Asynchroniczna libpcap: utrata pakietów?

Question

Mam program, który wysyła zestaw pakietów TCP SYN do hosta (przy użyciu nieprzetworzonych gniazd) i używa libpcap (z filtrem) w celu uzyskania odpowiedzi. Próbuję zaimplementować to w asynchronicznej strukturze we/wy, ale wydaje się, że brakuje niektórych odpowiedzi (mianowicie pierwszych pakietów z serii, gdy zajmuje ona mniej niż 100 microseconds między TCP SYN a odpowiedzią). Uchwyt pcap jest ustawiony tak:

pcap_t* pcap = pcap_open_live(NULL, -1, false, -1, errorBuffer); 
pcap_setnonblock(pcap, true, errorBuffer); 

Następnie dodaję filtr (zawartej na strunie filterExpression):

struct bpf_program filter; 
pcap_compile(pcap, &filter, filterExpression.c_str(), false, 0); 
pcap_setfilter(pcap, &filter); 
pcap_freecode(&filter); 

A na pętli, po wysłaniu każdego pakietu, używam wybierz wiedzieć jeśli mogę odczytać z libpcap:

int pcapFd = pcap_get_selectable_fd(pcap); 
fd_set fdRead; 
FD_ZERO(&fdRead); 
FD_SET(pcapFd, &fdRead); 
select(pcapFd + 1, &fdRead, NULL, NULL, &selectTimeout); 

i przeczytać:

if (FD_ISSET(pcapFd, &fdRead)) { 
    struct pcap_pkthdr* pktHeader; 
    const u_char* pktData; 
    if (pcap_next_ex(pcap, &pktHeader, &pktData) > 0) { 
     // Process received response. 
    } 
    else { 
     // Nothing to receive (or error). 
    } 
} 

Jak już wcześniej wspomniałem, niektóre pakiety są pomijane (wchodząc w "nic do odbioru"). Wiem, że te pakiety istnieją, ponieważ mogę je przechwytywać synchronicznie (używając tcpdump lub wątku z uruchomioną pcap_loop). Czy brakuje tu jakiegoś szczegółu? Czy to jest problem z libpcap?

Answer 1

To wydaje się być problemem z libpcap przy użyciu mapowania pamięci pod Linuksem. Szczegółowe informacje znajdują się pod adresem my other question.

Answer 2

Jeśli FD dla pcap_t jest zgłaszane jako czytelny select() (lub poll() lub cokolwiek wezwanie/mechanizm używasz), nie ma gwarancji, że oznacza to, że tylko jeden pakiet można odczytać bez blokowania.

Jeśli używasz pcap_next_ex(), będziesz czytać tylko jeden pakiet; Jeśli istnieje więcej niż jeden pakiet do odczytania, to jeśli wykonasz kolejny numer select(), powinien on natychmiast powrócić, zgłaszając FD jako możliwy do odczytania, w takim przypadku prawdopodobnie prawdopodobnie ponownie zadzwonisz pod numer pcap_next_ex() i tak dalej. Oznacza to co najmniej jedno wywołanie systemowe na pakiet (select()) i prawdopodobnie więcej połączeń, w zależności od wersji systemu operacyjnego i wersji posiadanej biblioteki libpcap.

Jeśli zamiast tego miałbyś wywołać pcap_dispatch(), z argumentem liczby pakietów równym -1, to wywołanie zwróci wszystkie pakiety, które można uzyskać za pomocą pojedynczej operacji odczytu i przetworzy je wszystkie, więc na większości platformy, możesz otrzymać wiele pakietów z jednym lub dwoma wywołaniami systemowymi, jeśli dostępnych jest wiele pakietów (co przy dużym ruchu w sieci, jak możesz uzyskać, jeśli testujesz swój program z powodzią SYN, prawdopodobnie tak się stanie) .

Ponadto w systemach Linux obsługujących przechwytywanie mapowania pamięci (jak sądzę, wszystkie jądra 2.6 i nowsze, i większość, jeśli nie wszystkie, jądra 2.4), oraz nowsze wersje libpcap, pcap_next_ex() musi wykonać kopię pakietu, aby uniknąć zmiany pakietu przez jądro pod kodem przetwarzającym pakiet i aby uniknąć "zamknięcia" gniazda w buforze pierścienia na czas nieokreślony, więc istnieje dodatkowa kopia.