Solaris / UNIX: O snoop tem o potencial de reduzir o tráfego da rede?

Question

É assim que vejo isso.

Uma cópia da atividade de rede é gravada em um buffer e snoop lê o buffer. Desde que o snoop consiga obter os dados com rapidez suficiente (gravar diretamente em um arquivo é mais rápido do que gravar em um terminal ou um bzip er), o buffer nunca será preenchido.

Mas se houver um alto volume de atividade de rede, e snoop não puder escrevê-lo rapidamente quando chegar (por qualquer razão), então snoop tem que esperar, portanto o buffer original fica cheio.

Se o buffer ficar grande, o que acontece?

• Em favor do rendimento máximo, o buffer cresce indefinidamente. %código%
• Em favor do baixo uso de memória, alguns dados podem ser excluídos. %código%
• Em favor de resultados estáveis, a E / S da rede é engarrafada até que haja mais espaço no buffer. %código%

Estou particularmente interessado no Solaris, mas informações sobre outros sistemas UNIX seriam interessantes.

    

Answer 1

Acho que os pacotes são descartados pela espionagem em favor de não atrasá-los durante períodos de alta atividade.

O Snoop fornece a opção -D para exibir o número de pacotes descartados durante a captura.

A opção -s snaplen pode ser usada para truncar a captura de pacotes após snaplen bytes e significa que há menos chances de estouro de buffer durante períodos de tráfego altos.

A seção de avisos da página man também diz isso

The processing overhead is much higher for realtime packet interpretation. Consequently, the packet drop count may be higher. For more reliable capture, output raw packets to a file using the -o option and analyze the packets off line.