ns1labs/pktvisor

pktvisor

镜像概述

pktvisor（发音为"packet visor"）是一款网络可观测性代理，专为分析高容量、信息密集型网络数据流而设计，可直接从边缘提取可操作洞察，并与现代可观测性栈紧密集成。该工具资源效率高，从底层设计为模块化架构，支持通过API和YAML策略进行实时动态控制。输入和分析器模块可在运行时动态加载，指标输出既支持通过节点上的命令行UI进行本地化超实时操作，也可集中收集到Prometheus、Grafana等行业标准可观测性栈中进行可视化。

核心功能与特性

输入流系统

• 支持多种数据流接入方式，当前已实现：
  • packet capture（包捕获）
  • dnstap
  • sFlow
• 即将支持的接入方式包括：Netflow、envoy taps、eBPF

流分析系统

提供完整的应用层分析能力，高效汇总为以下指标类型：

• 计数器（Counters）
• 直方图与分位数（Histograms and Quantiles）
• 计时器与速率（Timers and Rates）
• 高频项/频繁项/Top N（Heavy Hitters/Frequent Items/Top N）
• 集合基数（Set Cardinality）
• GeoIP/ASN分析

动态控制能力

• 支持通过API和YAML策略进行实时动态配置
• 输入模块和分析器模块可在运行时动态加载，无需重启服务

多输出方式

• 节点本地：通过命令行UI提供超实时可视化
• 集中式：支持集成Prometheus、Grafana等主流可观测性平台

使用场景与适用范围

pktvisor起源于关键互联网基础设施的可观测性需求，适用于以下场景：

• DDoS***检测与防护
• 网络流量工程与优化
• 持续网络运营监控
• 边缘节点网络行为分析
• 大容量网络数据流实时洞察提取

使用方法与配置说明

获取镜像

可通过官方渠道获取pktvisor镜像，具体请参考pktvisor官方文档或https://github.com/ns1labs/pktvisor%E3%80%82

基础运行示例

Docker Run命令

bash
docker run -d \
  --name pktvisor \
  --cap-add=NET_RAW --cap-add=NET_ADMIN \
  -p 10853:10853 \  # API端口
  -v /path/to/local/config:/etc/pktvisor \  # 挂载配置目录
  ns1labs/pktvisor:latest

Docker Compose配置

yaml
version: '3'
services:
  pktvisor:
    image: ns1labs/pktvisor:latest
    container_name: pktvisor
    cap_add:
      - NET_RAW
      - NET_ADMIN
    ports:
      - "10853:10853"
    volumes:
      - ./config:/etc/pktvisor
    restart: unless-stopped

配置说明

配置文件

pktvisor使用YAML策略文件进行配置，典型配置示例：

yaml
version: 1
visor:
  taps:
    - name: eth0
      type: pcap
      config:
        iface: eth0
  analyzers:
    - name: dns
      type: dns
      input: eth0
      config:
        port: 53

API控制

pktvisor提供REST API进行实时配置，默认API端口为***，主要接口包括：

• GET /api/v1/metrics - 获取当前指标
• POST /api/v1/analyzers - 动态添加分析器
• PUT /api/v1/taps/{tapName} - 更新输入流配置

指标查看

• 本地命令行UI：容器内执行pktvisor cli
• 集中监控：配置Prometheus抓取http://<container-ip>:10853/metrics端点，结合Grafana创建可视化面板

更多信息

完整使用说明和文档请访问：

• 官方网站：[***]
• GitHub仓库：https://github.com/ns1labs/pktvisor