如何在使用onload库的应用中启用tcpdump数据包捕获功能？

原因说明 #

OnLoad会将应用的Socket流量旁路到用户态加速栈，完全跳过内核网络栈的处理环节。而tcpdump默认仅捕获内核网络栈中的数据包，因此无法抓取到OnLoad加速后的应用流量。

可行解决方案 #

1. 使用OnLoad自带抓包工具onload_dumpcap #

OnLoad提供了专门适配自身加速栈的抓包工具，用法和tcpdump一致，直接捕获经过OnLoad处理的流量：

onload_dumpcap -i <网卡名称> -w capture.pcap

生成的capture.pcap文件可以用tcpdump或Wireshark直接打开分析。

2. 临时让应用流量回落到内核栈 #

如果只是临时需要用tcpdump抓包，可以通过环境变量禁用指定应用的OnLoad加速，让流量走内核栈：

ONLOAD_NOLOAD=1 <你的应用启动命令>

之后用常规tcpdump命令即可正常抓包：

tcpdump -i <网卡名称> port <应用监听端口>

3. 配置OnLoad规则分流流量 #

如果需要持续捕获特定流量且不想修改应用启动方式，可修改OnLoad配置文件（通常为/etc/onload.conf），指定特定端口/IP的流量不使用加速：

# 示例：让8080端口流量回落到内核栈
onload_noload_ports = 8080

修改后重启OnLoad服务，即可用tcpdump捕获该端口的流量。

内容的提问来源于stack exchange，提问作者sagar