Red Hat Training

A Red Hat training course is available for RHEL 8

51.6. 追踪 TCP 会话

tcplife 工具使用 eBPF 跟踪打开和关闭的 TCP 会话,并打印一行输出来总结每一个会话。管理员可以使用 tcplife 来识别连接和传输的流量数。

例如,您可以显示到端口 22 (SSH)的连接以检索以下信息:

  • 本地进程 ID(PID)
  • 本地进程名称
  • 本地 IP 地址和端口号
  • 远程 IP 地址和端口号
  • 接收和传输的流量的数量(以 KB 为单位)。
  • 连接处于活跃状态的时间(毫秒)

步骤

  1. 输入以下命令来开始追踪到本地端口 22 的连接:

    /usr/share/bcc/tools/tcplife -L 22
    PID   COMM    LADDR      LPORT RADDR       RPORT TX_KB  RX_KB      MS
    19392 sshd    192.0.2.1  22    192.0.2.17  43892    53     52 6681.95
    19431 sshd    192.0.2.1  22    192.0.2.245 43902    81 249381 7585.09
    19487 sshd    192.0.2.1  22    192.0.2.121 43970  6998     7 16740.35
    ...

    每次关闭连接时,tcplife 都会显示连接的详情。

  2. Ctrl+C 停止追踪过程。

其他资源

  • tcplife(8) 手册页
  • /usr/share/bcc/tools/doc/tcplife_example.txt file