42.6. 追踪 TCP 会话

tcplife 工具使用 eBPF 跟踪打开和关闭的 TCP 会话，并打印一行输出来总结每一个会话。管理员可以使用 tcplife 来识别连接和传输的流量数。

例如，您可以显示到端口 22 (SSH)的连接来检索以下信息：

  • 本地进程 ID（PID）
  • 本地进程名称
  • 本地 IP 地址和端口号
  • 远程 IP 地址和端口号
  • 接收和传输的流量的数量（以 KB 为单位）。
  • 连接处于活跃状态的时间（毫秒）

步骤

  1. 输入以下命令来开始追踪到本地端口 22 的连接： 

    /usr/share/bcc/tools/tcplife -L 22
PID   COMM    LADDR      LPORT RADDR       RPORT TX_KB  RX_KB      MS
19392 sshd    192.0.2.1  22    192.0.2.17  43892    53     52 6681.95
19431 sshd    192.0.2.1  22    192.0.2.245 43902    81 249381 7585.09
19487 sshd    192.0.2.1  22    192.0.2.121 43970  6998     7 16740.35
...

    每次关闭连接时，tcplife 都会显示连接的详情。

  2. 按 Ctrl+C 停止追踪过程。

其他资源

  • tcplife(8) 手册页
  • /usr/share/bcc/tools/doc/tcplife_example.txt 文件