go conntracer bpf

go-contracer-bpf

go-conntracer-bpf は、weaveworks/tcptracer-bpf からインスピレーションを得た、BPF kprobe でネットワーク接続 (TCP/UDP) イベント (connect、accept、sendto、recvfrom) をトレースするための Go 用ライブラリです。 go-conntracer-bpf は、BPF に含まれる Linux カーネルの代表的な C ライブラリである libbpf 上に実装されています。

特徴

• カーネルで接続イベントを集約することによる、低オーバーヘッドのトレース。
• BPF CO-RE (Compile Once – Run Everywhere) 対応

前提条件

コンパイルフェーズ

• libbpf ソースコード
• Clang/LLVM >= 9

ランタイムフェーズ

• Linux カーネル バージョン >= 5.6 (bpf マップへのバッチ操作のため)
• BTF タイプ情報を使用してビルドされる Linux カーネル。 https://github.com/libbpf/libbpf#bpf-co-re-compile-once--run-everywhere を参照してください。

両相共通

• libelf ライブラリと zlib ライブラリ

go-conntracer-bpf に含まれる Linux カーネルの機能

go-conntracer-bpf は、Linux カーネルのいくつかの最新機能を利用します。

• カーネル バージョン 4.18 の BPF タイプ フォーマット (BTF)。
• カーネル バージョン 5.6 の BPF マップへのバッチ API (BPF_MAP_UPDATE_BATCH、BPF_MAP_LOOKUP_AND_DELETE_BATCH)。
• カーネル バージョン 5.8 のリング バッファ (カーネルにおける非集約のフレーバーのみ)。

使用法

• ゴドック

コントップ

conntop は、接続イベントを表示する CLI ツールです。

ビルドコントップ

 $ make DOCKER=1

go-contracer-bpf を使用したプロジェクト

• ユウキ/ショウ