pwru（Packet, Where Are You?）基于eBPF（Extended Berkeley Packet Filter）实现，通过在内核网络栈关键函数插入探针，实现包处理路径的全景追踪。主要技术组件包括：
# eBPF探针注入伪代码示例 bpf.attach_kprobe(event="ip_rcv",fn_name="trace_packet")deftrace_packet(ctx):skb=ctx.get_skb()record_packet_info(skb)
功能模块 | 技术实现 | 依赖内核版本 |
包路径追踪 | kprobe绑定网络栈函数 | ≥5.3 |
元数据提取 | 访问sk_buff结构体 | ≥5.9 |
多后端支持 | kprobe-multi机制 | ≥5.18 |
容器网络可视化 | 集成cgroupv2接口 | ≥4.15 |
# 环境验证脚本
#!/bin/bashcheck_kernel(){uname-r|awk-F.'{if($1<5||($1==5&&$2<3))exit1}'}mount|grep debugfs||sudo mount-t debugfs none/sys/kernel/debug
graphTDA[获取可执行文件]-->B{环境类型}B-->|物理机|C[直接运行pwru]B-->|容器|D[使用cilium/pwru镜像]C-->E[验证BPF程序加载]D-->E
场景描述：某Kubernetes集群出现NodePort服务间歇性不可达
# 诊断命令改进建议-./pwru--filter-namespacedefault+./pwru--output-stack--filter-func'kube_proxy*'\+--filter-interfaceeth0
# 性能采样命令（需Linux5.11+） sudo./pwru--profile-cpu--sample-rate1000\--output-lines>pwru_profile.txt
功能验证矩阵：
测试项 | 方法论 | 预期结果 | 实测结果 |
基础包追踪 | 在Vagrant环境发送ICMP请求 | 显示完整的ip_rcv到dev_queue_xmit路径 | ✔️ |
iptables规则追踪 | 添加DROP规则后发送匹配流量 | 准确显示nf_hook_slow丢弃点 | ✔️ |
容器网络隔离 | 在Docker网络命名空间执行tcpdump | 正确关联容器PID和网络事件 | ✔️ |
与Cilium生态集成：
// 示例：通过Cilium API获取Endpoint信息funcGetEndpoints(){client:=cilium.NewClient()eps,_:=client.EndpointList()for_,ep:=range eps{RunPwruDiagnose(ep)}}
安全告警处理：
# 权限最小化运行方案 sudo capsh--caps='cap_sys_admin+ep'\---c"./pwru --filter-port 80"
pwru 是一个强大的 Linux 网络调试工具，利用 eBPF 技术提供对内核网络包处理的深入洞察。无论是网络管理员还是开发者，pwru 都能帮助高效诊断和解决复杂的网络问题。其灵活的过滤和输出选项，以及对容器化环境的适配，使其成为现代网络调试的理想选择。用户可以通过 GitHub 和 Docker Hub 轻松获取，并通过 Cilium Slack 社区获取支持。
https://github.com/cilium/pwru