¿Cómo funciona el búfer de pcap unix?

Question

Escenario hipotético: Un flujo de paquete udp llega a la máquina X, que ejecuta dos programas, uno que está escuchando los paquetes con recv() y otro que ejecuta pcap.

En este caso, según tengo entendido, los paquetes se almacenan en la interfaz hasta que el núcleo los interrogue y luego los transfiera a un búfer en la memoria Kernals y copie los paquetes en otros dos búferes, uno buffer para el programa que escucha con recv, y un buffer para el programa que escucha con pcap. Los paquetes se eliminan del respectivo búfer cuando se leen, ya sea por pcap_next() o recv(), la próxima vez que el planificador de procesos los ejecuta (supongo que están bloqueando en este caso). ¿Es esto correcto? ¿Hay realmente 4 buffers usados, o se maneja de otra manera?

Estoy buscando una descripción, lo más detallada posible, sobre qué buffers están realmente involucrados en este caso, y cómo los paquetes se mueven de uno a otro (por ejemplo, un paquete se copia al búfer pcaps antes de que se vaya a la memoria intermedia recv, después o indefinido?).

Sé que esto parece una gran pregunta, pero lo único que realmente me importa es dónde se almacena el paquete, y cuánto tiempo permanece ahí. Los puntos bullet están bien. Idealmente, me gustaría obtener una respuesta general, pero si varía según el sistema operativo, estoy más interesado en Linux.

Answer 1

caso de Linux (BSD son probablemente algo similar, utilizando mbuf s en lugar de skbuff s):

Linux utiliza skbuffs (buffers de los conectores) para amortiguar los datos de red. Un skbuff tiene metadatos sobre algunos datos de red y algunos indicadores sobre esos datos.

Taps (usuarios de pcap) crean clones de skbuffs. Un clon es un skbuff nuevo, pero apunta a los mismos datos. Cuando alguien necesita modificar los datos compartidos por varias skbuffs (la skbuff original y sus clones), primero necesita crear una nueva copia (copy-on-write).

Cuando alguien ya no necesita un skbuff, es kfree_skb() lo es. kfree_skb() disminuye el recuento de referencias, y cuando ese recuento de referencias llega a cero, se libera el skbuff. Es un poco más complicado dar cuenta de los clones, pero esta es la idea general.