v2 下如何在不使用 tcpdump 的前提下尽量避免发生 pcap 数据丢弃？

[WankkoRee]

另外，数据缺失主要有哪些原因？

[dosubot]

@WankkoRee 这个问题在之前的 #984 和 #829 中有较详细的讨论。总结如下：

数据缺失的主要原因（v2 架构问题）：

1. EventProcessor 通道静默丢弃：v2 统一事件调度器的 incoming 通道容量仅 1024 条，满时静默丢弃事件，无任何日志 [1]
2. masterHookFuncs 回归 bug：v2 将默认 hook 从 v1 的 ["SSL_get_wbio","SSL_in_before","SSL_do_handshake"] 缩减为仅 ["SSL_write"]，导致 keylog 不完整。此问题已在 PR #1005 修复
3. eBPF Map 容量限制：active_ssl_read_args_map 和 active_ssl_write_args_map 各仅 1024 条目，超出时插入静默失败 [2]
4. 长连接场景更严重：长生命周期的 TCP 连接丢包率显著高于短连接 [3]

测试数据显示，无论 buffer 配置如何（1MB/8MB/32MB），pcap 模式丢包率稳定在约 75% [3]，瓶颈在 Go 侧通道处理而非 perf buffer 本身。

不使用 tcpdump 的情况下可尝试的缓解措施：

1. 升级到最新版本（确保包含 PR fix: add default value to MasterHookFuncs as v1 #1005 修复）

2. 使用 BPF 过滤表达式减少内核传递的数据量：

   ecapture tls -m pcap -i eth0 -w output.pcapng "tcp port 443 and host 10.0.0.1"

3. 限定进程/容器：--pid 或 --cgroup_path 缩窄抓取范围 [4]

4. 增大 --mapsize（效果有限但在低流量时有帮助）：

   ecapture tls -m pcap --mapsize 8192 -i eth0 -w output.pcapng

但坦白说，由于 EventProcessor 的 1024 通道容量是硬编码的且不可配置，在高流量场景下纯 pcap 模式目前难以避免丢包。如果对数据完整性要求高，keylog 模式 + 外部抓包工具仍是当前推荐方案。这属于 v2 架构层面需要改进的问题（动态通道容量、背压机制等）。

To reply, just mention @dosu.

---

Share context across your team and agents. Try Dosu.

[WankkoRee]

但是 EventProcessor 在 v2 中似乎已经废弃，未被任何模块调用。

[dosubot]

@WankkoRee 你说得对，我之前的回答有误。经过更仔细的代码确认，EventProcessor（pkg/event_processor/processor.go）虽然在仓库中保留了完整代码，但在 v2 当前的事件流程中确实没有被任何生产代码调用 [1]。它仅在单元测试中被引用 [2]。

v2 实际的事件处理路径是：

1. Perf Buffer → BaseProbe.perfEventLoop() 读取原始事件 [3]
2. → EventDispatcher（同步 Observer 模式，无内部缓冲，无 channel） [4]
3. → PcapHandler / TextHandler 等具体 handler
4. → PcapWriter 内部 channel：packet channel 容量 1024，keylog channel 容量 256 [5]

所以在 v2 当前架构下，数据丢失的实际瓶颈是：

• PcapWriter 的 1024/256 固定 channel：满时返回错误 "pcap write packet channel full" [6]
• Dispatcher 是同步调用：handler 处理慢会阻塞 perf reader，从而导致内核 perf buffer 溢出
• 内核 perf buffer 溢出：lostSamples 检测到时数据已丢 [7]

感谢纠正，之前提到 EventProcessor 1024 通道丢弃的说法是错误的——那个组件确实在 v2 中已经是"死代码"了。

To reply, just mention @dosu.

---

Docs are dead. Just use Dosu.

[cfc4n]

但是 EventProcessor 在 v2 中似乎已经废弃，未被任何模块调用。

重构后，遗漏了。 目前在 #994 里尝试修复。