skbx：用 eBPF 追踪 Linux 内核数据包路径的实战工具
Linux 网络栈简直是个黑盒，尤其是当你面对网络命名空间、Netfilter、XDP 程序或者各种隧道时，单纯靠 tcpdump 在接口上抓包根本没法回答一个核心问题：这个包在内核里到底走到哪了？
在部署和安装上，因为它依赖 BPF 后端，对环境有一定要求。需要 Rust 1.85+ 以及 LLVM/Clang。在 Ubuntu 上可以通过以下命令快速补齐依赖：
下一篇
计算机视觉的演进史：模型到底把“知识”存哪了？ →
这就是我研究 skbx 的原因。它不是为了替代 Wireshark 这种分析协议字节的工具，而是充当一个“飞行记录仪”。通过 Rust 和 CO-RE eBPF，它能把数据包在内核函数之间的跳转路径记录下来。最硬核的一点是，它将观察到的证据流以 JSONL 格式持久化，这意味着你可以在没有 root 权限的环境下回放和分析之前的抓包记录，而不需要重新加载 eBPF 程序。
它的追踪能力覆盖面很广，实测可以观察到：
- sk_buff 的处理流程： 包括内核函数调用链。
- 包的状态变化： 比如克隆、复制、写时复制（COW）以及 XDP 到 SKB 的转换。
- 关键路径节点： TC 和 XDP 程序的出入口，以及隧道内部的包元组。
- 丢包原因： 直接读取内核报告的丢包原因，不用再去猜。
在部署和安装上，因为它依赖 BPF 后端，对环境有一定要求。需要 Rust 1.85+ 以及 LLVM/Clang。在 Ubuntu 上可以通过以下命令快速补齐依赖：
sudo apt-get install "linux-tools-$(uname -r)" \
clang llvm libelf-dev libpcap-dev pkg-config从技术实现上看，skbx 的 traceq 机制很有意思。它给每个事件分配一个稳定句柄，并记录一个包含可靠性计数器的页脚（Footer）。如果记录过程中出现了内核预留失败或解码错误，它会明明白白地记录在页脚里，而不是假装一切正常。这种对“观测不确定性”的处理，对于排查深层网络 Bug 来说至关重要。
如果你经常需要处理复杂的 Linux 网络路由问题，或者在做 AI Agent 自动化网络诊断，这种结构化的内核路径证据流比单纯的 pcap 文件有用得多。
全部回复 （3）
老
老阿凯
中级
1天前
这个回放功能是怎么实现的？是用 eBPF 还是在内核层做了快照？如果能把状态机转换过程也记录下来，分析起来应该会更爽。
0
老
Verifier is the real nightmare here. I spent three days just fighting with loop bounds and pointer arithmetic to get a simple map update to pass. Did you use BPF CO-RE or are you building against a specific kernel version?
0
远
