2024年3月11日发(作者：)

1

近日用tcpdump抓包，发现有大量的丢包出现("packets dropped by kernel"),

如下：

tcpdump -i eth0 dst port 1234 and udp -s 2048 -X -tt >

264 packets captured

3043 packets received by filter

2706 packets dropped by kernel

丢包原因：

经过google以及分析，造成这种丢包的原因是由于libcap抓到包后，tcpdump上

层没有及时的取出，导致libcap缓冲区溢出，从而 覆盖了未处理包，此处即显示为

dropped by kernel，注意，这里的kernel并不是说是被linux内核抛弃的，而是被

tcpdump的内核，即libcap抛弃掉的，上层监听到

1234端口的server可以正常的获取数据。

解决方法：

根据以上分析，可以通过改善tcpdump上层的处理效率来减少丢包率，下面的几步

根据需要选用，每一步都能减少一定的丢包率

1.最小化抓取过滤范围，即通过指定网卡，端口，包流向，包大小减少包数量

2. 添加-n参数，禁止反向域名解析

tcpdump -i eth0 dst port 1234 and udp -s 2048 -n -X -tt >

大多数情况这样就可以解决了

可以通过改善tcpdump上层的处理效率来减少丢包率

3. 将数据包输出到cap文件

tcpdump -i eth0 dst port 1234 and udp -s 2048 -n -X -tt -w

用了这一步，基本上所有的网络server都可以搞定了

4. 用sysctl修改SO_REVBUF参数，增加libcap缓冲区长度

这一步是绝招了，由于设计内核参数修改，尽量不要使用，要用了不行，那就没办法

了 ^_^

2

通过tcpdump抓包时，结束后tcpdump会给出如下统计信息：