第二屆 eBPF開發者大會w w w.e b p f t r a v e l.c o mtcpdump抓包點位置固定:入向是xdp之后，tc之前；出向是tc之后bpftrace+skboutput無法做到tcpdump語法進行過濾第 二 屆 e B P F 開 發 者 大 會簡介自定義抓包位置功能可高度定制第 二 屆 e B P F 開 發 者 大 會簡介基于eBPF進行hook，保證安全和靈活依賴bcc生成字節碼，

2、并load和attach第 二 屆 e B P F 開 發 者 大 會簡介1.內核丟包第 二 屆 e B P F 開 發 者 大 會典型應用場景2.AF_XDP環境抓包第 二 屆 e B P F 開 發 者 大 會典型應用場景整體架構圖第 二 屆 e B P F 開 發 者 大 會實現原理bcc集成了llvm的功能，可即時編譯生成字節碼，并load和attach第 二 屆 e B P F 開 發 者 大 會實現原理tcpdump語法轉換為c函數第 二 屆 e B P F 開 發 者 大 會實現原理skb結構體和報文的對應關系第 二 屆 e B P F 開 發 者 大 會實現原理用sock偽造s

3、kb報文第 二 屆 e B P F 開 發 者 大 會實現原理如何將過濾后的報文生成pcap第 二 屆 e B P F 開 發 者 大 會實現原理開源計劃：github開源集成到字節veLinux系統第 二 屆 e B P F 開 發 者 大 會未來計劃優化方向：使用bpf ringbuf代替perf ringbuf，性能更好，內存消耗更少使用vmlinux btf來自動解析內核函數的參數使用fentry,fexit來降低hook的性能損耗嘗試用低開銷的uprobe技術，支持DPDK抓包（如：bpftime項目)第 二 屆 e B P F 開 發 者 大 會未來計劃我們是字節跳動 STE 團隊(System Technologies&Engineering，系統技術與工程），聚焦系統技術領域的前沿技術動態，技術創新與實踐、行業技術熱點等，期待與你的交流。第 二 屆 e B P F 開 發 者 大 會Q&A歡迎關注【字節跳動SYS Tech】公眾號