PHPor 的Blog

Docker 小知识

我们知道，Docker不过是通过资源隔离实现的，通过一定的手段总是可以不进入容器就可以看到（已启动）容器中的所有东西；一般来讲，我们可以通过docker命令提供的exec来进入容器，但是该方法是通过docker daemon完成的，如果docker daemon出现问题无法响应，就不好玩了；然后，我们就会考虑通过nsenter来进入容器所在的名字空间中；

其实，就算没有nsenter，我们同样也能做一些看似很NB的事情的，如下图，195106是某容器的进程，我们就可以在宿主机上通过如下图的方式进入容器的文件系统，然后可以随意修改文件

shell 小知识点

实例：

脚本功能说明：

不断连接（然后立即断开）本地80端口；如果连接时间超过0.9s则输出连接时长并退出脚本

TIMEFORMAT="%E"
i=0
while :; do 
    ((i++))
    t=$( ( time nc -vz 127.0.0.1 80 >/dev/null ) 2>&1)
    [[ $( echo "$t > 0.9"|bc) -eq 1 ]] && echo -e "`date`\t$i\t$t" && break
    if [[ $((i % 1000)) -eq 0 ]]; then 
       echo -e "`date`\t$i"
    fi 
done

TIMEFORMAT="%E"

i=0

while :; do

((i++))

t=$( ( time nc -vz 127.0.0.1 80 >/dev/null ) 2>&1)

[[ $( echo "$t > 0.9"|bc) -eq 1 ]] && echo -e "`date`\t$i\t$t" && break

if [[ $((i % 1000)) -eq 0 ]]; then

echo -e "`date`\t$i"

done

通过TIMEFORMAT来设置time命令的输出，time命令的选项不走参数，走环境变量；具体格式man time
nc -z选项的行为是，连接后立即断开，相当于扫描； -v选项输出扫描结果提示，这里面直接扔掉了，所以该选项是多余的；nc似乎没有连接超时的设置
bash不支持浮点数的运算与比较，借助bc实现；对于比较运算，为真输出1，为假输出0; 和bc的返回值无关
bash中支持模运算，上面也用到了
time的输出是输出到标准错误的，一般情况下我们没法直接接收到标准错误的输出，这里就把time放到了一个子shell中执行，然后将子shell的标准错误重定向到标准输出，然后赋值给变量t；所以，需要注意一点的是，time前面的两个圆括号之间是有空格的，少了空格就成了算数运算了（结果必错）

上面脚本执行比较慢，如果是多核的话，可以稍微修改一下：（该脚本未测试，可能不好使）

TIMEFORMAT="%E"
i=0
while :; do
   ( time nc -vz 127.0.0.1 80 >/dev/null ) 2>&1
done|while read t; do
    ((i++))
    [[ $( echo "$t > 0.9"|bc) -eq 1 ]]
    echo -e "`date`\t$i\t$t" && break
    if [[ $((i % 1000)) -eq 0 ]]; then
       echo -e "`date`\t$i"
    fi
done

TIMEFORMAT="%E"

i=0

while :; do

( time nc -vz 127.0.0.1 80 >/dev/null ) 2>&1

done|while read t; do

((i++))

[[ $( echo "$t > 0.9"|bc) -eq 1 ]]

echo -e "`date`\t$i\t$t" && break

if [[ $((i % 1000)) -eq 0 ]]; then

echo -e "`date`\t$i"

done

上面脚本每秒中才能跑300次，怀疑time、nc命令消耗了较多的时间，“改良”脚本如下：

#!/bin/bash
TIMEFORMAT="%E"
i=0
host=127.0.0.1
port=${1-80}
while :; do
	((i++))
	s=$(date +"%s.%N")
	exec 10<>/dev/tcp/$host/$port
	e=$(date +"%s.%N")
	exec 10>&-
	exec 10<&-
	[[ $( echo "($e -$s) > 0.9"|bc) -eq 1 ]] && echo -e "`date`\t$i\t$t" && break;
	if [[ $((i % 1000)) -eq 0 ]]; then
		echo -e "`date`\t$i"
	fi
done

#!/bin/bash

TIMEFORMAT="%E"

i=0

host=127.0.0.1

port=${1-80}

while :; do

((i++))

s=$(date +"%s.%N")

exec 10<>/dev/tcp/$host/$port

e=$(date +"%s.%N")

exec 10>&-

exec 10<&-

[[ $( echo "($e -$s) > 0.9"|bc) -eq 1 ]] && echo -e "`date`\t$i\t$t" && break;

if [[ $((i % 1000)) -eq 0 ]]; then

echo -e "`date`\t$i"

done

这里省去了time、nc，但是出现了两次date命令；测试结果和上面脚本几乎一样

参考资料： http://www.cnblogs.com/chengmo/archive/2010/10/22/1858302.html

如何检测是哪个进程发起了tcp主动请求

一个不能正确工作的脚本 monitor.php：

<?php

$fp = popen("tcpdump -i eth1 'tcp[tcpflags] | tcp-syn == tcp-syn' -nn", "r");
while($line = fgets($fp)) {
        $arr = split(" ", $line, 8);
        $src = $arr[2];
        $dst = $arr[4];
        $dotpos = strrpos($src, ".");
        $src_host = substr($src, 0, $dotpos);
        $src_port = substr($src, $dotpos + 1);
        $dotpos = strrpos($dst, ".");
        $dst_host = substr($dst, 0, $dotpos);
        $dst_port = substr($dst, $dotpos + 1, strlen($dst) - $dotpos - 2 );
        $src = $src_host .":". $src_port;
        $dst = $dst_host .":". $dst_port;
        //echo $src ."=>" .$dst. "\n";
        $fp2 = popen("ss -antp|awk '{print $4 , $5 , $6}'", "r");
        while(!feof($fp2)) {
                $line = trim(fgets($fp2));
                $arr = explode(" ", $line);
                if ($src == $arr[0] && $dst == $arr[1]) {
                        echo $line ."\n";
                }
        }
}

<?php

$fp = popen("tcpdump -i eth1 'tcp[tcpflags] | tcp-syn == tcp-syn' -nn", "r");

while($line = fgets($fp)) {

$arr = split(" ", $line, 8);

$src = $arr[2];

$dst = $arr[4];

$dotpos = strrpos($src, ".");

$src_host = substr($src, 0, $dotpos);

$src_port = substr($src, $dotpos + 1);

$dotpos = strrpos($dst, ".");

$dst_host = substr($dst, 0, $dotpos);

$dst_port = substr($dst, $dotpos + 1, strlen($dst) - $dotpos - 2 );

$src = $src_host .":". $src_port;

$dst = $dst_host .":". $dst_port;

//echo $src ."=>" .$dst. "\n";

$fp2 = popen("ss -antp|awk '{print $4 , $5 , $6}'", "r");

while(!feof($fp2)) {

$line = trim(fgets($fp2));

$arr = explode(" ", $line);

if ($src == $arr[0] && $dst == $arr[1]) {

echo $line ."\n";

}

不能正确工作的原因：

可能tcpdump没有立即输出抓到的数据包，当输出时连接已经断开许久了
就算tcpdump能足够快地输出抓到的数据包，执行ss的时候也可能已断开连接（这个至少不至于一个抓不到）
就算本地主动关闭连接的情况下，连接会一段时间内处于timewait状态，但是timewait状态是不关联pid的哦

验证猜想缓存问题导致的方法：

启动检测脚本： php monitor.php
nc打开百度80端口连接，然后 ctrl+z
while :; do curl http://baidu.com ;done
检测脚本输出结果部分如下：

解决办法：

正确的解决办法是使用systemtap： https://sourceware.org/systemtap/SystemTap_Beginners_Guide/useful-systemtap-scripts.html#nettop

docker资源限制之cpu篇

通过 –cpu-quota 限制容器使用的cpu的配额，如：
–cpu-quota 50000 ：最多允许使用1个核心的50%
–cpu-quota 300000：最多允许用满3个核心，如果只给该容器分配了2个核心，则用满2个核心为止
–cpu-period （默认 50000），和–cpu-quota 一起使用
通过 –cpuset-cpus 限制容器只运行在指定的几个核心上，如：（留几个核心，避免跑死宿主机）
–cpuset-cpus 1,2 : 允许使用1、2两个核心
–cpuset-cpus 0-3：允许使用0、1、2、3 核心
通过 –cpu-shares 调整容器使用cpu的权重（用于实现偏心）

centos7(或者其他系统也有)上有个kworker的进程，似乎是用来分配系统时间的（可能我理解的不对），参考： http://askubuntu.com/questions/33640/kworker-what-is-it-and-why-is-it-hogging-so-much-cpu

参考资料： https://docs.docker.com/engine/reference/run/

timewait high之 debug方法

ss -s 发现timewait好高
如果自己的client，可以看看是调用外部的哪个服务太频繁了

ss -t state time-wait |awk '{print $4}'|sort |uniq -c |sort -nr

1

ss -t state time-wait |awk '{print $4}'|sort |uniq -c |sort -nr
如果自己是server，可以看看是自己的哪个服务导致的：

ss -t state time-wait -nn |awk '{print $3}'|sort |uniq -c |sort -nr

1

ss -t state time-wait -nn |awk '{print $3}'|sort |uniq -c |sort -nr
或者，只统计外部服务器的IP也可能有助于找到问题的原因

ss -t state time-wait -nn |awk '{print $4}'|awk -F":" '{print $1}'|sort |uniq -c |sort -nr

1

ss -t state time-wait -nn |awk '{print $4}'|awk -F":" '{print $1}'|sort |uniq -c |sort -nr
。。。

解决办法：

长连接
不要主动关闭连接，如果走的是http协议，而且是别人的服务，则可以（如果对方支持的话）强制使用HTTP/1.0协议，这样的话，client端不做主动关闭，就不会有timewait；
HTTP/1.1中有个Connection的头，可以设置Connection: close，server端就会主动关闭连接了

效果跟踪：下面是使用HTTP/1.0后的效果：

linux 命令之 ss

http://www.binarytides.com/linux-ss-command/

An open-source HTTP packet sniffing tool which captures live HTTP packets with libpcap library, and displays HTTP requests and responses in a human-readable format. It comes with a collection of parsing Perl scripts for mining various information from its standard output.

效果：

安装：

linux下yum可以安装
其它系统编译安装，源码： https://github.com/jbittel/httpry （从源码来看，虽然是c写的，似乎可以写perl插件）

mysql sniffer: https://phpor.net/blog/post/9562

curl  http://www.baidu.com/ 2&gt;/dev/null |grep -oE "https?://[^[:space:]&gt;]+"

1	curl http://www.baidu.com/ 2>/dev/null \|grep -oE "https?://[^[:space:]>]+"

grep -o 选项只输出匹配到的内容，对于“提取”来讲很好用

Docker 小知识

shell 小知识点

如何检测是哪个进程发起了tcp主动请求

docker资源限制之cpu篇

timewait high之 debug方法

linux 命令之 ss

非主流抓包工具

golang 开源项目

haproxy 实现http隧道代理

grep -o 用法