Premier diagnostic d'un processus qui se comporte mal avec strace et tcpdump

Objectif

Répondre, en quelques minutes et sans modifier le code, à deux questions au sujet d'un processus qui se bloque ou échoue : qu'attend-il, et le pair réseau répond-il ?

Prérequis

Les droits root, ou CAP_SYS_PTRACE pour strace et CAP_NET_RAW pour tcpdump. Le module Yama du noyau (kernel.yama.ptrace_scope, documenté dans la page citée) restreint l'attachement à des processus non apparentés lorsqu'il est réglé à 1 ou plus, si bien qu'un attachement non privilégié peut échouer même pour son propre processus. Une idée approximative de l'identifiant de processus et du port concerné.

Étapes

1. Obtenir le PID et son état actuel : ps -o pid,stat,wchan:32,cmd -p PID ; un état D ou un wchan nommant une fonction réseau restreint déjà la recherche.
2. Attacher brièvement : timeout 20 strace -f -p PID -T -e trace=%network,%file -o /tmp/trace.txt (-f / --follow-forks suit les threads et les processus fils, -T affiche le temps passé dans chaque appel, %network et %file sélectionnent des groupes d'appels). Un processus bloqué dans read, recvfrom ou futex pendant toute la fenêtre est en attente, pas au travail.
3. Lire le fichier pour repérer les derniers appels achevés avant le blocage : quel descripteur, quelle adresse (connect montre le pair), quel chemin. Faire correspondre les descripteurs avec ls -l /proc/PID/fd.
4. Capturer le trafic correspondant avec un filtre restreint et une borne : tcpdump -ni any -c 200 -w /tmp/cap.pcap 'host 203.0.113.5 and port 5432'. -n évite les résolutions DNS, -c s'arrête après 200 paquets, -w écrit les paquets bruts (la longueur de capture par défaut de 262144 octets conserve des paquets entiers).
5. Inspecter avec tcpdump -nr /tmp/cap.pcap ou un analyseur graphique. Rechercher des SYN répétés sans SYN-ACK (rien à l'écoute, ou filtrage), des retransmissions (perte), un RST (le pair a refusé ou réinitialisé) ou une requête restée sans réponse au-delà du délai de l'application.
6. Arrêter les deux outils, noter la réponse, et alors seulement envisager des outils plus poussés (perf, profileurs applicatifs, captures plus longues avec -C et -W pour des fichiers en rotation).

Résultat attendu

Un diagnostic en une ligne du type « bloqué dans recvfrom sur la connexion vers X ; X n'envoie jamais de réponse » ou « la requête ne quitte jamais l'hôte », qui indique le prochain composant à inspecter.

Limites et base de vérification

strace(1) indique qu'un processus tracé s'exécute plus lentement qu'un processus non tracé ; ne pas le laisser attaché à un chemin critique de production. L'atténuation du manuel, --seccomp-bpf, ne fonctionne que lorsque strace démarre lui-même la commande avec -f ; elle ne s'applique pas à un processus attaché avec -p, si bien que la fenêtre d'attachement-détachement ci-dessus est la seule borne. Les captures contiennent des charges utiles et des secrets ; traiter les fichiers pcap comme sensibles et les supprimer. Le trafic TLS ne montre que la négociation (handshake) et les tailles. Les options des outils sont tirées des manuels cités ; aucun chiffre de temps ou de surcoût n'est avancé.