libpcap使用PF_PACKET来捕获接口上的数据包.请参阅以下链接.@H_301_4@https://www.kernel.org/doc/Documentation/networking/packet_mmap.txt

从上面的链接

在Linux 2.4 / 2.6 / 3.x中,如果未启用PACKET_MMAP,则捕获过程非常紧凑@H_301_4@效率低下.它使用非常有限的缓冲区,需要一个系统调用@H_301_4@捕获每个数据包,如果要获取数据包的时间戳,则需要两个数据包@H_301_4@(像libpcap一样).@H_301_4@另一方面,PACKET_MMAP非常有效. PACKET_MMAP提供了一个大小@H_301_4@在用户空间中映射的可配置循环缓冲区,可用于任何一个@H_301_4@发送或接收数据包.这样读取数据包只需要等待它们,@H_301_4@大多数情况下,不需要发出单个系统调用.关于@H_301_4@传输时,可以通过一个系统调用发送多个数据包来获取@H_301_4@最高带宽.通过在内核和用户之间使用共享缓冲区@H_301_4@还具有最小化数据包副本的好处.

性能改进可能因使用PF_PACKET实现而异.

从https://www.kernel.org/doc/Documentation/networking/packet_mmap.txt –

据说TPACKET_V3带来以下好处：@H_301_4@*)〜15 – cpu使用率减少20％@H_301_4@*)数据包捕获率增加约20％

使用libpcap的缺点 –

>如果应用程序需要保存数据包,则可能需要进行此操作@H_301_4@传入数据包的副本.

请参阅pcap_next_ex的联机帮助页.

pcap_next_ex()读取下一个数据包并返回成功/失败指示.如果数据包读取没有问题,指针@H_301_4@由pkt_header参数指向设置为指向@H_301_4@pcap_pkthdr用于数据包的结构,以及指向的指针@H_301_4@pkt_data参数设置为指向数据包中的数据.该@H_301_4@struct pcap_pkthdr和分组数据不会被释放@H_301_4@呼叫者,并且在下次呼叫后不保证有效@H_301_4@pcap_next_ex(),pcap_next(),pcap_loop()或pcap_dispatch();如果@H_301_4@代码需要它们保持有效,它必须复制它们.@H_301_4@>如果应用程序只对传入感兴趣,则性能下降@H_301_4@    数据包.

PF_PACKET用作内核中的抽头,即所有传入和传出的数据包都被传送到PF_SOCKET.这导致对所有传出数据包进行昂贵的packet_rcv调用.由于libpcap使用PF_PACKET,因此libpcap可以捕获所有传入和传出的数据包.@H_301_4@如果应用程序只对传入的数据包感兴趣,那么可以通过在libpcap句柄上设置pcap_setdirection来丢弃传出的数据包. libpcap通过检查数据包元数据上的标志在内部丢弃传出的数据包.@H_301_4@所以本质上,libpcap仍然可以看到传出的数据包,但以后才会被丢弃.对于仅对传入数据包感兴趣的应用程序,这是性能损失.