pcap_dispatch - 回调处理问题

Question

我正在编写相当简单的 pcap“实时”捕获引擎，但是 pcap_dispatch 的数据包处理回调实现应该花费相对较长的处理时间。 pcap 是否在单独的线程中运行每个“pcap_handler”回调？如果是，“pcap_handler”是线程安全的，还是应该注意用关键部分来保护它？ 或者，pcap_dispatch回调是否以串行方式工作？例如，仅在数据包 1 的“pcap_handler”完成后才调用数据包 2 的“pcap_handler”吗？如果是这样，是否有办法避免累积延迟？ 谢谢， -V

Answer 1

Pcap 基本上是这样工作的：有一个内核模式驱动程序捕获数据包并将它们放入大小为 B 的缓冲区中。用户模式应用程序可以使用 pcap_loop、pcap_dispatch 或 pcap_next（后者基本上是 pcap_dispatch 与一个数据包）。

因此，当您使用 pcap_dispatch 请求某些数据包时，libpcap 会转到内核并请求缓冲区中的下一个数据包（如果没有超时代码和东西开始，但这与本讨论无关），将其传输到用户区并将其从缓冲区中删除。之后，pcap_dispatch 调用您的处理程序，减少其 packets-to-do 计数器并从头开始。因此，pcap_dispatch 仅在已处理请求数量的数据包、发生错误或发生超时时返回。

正如您所看到的，libpcap 是完全非线程的，就像大多数 C API 一样。然而，内核模式驱动程序显然很乐意将数据包传递到多个线程（否则您将无法从多个进程捕获数据包），并且是完全线程安全的（每个用户模式都有一个单独的缓冲区）处理）。

这意味着您必须自己实现所有并行性。您可能想要做这样的事情：

pcap_dispatch(P, count, handler, data);
.
.
.
struct pcap_work_item {
    struct pcap_pkthdr header;
    u_char data[];
};

void handler(u_char *user, struct pcap_pkthdr *header, u_char *data)
{
    struct pcap_work_item *item = malloc(sizeof(pcap_pkthdr) + header->caplen);
    item->header = *header;
    memcpy(item->data, data, header->caplen);
    queue_work_item(item);
}

请注意，我们必须将数据包复制到堆中，因为回调返回后 header 和 data 指针无效。

函数queue_work_item应该找到一个工作线程，并为其分配处理数据包的任务。既然您说您的回调需要“相对较长的时间”，您可能需要大量的工作线程。寻找合适的工人数量需要进行微调。

在这篇文章的开头，我说过内核模式驱动程序有缓冲区来收集等待处理的传入数据包。该缓冲区的大小是实现定义的。 pcap_open_live 的 snaplen 参数仅控制捕获一个数据包的字节数，但是，无法以便携式方式控制数据包的数量 。它可能是固定大小的。随着越来越多的数据包到达，它可能会变得更大。然而，如果它溢出，所有进一步的数据包都会被丢弃，直到有足够的空间容纳下一个数据包到达。如果您想在高流量环境中使用应用程序，您需要确保 *pcap_dispatch* 回调快速完成。我的示例回调只是将数据包分配给工作人员，因此即使在高流量环境中它也能正常工作。

我希望这能回答您所有的问题。