网络探针管理器

网络探测器管理器跟踪系统中的传入和传出网络包 (包信息由 AIX®中的 bpf 模块解释)。 探测器规范允许用户指定 Berkeley 包过滤器 (BPF) 过滤器，类似于用于详细跟踪的 tcpdump 过滤器表达式。

可以使用内置变量来收集因特网协议的包头和有效内容信息。 例如，以太网、因特网协议版本 4/版本 6 (IPv4/v6)、传输控制协议 (TCP)、用户数据报协议 (UDP)、因特网控制报文协议 (ICMP)、因特网组消息协议 (IGMP) 和地址解析协议 (ARP) 协议。

网络探针管理器报告特定于关键协议的事件（TCP 状态更改、往返时间、重新传输和 UDP 缓冲区溢出）。

网络探针管理器处理以下主要用例：

• 根据基于 IP 地址和端口的 bpf 模块提供下列特定于包的信息：
  • 跟踪连接的传入和传出字节。
  • 使用以下内置项来收集协议头和有效内容信息。
    • TCP 标志（SYN 和 FIN）、TCP 序列和应答编号。
    • IPv4/IPv6（IP 地址、协议类型：tcp、udp、icmp 和 igmp 等等）。
    • ICMP（包类型：ECHO REQUEST 和 ECHO RESPONSE 等等）。
• 提供对完整 RAW 网络包的访问以进行探针脚本处理。
• 报告以下协议相关事件：
  • 跟踪 TCP 发送方和接收方缓冲区变满事件。
  • TCP 连接状态从 SYN-SENT 状态更改为 ESTABLISHED 状态，或从 ESTABLISHED 状态更改为 CLOSE 状态。
  • 监视状态更改之间的时间变化量（例如，从 SYN-SENT 状态变为 ESTABLISHED 状态所消耗的时间）。
  • 标识因为侦听器队列已满而废弃连接的侦听器（连接信息）。
  • 标识 TCP 连接的重新传输（包的第二次及后续重新传输）。
  • 标识因为接收缓冲区不足而删除包的 UDP 套接字。

调查规范

网络探针管理器的探针规范包含三个或五个元素，它们之间用 :（冒号）分隔。 第一元组始终为 @@net。

网络探针管理器支持两个主要规范类型：一个类别收集特定于包的信息，另一个类别收集特定于协议的信息。

• 用于收集特定于包的信息的格式：

  @@net:bpf:<interface1>|<interface 2>|…..:<protocol>:<Filter>

• 用于收集特定于协议的信息的格式：

  @@net:tcp:<event_name>

  @@net:udp:<event_name>

探针子类型

第二个元组表示探测器的子类型，该子类型指示包含探测器的 AIX 网络堆栈层。 此元组可具有下列其中一个值（不能为 *）：

探针网络事件或收集网络包信息

第三元组特定于特定子类型（在第二元组中指定）。 它不能具有值 *。

基于 bpf 的探针

此规范包含 5 个元组，以用于下表中描述的基于 bpf 的探针：

1. 规范格式，接口 en0 在端口 23 上接收或发送包（过滤器字符串“port 23”）时，用于从 Vue 脚本访问与以太网头 (__etherhdr)、IP 头（__ip4hdr 或 __ip6hdr）及 TCP 头 (__tcphdr) 信息相关的内置变量：

   @@net:bpf:en0:tcp:“port 23”

2. 规范格式，系统在 en0 和 en1 接口上从主机 example.com 接收或发送包（过滤器字符串“example.com”）时，用于从 Vue 脚本访问与以太网头 (__etherhdr)、IP 头（__ip4hdr 或 __ip6hdr）和 UDP 头 (__udphdr) 信息相关的内置变量：

   @@net:bpf:en0|en1:udp:“host example.com”

3. 规范格式，系统从主机 example.com 接收包或向其发送包时，用于访问原始包信息：

   @@net:bpf:en1:*:“host example.com”

示例

VUE script to access the raw packet data when the “*” is specified as the protocol.

 /* Define the ether header structure */
struct  ether_header {
        char  ether_dhost[6];
        char  ether_shost[6];
        short ether_type;
};

/* ProbeVue script to access and interpret the data from RAW packet */

@@net:bpf:en0:*:"port 23"
{
        /* define the script local variables */
        __auto struct ether_header eth;
        __auto char *mb;

        /* __mdata contains the address of packet data */
        mb =(char *) __mdata;
        printf("Network probevue\n");
        
       /* 
        * Use already available “copy_kdata(…)” VUE function to copy data of 
        * requested size (size of ether_header) from mbuf data pointer to eth
        * (ether_header) variable.
        */
        copy_kdata (mb, eth);
        printf("Ether Type  from raw data :%x\n",eth.ether_type);
      
}

TCP 探针

此规范包含 3 个元组，以用于下表中描述的 TCP 探针：

每当 TCP 相关事件发生时，__proto_info 内置变量提供 TCP 连接（四元组）信息（本地 IP、远程 IP、本地端口和远程端口）。 对于 listen_q_full 事件，远程端口和 IP 地址包含空值。

示例

TCP 协议状态更改的探针规范：

@@net:tcp:state_change

udp 探针

对于 udp 探针，此规范包含三个元组，如下表中所示：

每当套接字接收缓冲区溢出事件发生时，__proto_info 内置变量提供 UDP 协议相关数据（源 IP 和目标 IP 地址、源端口号和目标端口号）。

@@net:udp:sock_recv_buf_overflow

示例

UDP 套接字的接收缓冲区溢出的探针规范：

@@net:udp:sock_recv_buf_overflow

Vue 脚本的网络探针相关内置变量

可使用以下内置变量探测网络相关事件。

__etherhdr 内置变量

__etherhdr 变量是一个特殊内置变量，用于从被过滤包获取以太网头信息。 在接口层使用下列任一协议探测包信息时，此内置变量可用：“ether”、“ipv4”、“ipv6”、“tcp”、“udp”、“icmp4”、“icmp6”、“igmp”、“arp”和“rarp”。 此变量在子类型为 bpf 的探针中可用。 可使用 __etherhdr->member 语法访问其成员元素。

__etherhdr 内置值具有以下成员：

__ip4hdr 变量是一个特殊内置变量，用于从被过滤包获取 IPv4 头信息。 在接口层使用下列任一协议探测包信息时，此内置变量可用：“ipv4”、“tcp”、“udp”、“icmp4”和“igmp”。 而且，IP 版本为 IPv4 时它具有有效数据。 此变量在子类型为 bpf 的探针中可用。 可使用 __ip4hdr->member 语法访问其成员元素。

此内置变量具有下列成员：

IPPROTO_HOPOPTS,
IPPROTO_ICMP, 
IPPROTO_IGMP,
IPPROTO_TCP, 
IPPROTO_UDP, 
IPPROTO_ROUTING,
IPPROTO_FRAGMENT, 
IPPROTO_NONE, 
IPPROTO_LOCAL

__ip6hdr 内置变量

__ip6hdr 变量是一个特殊内置变量，用于从被过滤包获取 IPv6 头信息。 用户在接口层探测包信息时，此变量可用。 IP 版本为 IPv6 时，带有任一协议（“ipv6”、“tcp”、“udp”和“icmp6”）的此变量具有有效数据。 此变量在子类型为 bpf 的探针中可用。 可使用 __ip6hdr->member 语法访问其成员元素。

此内置变量具有下列成员：

__tcphdr 内置变量

__tcphdr 变量是一个特殊内置变量，用于从被过滤包获取 tcp 头信息。 用户使用 tcp 协议在接口层探测包信息时，此变量可用。 它在子类型为 bpf 的探针中可用。 可使用 __tcphdr->member 语法访问其成员元素。

__tcphdr 内置变量具有以下成员：

__udphdr 内置变量

__udphdr 是一个特殊内置变量，用于从被过滤包获取 udp 头信息。 用户使用 udp 作为协议在接口层探测包信息时，此内置变量可用。 它在子类型为 bpf 的探针中可用。 可使用 __udphdr->member 语法访问其成员元素。

__udphdr 内置变量具有下列成员：

__icmp 内置变量

__icmp 是一个特殊内置变量，用于从被过滤包获取 icmp 头信息。 用户使用 icmp 作为协议在接口层探测包信息时，此内置变量可用。 它在子类型为 bpf 的探针中可用。 可使用 __icmp->member 语法访问其成员元素。

此内置变量具有下列成员：

ICMP_ECHOREPLY, 
ICMP_UNREACH
ICMP_SOURCEQUENCH,
ICMP_REDIRECT,
ICMP_ECHO, 
ICMP_TIMXCEED,
ICMP_PARAMPROB,
ICMP_TSTAMP,
ICMP_TSTAMPREPLY,
ICMP_IREQ, 
ICMP_IREQREPLY,
ICMP_MASKREQ,
ICMP_MASKREPLY

ICMP_REDIRECT_NET 
ICMP_REDIRECT_HOST 
ICMP_REDIRECT_TOSNET 
ICMP_REDIRECT_TOSHOST

ICMP_TIMXCEED_INTRANS
ICMP_TIMXCEED_REASS

__icmp6 内置变量

__icmp6 是一个特殊内置变量，用于从被过滤包获取 icmpv6 头信息。 用户使用 icmp6 协议在接口层探测包信息时，此内置变量可用。 它在子类型为 bpf 的探针中可用。 可以使用语法 “__icmp6->member”来访问此内置变量的成员元素。

__icmp6 具有下列成员：

ICMP6_DST_UNREACH
ICMP6_PACKET_TOO_BIG
ICMP6_TIME_EXCEEDED
ICMP6_PARAM_PROB
ICMP6_INFOMSG_MASK
ICMP6_ECHO_REQUEST
ICMP6_ECHO_REPLY 

ICMP6_DST_UNREACH_NOROUTE
ICMP6_DST_UNREACH_ADMIN
ICMP6_DST_UNREACH_ADDR
ICMP6_DST_UNREACH_BEYONDSCOPE
ICMP6_DST_UNREACH_NOPORT

__igmp 内置变量

__igmp 是一个特殊内置变量，用于从被过滤包获取 igmp 头信息。 用户使用 igmp 协议在接口层探测包信息时，此内置变量可用。 它在子类型为 bpf 的探针中可用。 可以使用语法 "__igmp-> member" 来访问其成员元素。

__igmp 内置变量具有下列成员：

IGMP_HOST_MEMBERSHIP_QUERY
IGMP_HOST_MEMBERSHIP_REPORT
IGMP_DVMRP
IGMP_HOST_NEW_MEMBERSHIP_REPORT
IGMP_HOST_LEAVE_MESSAGE
IGMP_HOST_V3_MEMBERSHIP_REPORT
IGMP_MTRACE
IGMP_MTRACE_RESP
IGMP_MAX_HOST_REPORT_DELAY

DVMPP_PROBE           1
DVMRP_REPORT          2
DVMRP_ASK_NEIGHBORS   3
DVMRP_ASK_NEIGHBORS2  4
DVMRP_NEIGHBORS       5
DVMRP_NEIGHBORS2      6
DVMRP_PRUNE           7
DVMRP_GRAFT           8
DVMRP_GRAFT_ACK       9
DVMRP_INFO_REQUEST    10
DVMRP_INFO_REPLY      11

__arphdr 内置变量

__arphdr 是一个特殊内置变量，用于从被过滤包获取 arphdr 头信息。 用户使用 arp 或 rarp 协议在接口层探测包信息时，此变量可用。 它在子类型为 bpf 的探针中可用。可使用 __arphdr->member 语法访问 __arphdr 成员元素。

__arphdr 内置变量具有以下成员：

ARPHRD_ETHER, 
ARPHRD_802_5, 
ARPHRD_802_3, and 
ARPHRD_FDDI

SNAP_TYPE_IP, 
SNAP_TYPE_AP, 
SNAP_TYPE_ARP,
VLAN_TAG_TYPE

ARPOP_REQUEST,
ARPOP_REPLY 

示例

该 Vue 脚本用于探测通过端口 23 接收/发送的包的包头信息。 提供源和目标节点信息，以及 tcp 头长度信息

@@net:bpf:en0:tcp:"port 23"
{
        printf("src_addr:%I and dst_addr:%I\n",__ip4hdr->src_addr,__ip4hdr->dst_addr);
        printf("src port:%d\n",__tcphdr->src_port);
        printf("dst port:%d\n",__tcphdr->dst_port);
        printf("tcp hdr_len:%d\n",__tcphdr->hdr_len);
}

Output:
# probevue bpf_tcp.e
src_addr:10.10.10.12 and dst_addr:10.10.18.231
src port:48401
dst port:23
tcp hdr_len:20
..................
.................

__proto_info 内置变量

__proto_info 变量是一个特殊内置变量，用来获取 TCP 或 UDP 事件的协议信息（源和目标 IP 地址和端口）。 __proto_info 变量在子类型为 tcp 或 udp 的探针中可用。 可使用 __proto_info->member 语法访问其成员元素。

__proto_info 内置变量具有以下成员：

特定于 TCP 的事件的其他信息

下表描述了 TCP 状态更改事件：

例如：

以下 Vue 脚本提供特定连接的状态更改信息：

@@net:tcp:state_change
when(__proto_info->local_addr ==”10.10.10.1” and __proto_info->remote_addr == 10.10.10.2”
	and __proto_info->local_port =”8000” and  __proto_info->remote_port =”9000”)
{
	printf(“Previous state:%d and current_state:%d\n”,__prev_state,__cur_state);
}

TCP 重新传输事件

示例

1. 以下示例标识因为侦听器队列已满而废弃连接的侦听器。

@@net:tcp:listen_q_full
{
	printf(“Listener IP address:%I and Port number is:%d\n”,__proto_info->local_addr, __proto_info->local_port);
}

2. 以下示例标识由于套接字缓冲区溢出而删除包的连接

@@net:udp:sock_recv_buf_overflow
{
        printf("Connection information which drops packet due to socket buffer overflows:\n"); 
        printf("Local IP address:%I and Remote IP address:%I\n",__proto_info->local_addr,__proto_info->remote_addr);
        printf("local port :%d and remote port:%d\n",__proto_info->local_port, __proto_info->remote_port);
 }

3. 标识特定连接的 TCP 连接的重新传输（包的第二次以及后续重新传输）。

@@net:tcp:retransmit
when (__proto_info->local_addr == "10.10.10.1" &&
 	__proto_info->remote_addr == "10.10.10.2" && 
__proto_info->local_port == "4000" &&
 	__proto_info->remote_port == "5000")
{
        printf(" %d th re-transmition for this connection\n", _nth_retransmit);
}

4. 每当发生发送方缓冲区变满事件时标识连接信息。

@@net:tcp:send_buf_full
{
        printf("Connection information whenever send buffer full event occurs:\n"); 
        printf("Local IP address:%I and Remote IP address:%I\n",__proto_info->local_addr,__proto_info->remote_addr);
        printf("local port :%d and remote port:%d\n",__proto_info->local_port, __proto_info->remote_port);
 }