测试目标与总体思路
在CentOS上，所谓“Sniffer”的性能测试，通常指评估抓包与分析链路在目标带宽与包速率下的丢包率、CPU占用、内存与I/O压力，以及过滤与解析对性能的影响。由于嗅探器本身不生成负载，测试应围绕“流量发生器 + 嗅探器 + 指标采集与校验”的闭环进行：用流量工具制造已知速率/类型的流量，嗅探器按既定过滤器抓包，最后用统计与校验确认是否满足SLA（如丢包率<0.1%）。
测试环境与工具
- 流量发生：
- 通用流量与协议：如iperf3（TCP/UDP）、或按协议定制脚本（HTTP、DNS、MQTT 等）。
- 专用协议嗅探验证：如mysql-sniffer用于MySQL查询流量的捕获与分析。
- 嗅探与分析：
- 命令行：tcpdump（抓包）、tshark（命令行Wireshark，便于自动化统计）。
- 实时带宽/进程视角：iftop（按连接带宽）、nethogs（按进程带宽）。
- 资源与丢包观测：
- 系统资源：top/vmstat/iostat/sar。
- 内核/驱动层丢包：ethtool -S （如查看rx_dropped/rx_missed_errors/rx_over_errors）。
- 合规提示：抓包涉及网络数据与隐私，务必在获得授权的网络与主机上开展测试。
测试步骤与关键指标
- 基线准备
- 选择被测接口（如eth0），确认链路协商速率（如1 Gbps/10 Gbps），记录基线CPU/内存/中断与驱动统计。
- 安装工具（示例）：sudo yum install -y tcpdump tshark iftop nethogs；如需协议专用嗅探，部署相应嗅探器（如mysql-sniffer）。
- 流量场景设计
- 固定速率场景：用iperf3产生100 Mbps/500 Mbps/1 Gbps的TCP/UDP流，持续5–10 分钟；UDP建议设置明确带宽与报文大小（如1472 B避免分片）。
- 协议/特征场景：按业务实际构造短连接/长连接、不同端口与QPS，验证过滤器命中率与解析开销。
- 抓包与过滤策略
- 全量抓包：sudo tcpdump -i eth0 -w baseline.pcap（用于对照）。
- 带过滤抓包：sudo tcpdump -i eth0 ‘tcp port 3306’ -w mysql.pcap（示例为MySQL）。
- 解析/统计：tshark -r mysql.pcap -q -z io,stat,1（每秒统计收发/丢包/重传等）。
- 指标采集与校验
- 嗅探器侧：丢包率 =（生成报文数 − 捕获报文数）/ 生成报文数；CPU占用（用户态/内核态）、内存占用、磁盘写入速率（若落盘）。
- 网卡/驱动侧：对比测试前后ethtool -S的rx_dropped/rx_missed_errors/rx_over_errors增量，识别内核/驱动丢包。
- 端到端校验：流量发生器侧统计的发送成功/重传/丢包，与嗅探器侧与网卡侧统计交叉验证一致性。
结果判读与优化建议
- 丢包判定
- 若嗅探器丢包率>目标阈值（如0.1%）或网卡rx_dropped显著增长，说明嗅探链路过载或配置不足。
- 性能优化
- 过滤器先行：尽量在抓包阶段用BPF过滤（如只抓3306/TCP），减少内核到用户态的数据拷贝与用户态解析成本。
- 提升抓包缓冲：适度增大抓包缓冲区（如tcpdump的缓冲相关参数），降低在高带宽下的丢包概率。
- 工具与显示层优化：命令行工具（tcpdump/tshark）更适合高负载；图形化工具（如Wireshark）用于离线分析，避免在抓包端渲染开销过大。
- 系统与驱动：结合top/vmstat/iostat/sar定位CPU/内存/中断瓶颈；必要时调整内核网络栈与驱动参数，确保网卡中断与多队列（RSS）合理分布。
- 合法合规：优化与测试全程确保授权合规，避免泄露敏感数据。