如何發(fā)現(xiàn)一個(gè) TCP 鏈接的建立時(shí)間？

edenCC

在網(wǎng)上發(fā)現(xiàn)了一篇不錯(cuò)的文章，解決了困擾了一段時(shí)間的問題。 在 /proc/sys/net/tcp 下可以獲取 socket 的 inode，然后分析對(duì)應(yīng)進(jìn)程的 inode 的狀態(tài)就可以獲取到了。

如何發(fā)現(xiàn)一個(gè) TCP 鏈接的建立時(shí)間？

lyhabc

一個(gè)socket文件會(huì)有inode和block，查inode屬性就可以了
完整的socket包含兩方面的信息：socket和inode。

struct socket_alloc (
struct socket socket;
struct inode vfs_inode;
)；

當(dāng)你open 一個(gè)socket的時(shí)候，系統(tǒng)會(huì)返回一個(gè)文件描述符fd，如何找到其對(duì)應(yīng)的fd呢？我們可以使用“netstat -tunp”查看在文件同錄中打開的tcp以及udp連接的進(jìn)程以及本地和遠(yuǎn)程的IP地址：
復(fù)制代碼

# netstat -taunp
Active Internet connections (only servers)
Proto Recv-QSend-Q Local Address Foreign Address State PID/Program name
tcp 0 0 0. O . 0 . 0 :22 0.0.0.0 : * LISTEN 4024/sshd
......
tcp 0 0 :::22 : ::* LISTEN 4024/sshd

復(fù)制代碼

sshd所對(duì)應(yīng)的PID是4024，然后在/proc目錄下通過find命令就可以找到相應(yīng)的fd。

# find /proc 2>/dev/null I grep "/4024/fd/1"
/proc/4024/task/4024/fd/1
/proc/4024/fd/1