tcpdump丢包问题解决方法

/******************************************************************************
 * Copyright 1998-2008 Davidfan
 * 2010-0205, Davidfan written
 * --------------------
 ******************************************************************************/

 

近日用tcpdump抓包，发现有大量的丢包出现("packets dropped by kernel"),

如下：

tcpdump -i eth0 dst port 1234 and udp -s 2048 -X -tt >a.pack

264 packets captured
3043 packets received by filter
2706 packets dropped by kernel

 

丢包原因：

经过google以及分析，造成这种丢包的原因是由于libcap抓到包后，tcpdump上层没有及时的取出，导致libcap缓冲区溢出，从而覆盖了未处理包，此处即显示为dropped by kernel，注意，这里的kernel并不是说是被linux内核抛弃的，而是被tcpdump的内核，即libcap抛弃掉的，上层监听到

1234端口的server可以正常的获取数据。

 

解决方法：

根据以上分析，可以通过改善tcpdump上层的处理效率来减少丢包率，下面的几步根据需要选用，每一步都能减少一定的丢包率

1.最小化抓取过滤范围，即通过指定网卡，端口，包流向，包大小减少包数量

 

2. 添加-n参数，禁止反向域名解析

tcpdump -i eth0 dst port 1234 and udp -s 2048 -n -X -tt >a.pack

大多数情况这样就可以解决了

可以通过改善tcpdump上层的处理效率来减少丢包率

3. 将数据包输出到cap文件

tcpdump -i eth0 dst port 1234 and udp -s 2048 -n -X -tt  -w a.cap

用了这一步，基本上所有的网络server都可以搞定了

 

4. 用sysctl修改SO_REVBUF参数，增加libcap缓冲区长度

这一步是绝招了，由于设计内核参数修改，尽量不要使用，要用了不行，那就没办法了 ^_^