连接跟踪（也叫会话管理）是状态防火墙关键核心，也是很多网元设备必不可少的一部分。各厂商的实现原理基本雷同，只是根据各自的业务进行修改和优化。其中，还有不少厂商干脆是基于Linux内核实现的。下面，我们就来看看Linux内核中连接跟踪的几个要点。
eBPF 在可观测性中的应用——对 Groundcover、Odigos、Grafana Beyla、Pixie、Cilium 和 Apache SkyWalking 等领先的可观测性平台中 eBPF 使用情况的回顾
Eunomia 是一个使用 C/C++ 开发的基于 eBPF的轻量级，高性能云原生监控工具，旨在帮助用户了解容器的各项行为、监控可疑的容器安全事件，力求提供覆盖容器全生命周期的轻量级开源监控解决方案。它使用 Linux eBPF 技术在运行时跟踪您的系统和应用程序，并分析收集的事件以检测可疑的行为模式。目前，它包含性能分析、容器集群网络可视化分析*、容器安全感知告警、一键部署、持久化存储监控等功能，提供了多样化的 ebpf 追踪点。其核心导出器/命令行工具最小仅需要约 4MB 大小的二进制程序，即可在支持的 Linux 内核上启动。
将 Kubernetes 的 CNI 从其他组件切换为 Cilium, 已经可以有效地提升网络的性能. 但是通过对 Cilium 不同模式的切换/功能的启用, 可以进一步提升 Cilium 的网络性能. 具体调优项包括不限于:
在现代网络应用中，负载均衡是提高性能和可靠性的关键因素之一。通过将请求分发到多个服务器上，负载均衡可以确保请求被合理地处理，并避免单点故障。
连接跟踪是许多网络应用的基础。例如，Kubernetes Service、ServiceMesh sidecar、 软件四层负载均衡器 LVS/IPVS、Docker network、OVS、iptables 主机防火墙等等，都依赖连接跟踪功能。
最新使用通义千问-14B-对话-Demo 模型，由于代码比较大，所以需要使用git lfs克隆项目空间
译者注：本文作者是 Isovalent 联合创始人 & CTO，原文标题 How eBPF will solve Service Mesh - Goodbye Sidecars[1]，译者宋净超。作者回顾了 Linux 内核的连接性，实现服务网格的几种模式，以及如何使用 eBPF 实现无 Sidecar 的服务网格。
在开始之前，让我们先谈谈什么是 eBPF。该首字母缩写词代表可扩展伯克利包过滤器。我不认为这很有帮助。您真正需要知道的是，eBPF 允许您在内核中运行自定义代码。它使内核可编程。让我们稍作停顿，确保我们都在同一个页面上了解内核是什么。内核是操作系统的核心部分，分为用户空间和内核。我们通常编写在用户空间中运行的应用程序。每当这些应用程序想要以任何方式与硬件交互时，无论是读取还是写入文件、发送或接收网络数据包、访问内存，所有这些都需要只有内核才能拥有的特权访问权限。用户空间应用程序必须在想要做任何这些事情时向内核发出请求。内核还负责诸如调度这些不同的应用程序之类的事情，以确保多个进程可以同时运行。
OpenCloudOS 适用于大规模容器集群服务器场景，为了提高服务器的资源利用率，降低业务及客户的服务器成本，提出了离、在线业务混合部署的资源隔离方案。资源隔离 QoS（Quality of Service，服务质量）方案主要包括 CPU、I/O、内存和网络四大模块。
作者 | 凌敏 采访嘉宾 | 陈莉君教授 eBPF 毫⽆疑问是当下最⽕的技术之⼀。2014 年，eBPF 首次出现在 Linux 内核中。经过社区不断迭代，目前，eBPF 在技术上已经成熟，并在故障诊断、⽹络优化、安全控制、性能监控等领域获得⼤量应⽤，项⽬数量呈爆炸式增⻓。在此前的采访中，有不少受访专家对 InfoQ 表示，eBPF 的发展前景广阔，属于 eBPF 的时代已经来临。 那么，eBPF 技术到底为 Linux 带来了哪些改变？为什么近几年突然爆火？国内外发展和落地情况如何？如何预防和处理
在确定最大连接数之前，先来看看系统如何标识一个tcp连接。系统用一个4四元组来唯一标识一个TCP连接：{local ip, local port,remote ip,remote port}。
与任何操作系统一样，在运行 Linux 和相关应用程序时遇到问题并不罕见。在使用闭源程序时尤其如此，因为无法进行精细的代码检查。因此，排除故障和解决问题并不是一个简单的过程。Linux 管理员和工程师很快发现需要补充实用程序。值得庆幸的是，他们并没有等太久。
--icmp-type 8：echo-request 0：echo-reply 例子：两个主机 in和out，允许in ping out 不允许out ping in 做法：首先在in上拒绝所有ping请求，先生成一个白名单再在in上写规则
随着网络的不断扩展以满足日渐增长的业务需求，高效的IP扫描已成为网络管理员确保网络可用性和性能的关键。在大型网络中，扫描通常包括动态IP，多个DNS，DHCP配置和复杂子网的有线和无线设备，包括IP地址管理（IPAM），DHCP管理和DNS管理的高级IP解决方案，会降低网络性能产生的不利影响，比如代价高昂的网络宕机。因此部署有效的IPAM 的高级IP扫描程序至关重要。
在排查网络问题与深入了解网络协议的工作原理的时候，sre最常使用tcpdump。但是实际上tcpdump只能告诉你网络上传输了哪些包，没有体现为什么这么传输，在排查网络丢包问题的时候是存在一定的局限性的。这时候就需要依赖BCC这个工具来深入地排查网络的问题了。(对于tcpdump与bcc的使用后续可以单独介绍)。
这是本系列文章的第一篇, 讲述了我们如何在生产环境中使用 eBPF 调试应用程序而无需重新编译/重新部署. 这篇文章介绍了如何使用 gobpf 和 uprobe 来为 Go 程序构建函数参数跟踪程序. 这项技术也可以扩展应用于其他编译型语言, 例如 C++, Rust 等. 本系列的后续文章将讨论如何使用 eBPF 来跟踪 HTTP/gRPC/SSL 等.
这是本系列文章的第一篇，讲述了我们如何在生产环境中使用 eBPF 调试应用程序而无需重新编译/重新部署。这篇文章介绍了如何使用 gobpf 和 uprobe 来为 Go 程序构建函数参数跟踪程序。这项技术也可以扩展应用于其他编译型语言，例如 C++，Rust 等。本系列的后续文章将讨论如何使用 eBPF 来跟踪 HTTP/gRPC/SSL 等。
CentOS 8 和RedHat Enterprise Linux 8发行的版本是一致的,都是基于 Fedora 28 和 内核 4.18.支持传统的、新兴的工作负载的工具，为用户提供了稳定的、安全的、一致的基础、跨混合云部署。CentOS 完全遵守 Red Hat 的再发行政策，并且致力与上游产品在功能上完全兼容。CentOS 对组件的修改主要是去除 Red Hat 的商标及美工图。该版本还包含全新的 CentOS Streams ，Centos Stream 是一个滚动发布的 Linux 发行版，它介于 Fedora Linux的上游开发和 RHEL 的下游开发之间而存在。你可以把 CentOS Streams 当成是用来体验最新红帽系 Linux 特性的一个版本，而无需等太久。
作者：Hannah Troisi，New Relic高级开发关系工程师，Pixie Labs创始工程师
Perfetto 是一个用于性能检测和跟踪分析的生产级开源堆栈。它提供用于记录系统级和应用程序级跟踪的服务和库、本机 + java 堆分析、使用 SQL 分析跟踪的库以及用于可视化和探索多 GB 跟踪的基于 Web 的 UI。
高级运行时选项（Advanced Runtime Options）： -XX:+UnlockCommercialFeatures 开启商业选项，许多商业特性都需要这个选项的支持。 -XX:+CheckEndorsedAndExtDirs jdk 8中新增加的一个参数，有兴趣的可以去看看openjdk中的关于这一块的实现（http://hg.openjdk.java.net/jdk8u/hs-dev/hotspot/rev/fa6adc194d48） 这个参数是用来阻止Java 命令运行应用（除非没有用到endorsed-standards override机制&扩展机制）。 同时，这个选项会检查应用是否启动了以下机制 1、java.ext.dirs 或 java.endorsed.dirs 属性被设置 2、lib/endorsed 目录存在 && 不为空 3、lib/ext 目录下包含了除JDK以外的JAR 4、系统范围内 特定于平台的扩展目录中包含任何JAR文件 -XX:+DisableAttachMechanism 启动此参数之后，JVM将禁止任何工具连接，通常情况下这个选项是关闭的。外部工具指的是 jstack、jmap、jinfo等JVM辅助分析工具。 -XX:ErrorFile=filename 用于当出现致命错误时，指定一个目录，用来存储Error信息。默认为当前目录下的hs_err_pidpid.log，也就是 filename=./hs_err_pidpid.log -XX:+FailOverToOldVerifier 当新的类型检查失败时，自动使用老的验证器。默认这个是关闭的，但是当我们需要时使用老版本的字节码的时候则需要开启这个选项。 -XX:+FilghtRecorder 嗯。Java 就是性能记录。这是一个商业特性，和 -XX:+UnlockCommercialFeatures 选项一起使用如果这个选项开启了，那么JVM的性能记录是不可用的。 -XX:-FilghtRecorder 嗯，又是性能记录。关闭了 -XX:FilghtRecorderOptions={ parameter=value、 defaultrecording={true|false}、 disk={true|false}、 dumponexit={true|false}、 dumponexitpath=path、 globalbuffersize=size loglevel={quiet|error|warning|info|debug|trace} maxage=time maxchunksize=size maxsize=size repository=path samplethreads={true|false} settings=path stackdepth=depth threadbuffersize=size } defaultrecording: 指定是否在后台一只记录还是只运行一段时间，默认这个参数的值是false。如果要一直开启，请设置为true。 disk：是否JRE持续的把记录写到硬盘中，默认false，如果想要持续记录，需要设置为true。 dumponexit：是否在JVM终止的时候记录JFE的数据 dumponexitpath：JVM终止是记录JFE的数据的路径，如果指定的是一个目录 JVM会自动创建一个文件（文件名一般是以当前时间生成），若是文件名，如果这个文件名已经存在了，通常会加一个时间后缀来区分。这个参数如果不生效，上一个参数的选项也是不成立的 globalbuffersize=size：指定保留数据的总大小。 loglevel：JFE日志的日志级别，默认 Info maxage：设置数据对大的保留时间 maxchunksize=size：设置数据最大块的大小 maxsize=size：设置数据在硬盘的最大容量，默认容量没有限制，前提：仅当disk=true时，此选项可用。 respository=path：设置临时仓库，默认使用系统的临时路径 samplethreads：设置是否进行线程抽样，默认为true setting=path：设置事件配置文件，默认是使用JAVA_HOME/jre/lib/default.jfc stackdepth=depth：设置对应栈追踪的深度，默认深度为64 threadbuffersize=size：指定每个线程的本地缓冲的大小，默认大小为5k
在RHEL7里有几种防火墙共存：firewalld、iptables、ebtables，默认是使用firewalld来管理netfilter子系统，不过底层调用的命令仍然是iptables等。
本文翻译自 2021 年 Daniel Borkmann 在 FOSDEM 的一篇分享：Advanced eBPF kernel features for the container age[1]。
译自 Tetragon 1.0 Promises a New Era of Kubernetes Security and Observability 。
为了让系统能够支持更大的并发，除了必须安装event扩展之外，优化linux内核也是重中之重。
在Linux网络管理和监控领域，conntrack命令是一个强大的工具，它提供了对netfilter连接跟踪系统的直接访问🔍。这篇文章将深入探讨conntrack的由来、底层原理、参数意义，以及其常见用法，并对返回结果的每个字段进行详细解释。
很多公司都使用界面化的监控工具，很酷炫，这说明，监控这块我们几乎都会接触到，大家是有想法的，其次在不同的目的下，选择不同的工具有着不同的目的，今天这篇文章我就给大家介绍酷炫的图形化监控小军刀netdata的使用。
traceroute命令尝试跟踪IP数据包到某个Internet主机的路由，方法是使用一个小ttl(生存时间)启动探测数据包，然后侦听来自网关的ICMP超时回复，它以ttl为1开始探测，并将其增加1，直到获得ICMP port unreachable或TCP reset，这意味着我们到达了host，或达到了最大值(默认为30跳)，在每个ttl设置处发送三个探测(默认)，并打印一行，显示ttl、网关地址和每个探测的往返时间，在请求时，地址后面可以有附加信息，如果探测结果来自不同的网关，则会打印每个响应系统的地址，如果在5.0秒内(默认值)没有响应，则会为该探测器打印一个*。
Radare2项目提供了针对逆向工程分析的完整工具链，功能也比较稳定，而且还支持利用其他编程语言和工具来扩展其功能。而Frida则是一个动态指令工具包，可以通过注入JavaScript代码来对正在运行的目标进程执行检测和操作，而且还可以与脚本进行通信。
本文章来自我的微信个人技术公众号---网络技术修炼，公众号中总结普及网络基础知识，包括基础原理、网络方案、开发经验和问题定位案例等，欢迎关注。
Linux 环境下实战 Rsync 备份工具及配置 rsync+inotify 实时同步
Linux 内核在 2022 年主要发布了 5.16-5.19 以及 6.0 和 6.1 这几个版本，每个版本都为 eBPF 引入了大量的新特性。本文将对这些新特性进行一点简要的介绍，更详细的资料请参考对应的链接信息。总体而言，eBPF 在内核中依然是最活跃的模块之一，它的功能特性也还在高速发展中。某种意义上说，eBPF 正朝着一个完备的内核态可编程接口快速进化。
对于一个文本格式的配置文件，可以利用不同的查看方式来获知文件内容，如直接显示整个文件内容，分页查看文件内容，或者只查看文件开头或末尾的部分内容，在Linux操作系统中，分别由不同的命令来实现这些操作。
Cilium 1.11测试版（Beta）为你带来了一系列引人注目的功能和增强功能，包括OpenTelemetry支持、感知拓扑的负载均衡、Kubernetes APIServer策略匹配，以及更多功能。本文将为您详细介绍这个令人振奋的版本，以及它为现代应用程序网络安全和性能带来的突破。
Eunomia 是一个使用 C/C++ 开发的基于eBPF的云原生监控工具，旨在帮助用户了解容器的各项行为、监控可疑的容器安全事件，力求为工业界提供覆盖容器全生命周期的轻量级开源监控解决方案。它使用 Linux eBPF 技术在运行时跟踪您的系统和应用程序，并分析收集的事件以检测可疑的行为模式。目前，它包含 profile、容器集群网络可视化分析*、容器安全感知告警、一键部署、持久化存储监控等功能。
学术界在推进技术方面发挥了巨大作用，但学术界和工业界往往存在一种分割状态。我们经常会看到这种现象：无数很棒的辅助工具在学术界被忽视，但在工业界很受欢迎。对于很多研究者来说，学习一种新工具可能存在困难，不愿意花费过多的时间去尝试，在当前自己掌握的工具足以应对各种问题时尤其如此。
这个博客最初是由Ayrat Khayretdinov在CloudOps博客上发布
在linux系统中为了更好的实现网络流量的管理，使用了内核的mark来标识网络流量。这样造成了用户层再使用mark来标记多线负载，两种mark会互相覆盖，达不到想要的结果。在此种情况下，通过研究发现可以扩展mark模块来解决这种冲突。 1 Iptables的结构和命令格式分析 1.1 Iptables的结构分析 Iptables是linux系统为用户提供的一个配置防火墙的工具。它提供一个命名规则集。在linux中iptables防火墙实现的核心模块是netfilter，它负责维护防火墙的规则链表，实现防火墙安全防御能力。Netfilter主要有三种功能：数据包过滤、网络地址转换（nat）以及数据包处理（mangle）。数据包过滤模块的功能是过滤报文，不作任何修改，或者接受，或者拒绝。Nat是网络地址转换，该模块以connection tracking模块为基础，仅对每个连接的第一个报文进行匹配和处理，然后交由connection tracking模块将处理结果应用到该连接之后的所有报文。Mangle是属于可以进行报文内容修改的ip tables，可供修改的报文内容包括mark、tos、ttl等。同时该模块带有用户空间和内核交流的接口。 1.2 Iptables命令格式分析 一个最简单的规则可以描述为拒绝所有转发报文，用iptables命令表示就是：iptables -A FORWORD -j DROP。Iptables应用程序将命令行输入转换为程序可读的格式，然后再调用libiptc库提供的iptc_commit（）函数向核心提交该操作请求。它根据请求设置了一个struct ipt_replace结构，用来描述规则所涉及的表和HOOK点等信息，并在其后附接当前这条规则，一个struct ipt_entry结构。组织好这些数据后，iptc_commit（）调用setsockopt（）系统调用来启动核心处理这一请求。 2 Netfilter的结构分析 Netfilter是linux系统中的内核防火墙框架，主要进行包过滤，连接跟踪，地址转换的功能，是防火墙的基础。其主要通过表、链实现。在netfilter中，每种网络协议都有自己的一套hook函数。数据报经过协议栈的几个关键点时调用hook函数，hook函数标号和协议栈数据报作为参数，传递给netfilter框架。其主要框架如图1所示： 3 Netfilter和 Iptables相关模块属性分析 3.1 与netfilter有关的结构 Netfilter一个重大修正思想就是将netfilter作为一个协议无关的框架，表现在内核结构树中单独建立net/netfilter目录，在net/netfilter下的匹配和目标模块文件名称以“xt_”开头。 为了和iptables兼容，这些文件中增加了一个新的宏定义：module_alias，来表示模块的别名。所有扩展程序的名称也是以xt开头。 Netfilter扩展的程序框架： Xt_kzmark.c： Static unsigned int kzmark_tg（struct sk_buff *skb， const struct xt_action_param *par） Static int kzmark_tg_check（const struct xt_tgchk_param *par） Static void kzmark_tg_destroy（const struct xt_tgdtor_param *par） Static boool kzmark_mt（const struct sk_buff *skb， struct xt_action_param *par） Static int kzmark_mt_check（const struct xt_mtchk_param *par） Static void kzmark_mt_destroy（const struct xt_mtdtor_param *par） Static struct xt_target kzmark_tg_reg __read_mostly = {} Static struct xt_match kzmark_mt_reg __read_mostly = {} Static int __init kzmark_mt_init（void） {Int ret； Need_ipv4_conntrack（）； Ret = xt_register_target（&kzmark_tg_reg）； Ret = xt_register_match（&kzmark_mt_reg）；} Static void_exi
为了让系统能够支持更大的并发，除了必须安装event扩展之外，优化linux内核也是重中之重，以下优化每一项都非常非常重要，请务必按逐一完成。
Sniffle是一个基于使用TI CC1352/CC26x2硬件的蓝牙5和4.x LE嗅探器。
BPF 全称是「Berkeley Packet Filter」，中文翻译为「伯克利包过滤器」。它源于 1992 年伯克利实验室，Steven McCanne 和 Van Jacobson 写得一篇名为《The BSD Packet Filter: A New Architecture for User-level Packet Capture》的论文。该论文描述是在 BSD 系统上设计了一种新的用户级的数据包过滤架构。在性能上，新的架构比当时基于栈过滤器的 CSPF 快 20 倍，比之前 Unix 的数据包过滤器，例如：SunOS 的 NIT（The Network Interface Tap ）快 100 倍。
BPF是近年来Linux 系统技术领域一个巨大的创新。作为 Linux 内核的一个关键发展节点，其重要程度不亚于虚拟化、容器、SDN 等技术。
BPF 是近年来Linux 系统技术领域一个巨大的创新。作为 Linux 内核的一个关键发展节点，其重要程度不亚于虚拟化、容器、SDN 等技术。
巴黎 — eBPF 和使用 eBPF 构建的工具通常被视为提供可观察性、安全性或网络功能。但可以说，在许多情况下，所有这些因素都在发挥作用，因为 eBPF 从内核中钩入并扩展到跨环境运行的应用程序和基础设施中。
Printf(“valriable x has value = %d\n”, x)
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
实时音视频
云直播
