Taille de la mémoire tampon pour la capture de paquets dans l'espace noyau?

Question

En parcourant la page de manuel de tcpdump here Il semble que le noyau puisse laisser tomber les paquets si le tampon est plein. Je me demandais si

1) cette taille est configurable et/ou 2) où puis-je voir la taille de ma distribution?

De la page de manuel (pour référence):

`a chuté de noyau

paquets` « » (ce qui est le nombre de paquets qui ont été abandonnés, en raison d'un manque d'espace tampon, par le mécanisme de capture de paquets dans le système d'exploitation sur lequel tcpdump s'exécute, si le système d'exploitation signale cette information aux applications, sinon, il sera signalé comme 0).

Answer 1

Il y a plusieurs domaines que vous pouvez vérifier pour atténuer les paquets larguées par noyau:

• Regardez la configuration /proc/sys/net/core/netdev_max_backlog et /proc/sys/net/core/netdev_budget. La valeur par défaut est probablement assez faible; essayez de régler chacun à quelque chose comme 2000
• écriture à l'écran du périphérique de sortie peuvent bloquer/ralentir le processus tcpdump assez longtemps pour remplir le tampon recv
  • Utilisez -nn pour désactiver la recherche DNS et le port de nommage
  • écrire dans le fichier au lieu de l'écran
  • Essayez un outil tel que gulp
• Si vous avez un look machine multi-processeur à l'aide taskset
• Utilisez nice pour définir la priorité du processus

Même avec ces paramètres, il peut être simplement que vous ne pouvez pas suivre la vitesse du trafic que vous essayez de capturer. Regardez les détails de votre carte réseau et de la machine et assurez-vous que ce que vous attendez est même possible.

Answer 2

1) Il est configurable mais pas précisément car il décidera d'une taille appropriée à partir de votre demande.

2) Utilisez setsockopt/getsockopt avec SO_RCVBUF/SO_SNDBUF

Je ne suis pas familier avec linux, mais il semble que ce lien explique bien. http://linux.die.net/man/7/socket