以pid:25133进程为例, 文件描述符是10、12 对应inode号分别是512505532、512473483的网络连接，同时在下图中的/proc/net/tcp都可以查找到对应连接的详细信息。
根据上述文件信息可以从/proc/net/tcp建立起网络连接五元组->inode的映射, 而 /proc/pid/fd建立起连接inode ->进程的映射。
这样 通过inode号作为桥梁关联起系统内的进程与网络连接的信息。
实现流程
为了实时获取网络连接流量在linux主机上使用开源libpcap库来抓取网络报文。整个实现流程图如下包含以下5个关键步骤。
抓包
使用抓包Libpcap库获取到网络packet结构。
解析报文
解析出packet的五元组(源地址、目标地址、源端口、目标端口、协议号)信息和当前包的流量大小。
缓存更新
在ConnInodeHash查找五元组组成的key对应的inode号如果不存在重新读取/proc/net/tcp与udp刷新ConnInodeHash缓存建立起连接与inode的映射并重新读取/proc/pid/fd目录对所有文件描述符遍历过滤出以socket:开头的连接刷新InodeProcessHash缓存重新建立inode与进程的映射。
hash查找
根据查找到inode号在InodeProcessHash查找相应进程pid。
统计流量
根据报文地址，判断网络连接方向，累加进程流入、流出数据。
总结
对linux主机抓包，结合网络状态文件、进程文件描述符实现一种细粒度的进程级网络流量采集方式。
通过linux 文件inode号作为桥梁，关联出进程、网络连接的关系，可以统计进程接收/发送的总量/平均值等各维度数据，也可以分析出进程各个网络连接的流量数据，这些在主机流量安全分析、网络监控排查等场景方面可作为重要依据。但同时也需要注意的是持续通过libpcap抓包对主机性能有损耗影响。
以上所述是小编给大家介绍的Linux进程网络流量统计的实现过程，希望对大家有所帮助，如果大家有任何疑问请给我留言，小编会及时回复大家的。在此也非常感谢大家对易采站长站网站的支持！
