ebpf tracepoint 功能分析

1. 查看系统支持的所有tracepoint
find /sys/kernel/debug/tracing/events -type d 

可以查看到当前系统支持的所有tracepoint函数点，大家在利用tracepoint功能的时候最好先看看对应的子系统在那些地方有hook点，评估是否能满足功能。比如说你想内视TCP协议栈，那么你可以先tcp trace 支持那些功能：

[root@xxx tcp]# ls /sys/kernel/debug/tracing/events/tcp
enable  tcp_destroy_sock  tcp_rcv_space_adjust  tcp_retransmit_skb     tcp_send_reset
filter  tcp_probe         tcp_receive_reset     tcp_retransmit_synack

这样你就可能跟有的放矢的利用这些Hook点实现自己的功能了。

如果需要查找tcp_receive_reset函数的trace功能，可以在内核中查找trace_tcp_receive_reset，就是该函数的对应的埋点函数了。

[root@xxx]# grep -rn "tcp_receive_reset" net
net/ipv4/tcp_input.c:4051:    trace_tcp_receive_reset(sk);

特别需要指出的是 trace_tcp_receive_reset 是埋点函数，但是不一定就只在tcp_receive_reset调用，比如cpu的相关埋点函数。

接下来有个项目会利用 tracepoint/tcp的能力来构建。