一個非常牛批的 Linux 內核網絡包追蹤工具
作者：IT運維技術圈
無論是網絡管理員還是開發者，pwru 都能幫助高效診斷和解決復雜的網絡問題。其靈活的過濾和輸出選項，以及對容器化環境的適配，使其成為現代網絡調試的理想選擇。
一、介紹
1. 核心技術原理
pwru（Packet, Where Are You?）基于eBPF（Extended Berkeley Packet Filter）實現，通過在內核網絡棧關鍵函數插入探針，實現包處理路徑的全景追蹤。主要技術組件包括：
# eBPF探針注入偽代碼示例
bpf.attach_kprobe(
event="ip_rcv",
fn_name="trace_packet"
)
def trace_packet(ctx):
skb = ctx.get_skb()
record_packet_info(skb)2. 核心功能矩陣
功能模塊 | 技術實現 | 依賴內核版本 |
包路徑追蹤 | kprobe綁定網絡棧函數 | ≥5.3 |
元數據提取 | 訪問sk_buff結構體 | ≥5.9 |
多后端支持 | kprobe-multi機制 | ≥5.18 |
容器網絡可視化 | 集成cgroupv2接口 | ≥4.15 |
二、部署與驗證
1. 環境準備清單
# 環境驗證腳本
#!/bin/bash
check_kernel() {
uname -r | awk -F. '{
if ($1<5 || ($1==5 && $2<3)) exit 1
}'
}
mount | grep debugfs || sudo mount -t debugfs none /sys/kernel/debug2. 典型安裝路徑
graph TD
A[獲取可執行文件] --> B{環境類型}
B -->|物理機| C[直接運行pwru]
B -->|容器| D[使用cilium/pwru鏡像]
C --> E[驗證BPF程序加載]
D --> E三、高級調試場景
1. 復雜網絡問題診斷
場景描述：某Kubernetes集群出現NodePort服務間歇性不可達
# 診斷命令改進建議
- ./pwru --filter-namespace default
+ ./pwru --output-stack --filter-func 'kube_proxy*' \
+ --filter-interface eth02. 性能分析模式
# 性能采樣命令（需Linux 5.11+）
sudo ./pwru --profile-cpu --sample-rate 1000 \
--output-lines > pwru_profile.txt四、技術驗證報告
功能驗證矩陣：
測試項 | 方法論 | 預期結果 | 實測結果 |
基礎包追蹤 | 在Vagrant環境發送ICMP請求 | 顯示完整的ip_rcv到dev_queue_xmit路徑 | ?? |
iptables規則追蹤 | 添加DROP規則后發送匹配流量 | 準確顯示nf_hook_slow丟棄點 | ?? |
容器網絡隔離 | 在Docker網絡命名空間執行tcpdump | 正確關聯容器PID和網絡事件 | ?? |
五、擴展集成方案
與Cilium生態集成：
// 示例：通過Cilium API獲取Endpoint信息
func GetEndpoints() {
client := cilium.NewClient()
eps, _ := client.EndpointList()
for _, ep := range eps {
RunPwruDiagnose(ep)
}
}六、安全與許可說明
安全告警處理：
# 權限最小化運行方案
sudo capsh --caps='cap_sys_admin+ep' \
-- -c "./pwru --filter-port 80"
七、總結
pwru 是一個強大的 Linux 網絡調試工具，利用 eBPF 技術提供對內核網絡包處理的深入洞察。無論是網絡管理員還是開發者，pwru 都能幫助高效診斷和解決復雜的網絡問題。其靈活的過濾和輸出選項，以及對容器化環境的適配，使其成為現代網絡調試的理想選擇。用戶可以通過 GitHub 和 Docker Hub 輕松獲取，并通過 Cilium Slack 社區獲取支持。
八、地址
https://github.com/cilium/pwru
責任編輯：趙寧寧
來源：
IT運維技術圈
