一、前言
在分布式架构与微服务高度复杂的现代网络中，网络问题的排查与连接状态的实时监控愈发关键。本指南将带你从 0 到 1 构建一个高性能的 TCP 连接追踪与调试平台，基于 Linux 工具链 tcpdump、conntrack 与 eBPF 技术，满足日常运维、故障排查与安全审计的需求。
二、平台架构设计
平台整体架构分为三层：
- 数据采集层：通过 tcpdump 抓取原始 TCP 流量，conntrack 提取连接状态，结合 eBPF 实现高效事件追踪；
- 处理分析层：使用 Python + scapy 解析数据包，或者将 eBPF 输出导入 InfluxDB/Prometheus；
- 可视化层：通过 Grafana 实现 TCP 连接状态、流量、时延的实时可视化。
三、环境准备
1. 安装基础工具
sudo apt update
sudo apt install -y tcpdump conntrack iproute2
2. 安装 eBPF 工具集（BPF Compiler Collection）
sudo apt install -y clang llvm libbpf-dev libelf-dev
git clone https://github.com/iovisor/bcc.git
cd bcc && mkdir build && cd build
cmake .. && make && sudo make install
四、TCP 流量抓包实战（tcpdump）
1. 抓取指定端口 TCP 流量
sudo tcpdump -i eth0 tcp port 80 -w http_traffic.pcap
2. 过滤指定 IP 的 TCP 会话
sudo tcpdump -i eth0 tcp and host 10.0.0.5
五、连接状态跟踪（conntrack）
1. 实时查看连接状态表
sudo conntrack -L
2. 持续追踪 NAT 映射和 TCP 生命周期
sudo conntrack -E
输出示例：
[NEW] tcp 6 120 SYN_SENT src=192.168.0.10 dst=10.0.0.5 sport=54321 dport=80
六、eBPF 实战（使用 bcc 工具）
1. 安装 Python eBPF 工具包
sudo pip install bcc
2. 编写简单的 eBPF TCP 事件追踪器
from bcc import BPF
prog = """
int kprobe__tcp_connect(struct pt_regs *ctx) {
bpf_trace_printk("TCP Connect Called\\n");
return 0;
}
"""
b = BPF(text=prog)
print("开始追踪 TCP 连接调用...")
b.trace_print()
3. 捕获 TCP 三次握手流程中的系统调用（socket、connect）
七、结合 Prometheus + Grafana 可视化
1. 将 eBPF 输出转为 Prometheus 指标格式
可以将连接数量、RST 包数量、SYN 重传等写入 /metrics 暴露接口，由 Prometheus 采集。
2. Grafana 仪表盘示例指标：
- 当前活跃 TCP 连接数
- SYN 重传次数
- FIN/RST 异常率
- Top N IP 的 TCP 建连数量
八、实战案例
场景：某微服务间频繁出现连接超时
通过：
- conntrack -E 发现大量 TIME_WAIT 状态；
- tcpdump 抓取数据发现三次握手后没有应答；
- eBPF 追踪确认为服务端处理逻辑慢，连接阻塞。
九、安全建议与性能优化
- 避免过度抓包影响性能，可只抓指定流量；
- conntrack 建议分配足够 conntrack 表空间；
- eBPF 程序需编写高效、避免影响内核稳定性。
十、总结
本文以 Linux 原生工具链为核心，结合 eBPF 构建了一个完整的 TCP 连接追踪与调试平台，适用于各类复杂网络环境的故障排查与性能分析，后续可扩展支持 UDP、TLS 流量以及多节点分布式数据聚合等功能。