👩🏼‍💻 ↪️ 👨🏻 BpfTrace - अंत में, लिनक्स पर Dtrace के लिए एक पूर्ण प्रतिस्थापन ⛔️ 👩🏻‍✈️ 🗂️

ऐसा होता है कि सिस्टम छोटी गाड़ी है, धीमा हो जाता है, टूट जाता है। सिस्टम जितना बड़ा होगा, इसका कारण ढूंढना उतना ही मुश्किल होगा। यह जानने के लिए कि भविष्य की समस्याओं को ठीक करने या रोकने के लिए कुछ अपेक्षित नहीं है, आपको अंदर देखना होगा। इसके लिए, सिस्टम में अवलोकन की संपत्ति होनी चाहिए , जो शब्द के व्यापक अर्थ में इंस्ट्रूमेंटेशन द्वारा प्राप्त की जाती है।

पर HighLoad ++, पीटर Zaitsev (Percona) लिनक्स में पता लगाने के लिए उपलब्ध बुनियादी सुविधाओं की समीक्षा की और bpfTrace है, जो (के रूप में नाम का तात्पर्य) प्रदान करता है कई फायदे के बारे में बात की थी। हमने रिपोर्ट का एक पाठ संस्करण बनाया, ताकि आपके लिए विवरणों की समीक्षा करना सुविधाजनक हो और अतिरिक्त सामग्री हमेशा हाथ में रहे।

इंस्ट्रूमेंटेशन को दो बड़े ब्लॉकों में विभाजित किया जा सकता है:

स्टेटिक , जब सूचनाओं के संग्रह को कोड में वायर्ड किया जाता है: रिकॉर्डिंग लॉग, काउंटर, समय आदि।
डायनामिक , जब कोड स्वयं द्वारा इंस्ट्रूमेंट नहीं किया जाता है, लेकिन आवश्यक होने पर इसे करना संभव है।

एक अन्य वर्गीकरण विकल्प रिकॉर्डिंग डेटा के दृष्टिकोण पर आधारित है:

ट्रेसिंग - यदि एक निश्चित कोड ने काम किया है तो घटनाएँ उत्पन्न होती हैं।
नमूनाकरण - सिस्टम की स्थिति की जांच की जाती है, उदाहरण के लिए, प्रति सेकंड 100 बार और यह निर्धारित करता है कि इसमें क्या हो रहा है।

स्टेटिक इंस्ट्रूमेंटेशन कई वर्षों से अस्तित्व में है और लगभग हर चीज में है। लिनक्स पर, Vmstat या शीर्ष जैसे कई मानक उपकरण इसका उपयोग करते हैं। वे procfs से डेटा पढ़ते हैं, जहां, मोटे तौर पर, अलग-अलग समय और काउंटर कर्नेल कोड से लिखे जाते हैं।

लेकिन आप इनमें से बहुत से काउंटरों को सम्मिलित नहीं कर सकते; आप उनके साथ दुनिया की हर चीज को कवर नहीं कर सकते। इसलिए, गतिशील इंस्ट्रूमेंटेशन उपयोगी हो सकता है, जो आपको वही देखने की अनुमति देता है जिसकी आपको आवश्यकता है। उदाहरण के लिए, यदि टीसीपी / आईपी स्टैक के साथ कोई समस्या है, तो आप बहुत गहराई से जा सकते हैं और विशिष्ट विवरण का निर्देश दे सकते हैं।

Dtrace

DTrace सन माइक्रोसिस्टम्स द्वारा बनाए गए पहले ज्ञात डायनेमिक ट्रेसिंग फ्रेमवर्क में से एक है। इसे 2001 में वापस बनाया जाने लगा और 2005 में सोलारिस 10 में पहली बार इसे रिलीज़ किया गया। दृष्टिकोण बहुत लोकप्रिय हो गया और बाद में कई अन्य वितरणों में चला गया।

दिलचस्प है, DTrace आपको कर्नेल स्पेस और यूजर स्पेस दोनों को इंस्ट्रूमेंट करने की अनुमति देता है। आप किसी भी फ़ंक्शन कॉल पर निशान लगा सकते हैं और विशेष रूप से कार्यक्रमों का निर्देश दे सकते हैं: विशेष DTrace ट्रेसप्वाइंट पेश करें, जो उपयोगकर्ताओं के लिए फ़ंक्शन नामों की तुलना में अधिक समझने योग्य हो सकते हैं।

यह सोलारिस के लिए विशेष रूप से महत्वपूर्ण था, क्योंकि यह एक खुला ऑपरेटिंग सिस्टम नहीं है। केवल कोड को देखना और यह समझना संभव नहीं था कि ट्रेसपॉइंट को ऐसे फ़ंक्शन पर रखने की आवश्यकता है जैसा कि अब नए खुले स्रोत लिनक्स सॉफ्टवेयर में किया जा सकता है।

एक विशेष रूप से उस समय, DTrace की खासियत यह है कि ट्रेसिंग सक्षम नहीं होने के बावजूद , इसमें कुछ भी खर्च नहीं होता है । यह इस तरह से काम करता है कि यह कुछ CPU निर्देशों को एक DTrace कॉल के साथ बदल देता है, जो लौटने पर इन निर्देशों को निष्पादित करता है।

DTrace में, C और Awk के समान एक विशेष डी भाषा में इंस्ट्रूमेंटेशन लिखा जाता है।

बाद में DTrace लिनक्स को छोड़कर लगभग हर जगह दिखाई दिया: 2007 में MacOS पर, 2008 में FreeBSD पर, 2010 में NetBSD में। 2011 में Oracle ने Oracle Unbreakable Linux में DTrace को शामिल किया। लेकिन कुछ लोग Oracle Linux का उपयोग करते हैं, और DTrace कभी भी मुख्य लिनक्स में प्रवेश नहीं करते हैं।

दिलचस्प बात यह है कि 2017 में, ओरेकल ने आखिरकार GPLv2 के तहत DTrace को लाइसेंस दिया, जिसने सिद्धांत रूप में इसे लाइसेंसिंग कठिनाइयों के बिना मेनलाइन लिनक्स में शामिल करना संभव बना दिया, लेकिन यह पहले ही बहुत देर हो चुकी थी। उस समय, लिनक्स में अच्छा बीपीएफ था, जो मुख्य रूप से मानकीकरण के लिए उपयोग किया जाता था।

DTrace को Windows में शामिल किया जा रहा है, अब यह कुछ परीक्षण संस्करणों में उपलब्ध है।

लिनक्स अनुरेखण

DTrace की जगह Linux में क्या है? दरअसल, लिनक्स में ओपन सोर्स स्पिरिट के सबसे अच्छे (या सबसे खराब) रूप में बहुत कुछ है, अलग-अलग ट्रेसिंग फ्रेमवर्क का एक गुच्छा इस समय जमा हो गया है। इसलिए, यह पता लगाना कि क्या इतना सरल नहीं है।

यदि आप इस विविधता से परिचित होना चाहते हैं और इतिहास में रुचि रखते हैं, तो चित्रों के साथ लेख देखें और लिनक्स में अनुरेखण के लिए दृष्टिकोणों का विस्तृत वर्णन करें।

अगर हम सामान्य रूप से लिनक्स में ट्रेसिंग के लिए बुनियादी ढांचे के बारे में बात करते हैं, तो तीन स्तर हैं:

कर्नेल इंस्ट्रूमेंटेशन के लिए इंटरफ़ेस: Kprobe, Uprobe, Dtrace जांच, आदि।
«», . , probe, , user space . : , user space, Kernel Module, - , eBPF.
-, , : Perf, SystemTap, SysDig, BCC .. bpfTtrace , , .

eBPF — Linux

इन सभी रूपरेखाओं के साथ, ईएक्सपीएफ हाल के वर्षों में लिनक्स पर मानक बन गया है। यह एक अधिक उन्नत, अत्यधिक लचीला और प्रभावी उपकरण है जो लगभग हर चीज की अनुमति देता है।

EBPF क्या है और यह कहां से आया है? वास्तव में, EBPF एक विस्तारित बर्कले पैकेट फ़िल्टर है, और BPF को 1992 में एक फ़ायरवॉल द्वारा कुशल पैकेट फ़िल्टरिंग के लिए एक आभासी मशीन के रूप में विकसित किया गया था। प्रारंभ में, उनका निगरानी, पालन, या अनुरेखण से कोई संबंध नहीं था।

अधिक आधुनिक संस्करणों में, ईजीपीएफ को विस्तारित किया गया है (इसलिए शब्द विस्तारित), घटनाओं को संभालने के लिए एक सामान्य ढांचे के रूप में । वर्तमान संस्करण अधिक दक्षता के लिए JIT संकलक के साथ एकीकृत हैं।

शास्त्रीय BPF से eBPF के अंतर:

रजिस्टरों को जोड़ा गया;
एक स्टैक दिखाई दिया है;
अतिरिक्त डेटा संरचनाएं (नक्शे) हैं।

अब लोग अक्सर यह भूल जाते हैं कि एक पुराना BPF था, और eBPF को केवल BPF कहा जाता है। अधिकांश आधुनिक अभिव्यक्तियों में, eBPF और BPF एक ही हैं। इसलिए, टूल को bpfTrace कहा जाता है, न कि eBpfTrace।

eBPF को 2014 से मेनलाइन लिनक्स में शामिल किया गया है और धीरे-धीरे इसे कई लिनक्स टूल्स में शामिल किया गया है, जिसमें परफ़ेक्ट, सिस्टमटैप, SysDig शामिल हैं। एक मानकीकरण है।

दिलचस्प है, विकास अभी भी चल रहा है। आधुनिक गुठली eBPF का बेहतर और बेहतर समर्थन करती है।

आप देख सकते हैं कि आधुनिक कर्नेल संस्करण यहां क्या दिखाई देते हैं ।

EBPF कार्यक्रम

तो क्या EBPF है और यह दिलचस्प क्यों है?

eBPF अपने विशेष बाइटकोड में एक कार्यक्रम है , जो सीधे कर्नेल में शामिल होता है और ट्रेस घटनाओं के प्रसंस्करण का कार्य करता है। इसके अलावा, यह तथ्य कि यह एक विशेष बायोटेक में बनाया गया है, कर्नेल को कुछ सत्यापन करने की अनुमति देता है कि कोड काफी सुरक्षित है। उदाहरण के लिए, जांचें कि यह लूप का उपयोग नहीं करता है, क्योंकि कर्नेल में महत्वपूर्ण खंड में लूप पूरे सिस्टम को लटका सकता है।

लेकिन यह पूरी तरह से सुरक्षित होने की अनुमति नहीं देता है। उदाहरण के लिए, यदि आप एक बहुत ही जटिल ईएक्सपीएफ प्रोग्राम लिखते हैं, तो इसे कर्नेल में एक घटना में सम्मिलित करें जो 10 मिलियन बार प्रति सेकंड होता है, फिर सब कुछ बहुत धीमा हो सकता है। लेकिन एक ही समय में, EBPF पुराने दृष्टिकोण की तुलना में अधिक सुरक्षित है, जब केवल कुछ कर्नेल मॉड्यूल insmod के माध्यम से डाले गए थे, और इन मॉड्यूल में कुछ भी हो सकता है। यदि किसी ने गलती की है, या बस द्विआधारी असंगति के कारण, पूरे कोर गिर सकता है।

EBPF कोड को LLVM Clang द्वारा संकलित किया जा सकता है, अर्थात, eBPF प्रोग्राम बनाने के लिए C के एक सबसेट का उपयोग करते हैं, जो निश्चित रूप से काफी जटिल है। और यह महत्वपूर्ण है कि संकलन कर्नेल पर निर्भर करता है: हेडर का उपयोग यह समझने के लिए किया जाता है कि संरचनाएं क्या उपयोग की जाती हैं और वे किसके लिए उपयोग की जाती हैं आदि। यह इस अर्थ में बहुत सुविधाजनक नहीं है कि या तो एक विशिष्ट कोर से संबंधित कुछ मॉड्यूल हमेशा आपूर्ति किए जाते हैं, या फिर से बनाए जाने की आवश्यकता होती है।

आरेख दिखाता है कि eBPF कैसे काम करता है।

http://www.brendangregg.com/ebpf.html

उपयोगकर्ता एक eBPF प्रोग्राम बनाता है। आगे, कर्नेल, इसके भाग के लिए, इसकी जाँच करता है और इसे लोड करता है। उसके बाद, eBPF निशान, प्रक्रिया की जानकारी के लिए विभिन्न उपकरणों से जुड़ सकता है, इसे मानचित्रों में सहेज सकता है (अस्थायी भंडारण के लिए डेटा संरचना)। फिर उपयोगकर्ता कार्यक्रम आंकड़े पढ़ सकता है, पूर्ण-घटना प्राप्त कर सकता है, आदि।

यह दिखाता है कि कौन सी ईएक्सपीएफ में लिनक्स कर्नेल के संस्करण हैं।

यह देखा जा सकता है कि लिनक्स कर्नेल के लगभग सभी सबसिस्टम कवर किए गए हैं, साथ ही हार्डवेयर डेटा के साथ अच्छा एकीकरण है, eBPF के पास सभी प्रकार के कैश मिस या ब्रांच मिस प्रिडिक्शन आदि हैं।

यदि आप eBPF में रुचि रखते हैं, तो IO Visor प्रोजेक्ट देखें, इसमें अधिकांश उपकरण शामिल हैं। IO Visor कंपनी उनके विकास में लगी हुई है, उनके पास नवीनतम संस्करण और बहुत अच्छे दस्तावेज होंगे। अधिक से अधिक eBPF उपकरण लिनक्स वितरण पर दिखाई दे रहे हैं, इसलिए मैं आपको सलाह दूंगा कि आप हमेशा नवीनतम उपलब्ध संस्करणों का उपयोग करें।

EBPF प्रदर्शन

प्रदर्शन के मामले में, eBPF काफी प्रभावी है। यह समझने के लिए कि कितना और क्या ओवरहेड है, आप एक जांच जोड़ सकते हैं, जो प्रति सेकंड कई बार घुमाता है, और यह जांच करता है कि इसे निष्पादित करने में कितना समय लगता है।

Cloudflare के लोगों ने एक बेंचमार्क बनाया । एक साधारण ईएक्सपीएफ जांच ने उन्हें लगभग 100 एनएस लिया, जबकि एक अधिक जटिल ने 300 एनएस लिया। इसका मतलब यह है कि एक जटिल जांच को सिंगल कोर पर प्रति सेकंड लगभग 3 मिलियन बार कॉल किया जा सकता है। यदि मल्टी-कोर प्रोसेसर पर जांच प्रति सेकंड 100 हजार या एक लाख गुना झटका देती है, तो यह प्रदर्शन को बहुत अधिक प्रभावित नहीं करेगा।

EBPF के लिए दृश्यपटल

यदि आप सामान्य रूप से EBPF और ऑब्ज़र्वबिलिटी के विषय में रुचि रखते हैं, तो आपने शायद ब्रेंडन ग्रेग के बारे में सुना होगा। वह इस बारे में बहुत कुछ लिखता और बोलता है और ऐसी सुंदर तस्वीर बनाता है जो कि ईएक्सपीएफ के लिए उपकरण दिखाता है।

यहां आप देख सकते हैं कि, उदाहरण के लिए, आप कच्चे बीपीएफ का उपयोग कर सकते हैं - बस बायोटेक लिख सकते हैं - यह सुविधाओं की एक पूरी श्रृंखला देगा, लेकिन इसके साथ काम करना बहुत मुश्किल होगा। रॉ BPF असेंबलर में वेब एप्लिकेशन लिखने के तरीके के बारे में है - सिद्धांत रूप में, यह संभव है, लेकिन इसे करने की आवश्यकता के बिना।

दिलचस्प है, bpfTrace, एक तरफ, आपको BCC और कच्चे BPF से लगभग सब कुछ प्राप्त करने की अनुमति देता है, लेकिन इसका उपयोग करना बहुत आसान है।

मेरी राय में, दो उपकरण सबसे उपयोगी हैं:

बीसीसी। इस तथ्य के बावजूद कि ग्रीग की योजना के अनुसार, बीसीसी जटिल है, इसमें कई तैयार कार्य शामिल हैं जो केवल कमांड लाइन से लॉन्च किए जा सकते हैं।
BpfTrace । यह आपको केवल अपना टूलकिट लिखने या तैयार किए गए समाधानों का उपयोग करने की अनुमति देता है।

आप कल्पना कर सकते हैं कि दो संस्करणों में एक ही टूल के कोड को देखने पर bpfTrace पर लिखना कितना आसान है।

DTrace बनाम bpfTrace

सामान्य तौर पर, DTrace और bpfTrace एक ही चीज़ के लिए उपयोग किए जाते हैं।

http://www.brendangregg.com/blog/2018-10-08/dtrace-for-linux-2018.html

अंतर यह है कि बीपीएफ पारिस्थितिकी तंत्र में एक बीसीसी भी है जिसका उपयोग जटिल उपकरणों के लिए किया जा सकता है। DTrace में कोई BCC समतुल्य नहीं है, इसलिए, जटिल टूलकिट बनाने के लिए, आमतौर पर Shell + DTrace बंडल का उपयोग करें।

BpfTrace बनाते समय, पूरी तरह से DTrace का अनुकरण करने का कोई कार्य नहीं था। यही है, आप एक DTrace स्क्रिप्ट नहीं ले सकते हैं और इसे bpfTrace पर चला सकते हैं। लेकिन यह ज्यादा मायने नहीं रखता है, क्योंकि निचले स्तर के औजारों में तर्क काफी सरल है। आमतौर पर यह समझना अधिक महत्वपूर्ण है कि आपको किन ट्रेस पॉइंट्स से कनेक्ट करने की आवश्यकता है, और सिस्टम कॉल के नाम और वे क्या करते हैं, यह सीधे तौर पर लिनक्स, सोलारिस, फ्रीबीएसडी में भिन्न होता है। यहीं से अंतर पैदा होता है।

इस मामले में, DTT के 15 साल बाद bpfTrace बनाया जाता है। इसमें कुछ अतिरिक्त विशेषताएं हैं जो DTrace के पास नहीं हैं। उदाहरण के लिए, वह स्टैक के निशान कर सकता है।

लेकिन निश्चित रूप से, बहुत कुछ DTrace से विरासत में मिला है। उदाहरण के लिए, फ़ंक्शन नाम और सिंटैक्स समान हैं , हालांकि पूरी तरह से समकक्ष नहीं हैं।

DTrace और bpfTrace स्क्रिप्ट्स कोड आकार और जटिलता और भाषा क्षमताओं में समान हैं।

bpfTrace

आइए अधिक विस्तार से देखें कि bpfTrace में क्या है, इसका उपयोग कैसे किया जा सकता है और इसके लिए क्या आवश्यक है। BpfTrace का उपयोग

करने के लिए लिनक्स आवश्यकताएँ :

सभी सुविधाओं का उपयोग करने के लिए, आपको कम से कम 4.9 का संस्करण चाहिए। BpfTrace आपको कई अलग-अलग जांच करने की अनुमति देता है, जो उपयोगकर्ता एप्लिकेशन, कर्नेल-जांच इत्यादि में एक फ़ंक्शन कॉल को इंस्ट्रूमेंट करने के लिए शुरू होता है।

दिलचस्प बात यह है कि एक कस्टम अपवर्ड फंक्शन के लिए एक uretprobe बराबर है। कर्नेल के लिए, एक ही चीज kprobe और kretprobe है। इसका मतलब यह है कि वास्तव में ट्रेसिंग ढांचे में आप फ़ंक्शन को कॉल कर सकते हैं जब फ़ंक्शन को कॉल किया जाता है और इस फ़ंक्शन के पूरा होने पर - यह अक्सर समय के लिए उपयोग किया जाता है। या आप उन मानों का विश्लेषण कर सकते हैं जो फ़ंक्शन ने वापस लौटाए और उन्हें उन मापदंडों के अनुसार समूहित किया जिनके साथ फ़ंक्शन को बुलाया गया था। यदि आप एक फ़ंक्शन कॉल को पकड़ते हैं और इससे लौटते हैं, तो आप बहुत सारी शांत चीजें कर सकते हैं।

बीपीएफट्रेस के अंदर यह इस तरह से काम करता है: हम एक बीपीएफ प्रोग्राम लिखते हैं जिसे पार्स किया जाता है, सी में परिवर्तित किया जाता है, फिर क्लैंग के माध्यम से संसाधित किया जाता है, जो बीपीएफ बाइट कोड उत्पन्न करता है, जिसके बाद प्रोग्राम लोड होता है।

प्रक्रिया काफी कठिन है, इसलिए सीमाएं हैं। शक्तिशाली सर्वर पर, bpfTrace अच्छा काम करता है। लेकिन क्लैंग को एक छोटे से एम्बेडेड डिवाइस में खींचने के लिए यह पता लगाना कि क्या चल रहा है, यह एक अच्छा विचार नहीं है। प्लाई इसके लिए उपयुक्त है । बेशक, इसमें bpfTrace की सभी विशेषताएं नहीं हैं, लेकिन यह सीधे बायटेकोड उत्पन्न करता है।

लिनक्स समर्थन

BpfTrace का एक स्थिर संस्करण लगभग एक साल पहले जारी किया गया था, इसलिए यह पुराने लिनक्स वितरण पर उपलब्ध नहीं है। पैकेज लेने या नवीनतम संस्करण को संकलित करने के लिए सबसे अच्छा है जिसे IO Visor वितरित करता है।

दिलचस्प बात यह है कि नवीनतम उबंटू LTS 18.04 में bpfTrace नहीं है, लेकिन इसे स्नैप पैकेज का उपयोग करके वितरित किया जा सकता है। एक तरफ, यह सुविधाजनक है, लेकिन दूसरी तरफ, जिस तरह से स्नैप पैकेज बनाए गए हैं और अलग-थलग हैं, इसलिए सभी फ़ंक्शन काम नहीं करेंगे। कर्नेल-ट्रेसिंग के लिए, स्नैप वाला एक पैकेज अच्छी तरह से काम करता है; उपयोगकर्ता-ट्रेसिंग के लिए, यह सही तरीके से काम नहीं कर सकता है।

प्रक्रिया अनुरेखण उदाहरण

सरल उदाहरण पर विचार करें जो आपको IO अनुरोधों पर आंकड़े प्राप्त करने की अनुमति देता है:

bpftrace -e 'kprobe:vfs_read { @start[tid] = nsecs; }
kretprobe:vfs_read /@start[tid]/ { @ns[comm] = hist(nsecs - @start[tid]); delete(@start[tid]); }'

यहां हम फंक्शन से कनेक्ट करते हैं vfs_read, क्रेटप्रोब और क्रॉम्बे दोनों। आगे प्रत्येक थ्रेड आईडी (tid) के लिए, अर्थात, प्रत्येक अनुरोध के लिए, हम इसके निष्पादन की शुरुआत और अंत को ट्रैक करते हैं। डेटा को न केवल संपूर्ण प्रणाली की समग्रता से, बल्कि विभिन्न प्रक्रियाओं द्वारा भी समूहीकृत किया जा सकता है। नीचे MySQL के लिए IO आउटपुट है।

क्लासिक बिमोडल I / O वितरण दिखाई देता है। बड़ी संख्या में तेज़ अनुरोध डेटा हैं जिन्हें कैश से पढ़ा जाता है। दूसरी चोटी डिस्क से डेटा पढ़ रही है, जहां विलंबता बहुत अधिक है।

आप इसे एक स्क्रिप्ट (bt एक्सटेंशन आमतौर पर उपयोग किया जाता है) के रूप में सहेज सकते हैं, टिप्पणी लिख सकते हैं, इसे प्रारूपित कर सकते हैं और बस आगे उपयोग कर सकते हैं #bpftrace read.bt।

// read.bt file
tracepoint:syscalls:sys_enter_read
{
  @start[tid] = nsecs;
}
tracepoint:syscalls:sys_exit_read / @start[tid]/ 
{
  @times = hist(nsecs - @start[tid]);
  delete(@start[tid]);
}

भाषा की सामान्य अवधारणा काफी सरल है।

सिंटैक्स: कनेक्ट करने के लिए जांच का चयन करें probe[,probe,...] /filter/ { action }।
फ़िल्टर: एक फ़िल्टर निर्दिष्ट करें, उदाहरण के लिए, किसी दिए गए Pid की दी गई प्रक्रिया पर केवल डेटा।
क्रिया: एक मिनी-प्रोग्राम जो सीधे bpf प्रोग्राम में परिवर्तित होता है और जब bpfTrace कहा जाता है, तब चलता है।

अधिक विवरण यहां पाया जा सकता है ।

Bpftrace टूल्स

BpfTrace में एक टूलबॉक्स भी है। BCC पर कई सरल उपकरण अब bpfTrace पर लागू किए गए हैं।

संग्रह अभी भी छोटा है, लेकिन कुछ ऐसा है जो बीसीसी में नहीं है। उदाहरण के लिए, killsnoop आपको किल () के कारण होने वाले संकेतों को ट्रैक करने की अनुमति देता है।

यदि आप bpf कोड को देखने में रुचि रखते हैं, तो bpfTrace में आप -vजनरेट बाइट कोड देख सकते हैं। यह उपयोगी है यदि आप एक भारी जांच को समझना चाहते हैं या नहीं। कोड को देखने और उसके आकार (एक पृष्ठ या दो) का अनुमान लगाने के बाद, आप समझ सकते हैं कि यह कितना जटिल है।

MySQL अनुरेखण उदाहरण

मैं आपको MySQL का एक उदाहरण दिखाता हूं कि यह कैसे काम करता है। MySQL में एक फ़ंक्शन होता dispatch_commandहै जिसमें सभी MySQL क्वेरी निष्पादित होती हैं।

bpftrace -e 'uprobe:/usr/sbin/mysqld:dispatch_command { printf("%s\n", str(arg2)); }'
failed to stat uprobe target file /usr/sbin/mysqld: No such file or directory

मैं सिर्फ MySQL के लिए आने वाले प्रश्नों के पाठ को प्रिंट करने के लिए एक अपॉइंट कनेक्ट करना चाहता था - एक आदिम कार्य। एक समस्या मिली - कहते हैं कि ऐसी कोई फ़ाइल नहीं है। पसंद नहीं जब यहाँ है:

root@mysql1:/# ls -la /usr/sbin/mysqld
-rwxr-xr-x 1 root root 60718384 Oct 25 09:19 /usr/sbin/mysqld

ये सिर्फ स्नैप से आश्चर्यचकित हैं। यदि स्नैप के माध्यम से सेट किया गया है, तो आवेदन स्तर पर समस्याएं हो सकती हैं।

फिर मैंने उपयुक्त संस्करण के माध्यम से स्थापित किया, एक नया उबंटू, फिर से शुरू किया:

root@mysql1:~# bpftrace -e 'uprobe:/usr/sbin/mysqld:dispatch_command { printf("%s\n", str(arg2)); }'
Attaching 1 probe...
Could not resolve symbol: /usr/sbin/mysqld:dispatch_command

"ऐसा कोई प्रतीक नहीं है" - कैसे नहीं? मैं देखता हूँ nmकि ऐसा कोई प्रतीक है या नहीं:

root@mysql1:~# nm -D /usr/sbin/mysqld | grep dispatch_command
00000000005af770 T 
_Z16dispatch_command19enum_server_commandP3THDPcjbb

root@localhost:~# bpftrace -e 'uprobe:/usr/sbin/mysqld:_Z16dispatch_command19enum_server_commandP3THDPcjbb { printf("%s\n", str(arg2)); }'
Attaching 1 probe...
select @@version_comment limit 1
select 1

इस तरह का एक प्रतीक है, लेकिन चूंकि MySQL C ++ से संकलित किया गया है, इसलिए मेनिंग का उपयोग किया जाता है। वास्तव में, इस कमांड में उपयोग किए जाने वाले फ़ंक्शन का वर्तमान नाम, निम्नलिखित है _Z16dispatch_command19enum_server_commandP3THDPcjbb:। यदि आप इसे किसी फ़ंक्शन में उपयोग करते हैं, तो आप कनेक्ट कर सकते हैं और परिणाम प्राप्त कर सकते हैं। परफेक्ट इकोसिस्टम में, कई उपकरण स्वचालित रूप से अनमैंगलिंग करते हैं, और bpfTrace अभी तक सक्षम नहीं है।

इसके अलावा ध्वज पर ध्यान देना -Dके लिए nm। यह महत्वपूर्ण है क्योंकि MySQL, और अब कई अन्य पैकेज, गतिशील प्रतीकों (डिबग प्रतीकों) के बिना आते हैं - वे अन्य पैकेजों में आते हैं। यदि आप इन पात्रों का उपयोग करना चाहते हैं, तो आपको एक ध्वज की आवश्यकता है -D, अन्यथा एनएम उन्हें नहीं देखेगा।

उपयोगी कड़ियाँ

: ++ 25–26 , . , , .

: ++ Online . 5 900 , , -.

: DevOpsConf 2019 HighLoad++ 2019 — , .

— , .

BpfTrace - अंत में, लिनक्स पर Dtrace के लिए एक पूर्ण प्रतिस्थापन