go conntracer bpf

go-contracer-bpf

go-conntracer-bpf는 weaveworks/tcptracer-bpf에서 영감을 받아 BPF kprobe에서 네트워크 연결(TCP/UDP) 이벤트(connect, accept, sendto, recvfrom)를 추적하기 위한 Go용 라이브러리입니다. go-conntracer-bpf는 BPF 포함 Linux 커널의 대표적인 C 라이브러리인 libbpf 위에 구현됩니다.

특징

• 커널에서 연결 이벤트를 집계하여 오버헤드가 낮은 추적입니다.
• BPF CO-RE(한 번 컴파일 – 어디서나 실행) 지원

전제조건

컴파일 단계

• libbpf 소스 코드
• 클랭/LLVM >= 9

런타임 단계

• Linux 커널 버전 >= 5.6(bpf 맵에 대한 일괄 작업으로 인해)
• BTF 유형 정보를 사용하여 Linux 커널을 빌드합니다. https://github.com/libbpf/libbpf#bpf-co-re-compile-once--run-everywhere를 참조하세요.

두 단계 공통

• libelf 및 zlib 라이브러리

go-conntracer-bpf에 포함된 Linux 커널의 기능

go-conntracer-bpf는 Linux 커널의 일부 최신 기능을 사용합니다.

• 커널 버전 4.18의 BTF(BPF 유형 형식).
• 커널 버전 5.6의 BPF 맵(BPF_MAP_UPDATE_BATCH, BPF_MAP_LOOKUP_AND_DELETE_BATCH)에 대한 배치 API입니다.
• 커널 버전 5.8의 링 버퍼(커널에서는 집계가 없는 버전만 해당).

용법

• 고독

콘탑

conntop은 연결 이벤트를 표시하는 CLI 도구입니다.

콘탑 구축

 $ make DOCKER=1

go-conntracer-bpf를 사용하는 프로젝트

• 유우키/샤크