Post #363

pwru 的两个局限 1. 由于大量（大部分？）处理 skb 的内核函数都是在 __dev_queue_xmit 之前，在那之前二层头是没有的，所以目前 pcap filter 是直接从三层开始过滤，导致 arp 相关的函数会被 filter out。 2. 由于 tcp 相关函数都是以 struct sock* 或者 struct tcp_sock* 作为入参，而 pwru 只扫 btf 找 struct sk_buff* 入参的函数，所以很多内核行为还没有被观测到。 第一个问题需要想办法静态（或者动态？运行时判断 skb->mac_header?）分类函数们，对二层和三层函数用不同的过滤代码。 第二个问题恐怕比较棘手，因为目前用 btf 貌似不能看出哪些 sk 可以转成 tcp_sock。只能弱智一点，比如函数里包含 'tcp' 则强转类型。 希望有一天，有一个工具能直接告诉大家：你好，你的这个 tcp 会话撞上慢启动了，不信你看这里的内核函数调用情况。