Pcap и потеря пакетов

[shafiev]

Встала задача написания l7 сниффера для аналитики и QOS траффика.

Используемая библиотека будет pcap(альтернативу я покамесь не вижу)

Поток который будет анализироваться примерно 350 мбит/сек и 4000 флоу в сек.

 

1.Не могу лишь понять - насколько существенна проблема потери pcap-ом пакетов при нагрузке?

2.Если она есть - то в чем ее фундаментальная причина?

3.Если есть альтернатива pcap?

[XeonVs]

Можно посмотреть как написан whireshark, кушать процессор любит при обработке.

Формально тормозить будет уже за счет копирования пакета из ядра в юзерспейс.

Можно посмотреть на netghaph в freebsd, будет достаточно производительно. Еще там-же можно посмотреть на фреймворк Khelp ERTT модуль.

Под линуксы посмотреть модули от iptables.

Edited June 24, 2011 by XeonVs

[littlesavage]

Пропуск пакетов в pcap - это не баг, это его фича.

[orlik]

Встала задача написания l7 сниффера для аналитики и QOS траффика.

Используемая библиотека будет pcap(альтернативу я покамесь не вижу)

Поток который будет анализироваться примерно 350 мбит/сек и 4000 флоу в сек.

 

1.Не могу лишь понять - насколько существенна проблема потери pcap-ом пакетов при нагрузке?

2.Если она есть - то в чем ее фундаментальная причина?

3.Если есть альтернатива pcap?

 

http://www.ntop.org/PF_RING.html

[shafiev]

Пропуск пакетов в pcap - это не баг, это его фича.

:) eto ne Perl

 

Встала задача написания l7 сниффера для аналитики и QOS траффика.

Используемая библиотека будет pcap(альтернативу я покамесь не вижу)

Поток который будет анализироваться примерно 350 мбит/сек и 4000 флоу в сек.

 

1.Не могу лишь понять - насколько существенна проблема потери pcap-ом пакетов при нагрузке?

2.Если она есть - то в чем ее фундаментальная причина?

3.Если есть альтернатива pcap?

П

 

http://www.ntop.org/PF_RING.html

 

Примеры использования можешь подсказать?

[shafiev]

Можно посмотреть как написан whireshark, кушать процессор любит при обработке.

Формально тормозить будет уже за счет копирования пакета из ядра в юзерспейс.

Можно посмотреть на netghaph в freebsd, будет достаточно производительно. Еще там-же можно посмотреть на фреймворк Khelp ERTT модуль.

Под линуксы посмотреть модули от iptables.

 

С ядренным делами просто не хочеться заморачиваться в виду немного большей сложностм и написания и портабельности .

Вайршарк так же на pcap базируеться.

Ищу также примеры для понимания всего этого

[orlik]

Пропуск пакетов в pcap - это не баг, это его фича.

:) eto ne Perl

 

Встала задача написания l7 сниффера для аналитики и QOS траффика.

Используемая библиотека будет pcap(альтернативу я покамесь не вижу)

Поток который будет анализироваться примерно 350 мбит/сек и 4000 флоу в сек.

 

1.Не могу лишь понять - насколько существенна проблема потери pcap-ом пакетов при нагрузке?

2.Если она есть - то в чем ее фундаментальная причина?

3.Если есть альтернатива pcap?

П

 

http://www.ntop.org/PF_RING.html

 

Примеры использования можешь подсказать?

 

какие примеры, это тотже pcap только частично вынесеный в ядро, и если нужна высокая производительность , то подругому не получится

[Ivan_83]

если нужна высокая производительность , то подругому не получится

 

Можно самому в ядро переехать.