trafgen: proto: Zero out newly allocated struct packet
[netsniff-ng-new.git] / trafgen.8
blob62716bb79856517ad7400f428f76482abd1c5b43
1 .\" netsniff-ng - the packet sniffing beast
2 .\" Copyright 2013 Daniel Borkmann.
3 .\" Subject to the GPL, version 2.
4 .TH TRAFGEN 8 "03 March 2013" "Linux" "netsniff-ng toolkit"
5 .SH NAME
6 trafgen \- a fast, multithreaded network packet generator
7 .PP
8 .SH SYNOPSIS
9 .PP
10 \fBtrafgen\fR [\fIoptions\fR] [\fIpacket\fR]
11 .PP
12 .SH DESCRIPTION
13 .PP
14 trafgen is a fast, zero-copy network traffic generator for debugging,
15 performance evaluation, and fuzz-testing. trafgen utilizes the packet(7)
16 socket interface of Linux which postpones complete control over packet data
17 and packet headers into the user space. It has a powerful packet configuration
18 language, which is rather low-level and not limited to particular protocols.
19 Thus, trafgen can be used for many purposes. Its only limitation is that it
20 cannot mimic full streams resp. sessions. However, it is very useful for
21 various kinds of load testing in order to analyze and subsequently improve
22 systems behaviour under DoS attack scenarios, for instance.
23 .PP
24 trafgen is Linux specific, meaning there is no support for other operating
25 systems, same as netsniff-ng(8), thus we can keep the code footprint quite
26 minimal and to the point. trafgen makes use of packet(7) socket's TX_RING
27 interface of the Linux kernel, which is a mmap(2)'ed ring buffer shared between
28 user and kernel space.
29 .PP
30 By default, trafgen starts as many processes as available CPUs, pins each
31 of them to their respective CPU and sets up the ring buffer each in their own
32 process space after having compiled a list of packets to transmit. Thus, this is
33 likely the fastest one can get out of the box in terms of transmission performance
34 from user space, without having to load unsupported or non-mainline third-party
35 kernel modules. On Gigabit Ethernet, trafgen has a comparable performance to
36 pktgen, the built-in Linux kernel traffic generator, except that trafgen is more
37 flexible in terms of packet configuration possibilities. On 10-Gigabit-per-second
38 Ethernet, trafgen might be slower than pktgen due to the user/kernel space
39 overhead but still has a fairly high performance for out of the box kernels.
40 .PP
41 trafgen has the potential to do fuzz testing, meaning a packet configuration can
42 be built with random numbers on all or certain packet offsets that are freshly
43 generated each time a packet is sent out. With a built-in IPv4 ping, trafgen can
44 send out an ICMP probe after each packet injection to the remote host in order
45 to test if it is still responsive/alive. Assuming there is no answer from the
46 remote host after a certain threshold of probes, the machine is considered dead
47 and the last sent packet is printed together with the random seed that was used
48 by trafgen. You might not really get lucky fuzz-testing the Linux kernel, but
49 presumably there are buggy closed-source embedded systems or network driver's
50 firmware files that are prone to bugs, where trafgen could help in finding them.
51 .PP
52 trafgen's configuration language is quite powerful, also due to the fact, that
53 it supports C preprocessor macros. A stddef.h is being shipped with trafgen for
54 this purpose, so that well known defines from Linux kernel or network programming
55 can be reused. After a configuration file has passed the C preprocessor stage,
56 it is processed by the trafgen packet compiler. The language itself supports a
57 couple of features that are useful when assembling packets, such as built-in
58 runtime checksum support for IP, UDP and TCP. Also it has an expression evaluator
59 where arithmetic (basic operations, bit operations, bit shifting, ...) on constant
60 expressions is being reduced to a single constant on compile time. Other features
61 are ''fill'' macros, where a packet can be filled with n bytes by a constant, a
62 compile-time random number or run-time random number (as mentioned with fuzz
63 testing). Also, netsniff-ng(8) is able to convert a pcap file into a trafgen
64 configuration file, thus such a configuration can then be further tweaked for a
65 given scenario.
66 .PP
67 .SH OPTIONS
68 .PP
69 .SS -i <cfg|->, -c <cfg|i>, --in <cfg|->, --conf <cfg|->
70 Defines the input configuration file that can either be passed as a normal plain
71 text file or via stdin (''-''). Note that currently, if a configuration is
72 passed through stdin, only 1 CPU will be used.
73 .PP
74 .SS -o <dev>, -d <dev>, --out <dev>, --dev <dev>
75 Defines the outgoing networking device such as eth0, wlan0 and others.
76 .PP
77 .SS -p, --cpp
78 Pass the packet configuration to the C preprocessor before reading it into
79 trafgen. This allows #define and #include directives (e.g. to include
80 definitions from system headers) to be used in the trafgen configuration file.
81 .PP
82 .SS -D <name>=<definition>, --define <name>=<definition>
83 Add macro definition for the C preprocessor to use it within trafgen file. This
84 option is used in combination with the -p,--cpp option.
85 .PP
86 .SS -J, --jumbo-support
87 By default trafgen's ring buffer frames are of a fixed size of 2048 bytes.
88 This means that if you're expecting jumbo frames or even super jumbo frames to
89 pass your line, then you will need to enable support for that with the help of
90 this option. However, this has the disadvantage of a performance regression and
91 a bigger memory footprint for the ring buffer.
92 .PP
93 .SS -R, --rfraw
94 In case the output networking device is a wireless device, it is possible with
95 trafgen to turn this into monitor mode and create a mon<X> device that trafgen
96 will be transmitting on instead of wlan<X>, for instance. This enables trafgen
97 to inject raw 802.11 frames.
98 .PP
99 .SS -s <ipv4>, --smoke-test <ipv4>
100 In case this option is enabled, trafgen will perform a smoke test. In other
101 words, it will probe the remote end, specified by an <ipv4> address, that is
102 being ''attacked'' with trafgen network traffic, if it is still alive and
103 responsive. That means, after each transmitted packet that has been configured,
104 trafgen sends out ICMP echo requests and waits for an answer before it continues.
105 In case the remote end stays unresponsive, trafgen assumes that the machine
106 has crashed and will print out the content of the last packet as a trafgen
107 packet configuration and the random seed that has been used in order to
108 reproduce a possible bug. This might be useful when testing proprietary embedded
109 devices. It is recommended to have a direct link between the host running
110 trafgen and the host being attacked by trafgen.
112 .SS -n <0|uint>, --num <0|uint>
113 Process a number of packets and then exit. If the number of packets is 0, then
114 this is equivalent to infinite packets resp. processing until interrupted.
115 Otherwise, a number given as an unsigned integer will limit processing.
117 .SS -r, --rand
118 Randomize the packet selection of the configuration file. By default, if more
119 than one packet is defined in a packet configuration, packets are scheduled for
120 transmission in a round robin fashion. With this option, they are selected
121 randomly instread.
123 .SS -P <uint>, --cpus <uint>
124 Specify the number of processes trafgen shall fork(2) off. By default trafgen
125 will start as many processes as CPUs that are online and pin them to each,
126 respectively. Allowed value must be within interval [1,CPUs].
128 .SS -t <time>, --gap <time>
129 Specify a static inter-packet timegap in seconds, milliseconds, microseconds,
130 or nanoseconds: ''<num>s/ms/us/ns''. If no postfix is given default to
131 microseconds. If this option is given, then instead of packet(7)'s TX_RING
132 interface, trafgen will use sendto(2) I/O for network packets, even if the
133 <time> argument is 0. This option is useful for a couple of reasons: i)
134 comparison between sendto(2) and TX_RING performance, ii) low-traffic packet
135 probing for a given interval, iii) ping-like debugging with specific payload
136 patterns. Furthermore, the TX_RING interface does not cope with interpacket
137 gaps.
139 .SS -b <rate>, --rate <rate>
140 Specify the packet send rate <num>pps/B/kB/MB/GB/kbit/Mbit/Gbit/KiB/MiB/GiB units.
141 Like with the -t,--gap option, the packets are sent in slow mode.
143 .SS -S <size>, --ring-size <size>
144 Manually define the TX_RING resp. TX_RING size in ''<num>KiB/MiB/GiB''. On
145 default the size is being determined based on the network connectivity rate.
147 .SS -E <uint>, --seed <uint>
148 Manually set the seed for pseudo random number generator (PRNG) in trafgen. By
149 default, a random seed from /dev/urandom is used to feed glibc's PRNG. If that
150 fails, it falls back to the unix timestamp. It can be useful to set the seed
151 manually in order to be able to reproduce a trafgen session, e.g. after fuzz
152 testing.
154 .SS -u <uid>, --user <uid> resp. -g <gid>, --group <gid>
155 After ring setup, drop privileges to a non-root user/group combination.
157 .SS -H, --prio-high
158 Set this process as a high priority process in order to achieve a higher
159 scheduling rate resp. CPU time. This is however not the default setting, since
160 it could lead to starvation of other processes, for example low priority kernel
161 threads.
163 .SS -A, --no-sock-mem
164 Do not change systems default socket memory setting during testrun.
165 Default is to boost socket buffer memory during the test to:
167    /proc/sys/net/core/rmem_default:4194304
168    /proc/sys/net/core/wmem_default:4194304
169    /proc/sys/net/core/rmem_max:104857600
170    /proc/sys/net/core/wmem_max:104857600
172 .SS -Q, --notouch-irq
173 Do not reassign the NIC's IRQ CPU affinity settings.
175 .SS -q, --qdisc-path
176 Since Linux 3.14, the kernel supports a socket option PACKET_QDISC_BYPASS,
177 which trafgen enables by default.  This options disables the qdisc bypass,
178 and uses the normal send path through the kernel's qdisc (traffic control)
179 layer, which can be usefully for testing the qdisc path.
181 .SS -V, --verbose
182 Let trafgen be more talkative and let it print the parsed configuration and
183 some ring buffer statistics.
185 .SS -e, --example
186 Show a built-in packet configuration example. This might be a good starting
187 point for an initial packet configuration scenario.
189 .SS -C, --no-cpu-stats
190 Do not print CPU time statistics on exit.
192 .SS -v, --version
193 Show version information and exit.
195 .SS -h, --help
196 Show user help and exit.
198 .SH SYNTAX
200 trafgen's packet configuration syntax is fairly simple. The very basic things
201 one needs to know is that a configuration file is a simple plain text file
202 where packets are defined. It can contain one or more packets. Packets are
203 enclosed by opening '{' and closing '}' braces, for example:
205    { /* packet 1 content goes here ... */ }
206    { /* packet 2 content goes here ... */ }
208 Alternatively, packets can also be specified directly on the command line, using
209 the same syntax as used in the configuration files.
211 When trafgen is started using multiple CPUs (default), then each of those packets
212 will be scheduled for transmission on all CPUs by default. However, it is possible
213 to tell trafgen to schedule a packet only on a particular CPU:
215    cpu(1): { /* packet 1 content goes here ... */ }
216    cpu(2-3): { /* packet 2 content goes here ... */ }
218 Thus, in case we have a 4 core machine with CPU0-CPU3, packet 1 will be scheduled
219 only on CPU1, packet 2 on CPU2 and CPU3. When using trafgen with \-\-num option,
220 then these constraints will still be valid and the packet is fairly distributed
221 among those CPUs.
223 Packet content is delimited either by a comma or whitespace, or both:
225    { 0xca, 0xfe, 0xba 0xbe }
227 Packet content can be of the following:
229    hex bytes:   0xca, xff
230    decimal:     42
231    binary:      0b11110000, b11110000
232    octal:       011
233    character:   'a'
234    string:      "hello world"
235    shellcode:   "\\x31\\xdb\\x8d\\x43\\x17\\x99\\xcd\\x80\\x31\\xc9"
237 Thus, a quite useless packet configuration might look like this (one can verify
238 this when running this with trafgen in combination with \-V):
240    { 0xca, 42, 0b11110000, 011, 'a', "hello world",
241      "\\x31\\xdb\\x8d\\x43\\x17\\x99\\xcd\\x80\\x31\\xc9" }
243 There are a couple of helper functions in trafgen's language to make life easier
244 to write configurations:
246 .B i) Fill with garbage functions:
248    byte fill function:      fill(<content>, <times>): fill(0xca, 128)
249    compile-time random:     rnd(<times>): rnd(128), rnd()
250    runtime random numbers:  drnd(<times>): drnd(128), drnd()
251    compile-time counter:    seqinc(<start-val>, <increment>, <times>)
252                             seqdec(<start-val>, <decrement>, <times>)
253    runtime counter (1byte): dinc(<min-val>, <max-val>, <increment>)
254                             ddec(<min-val>, <max-val>, <decrement>)
256 .B ii) Checksum helper functions (packet offsets start with 0):
258    IP/ICMP checksum:        csumip/csumicmp(<off-from>, <off-to>)
259    UDP checksum:            csumudp(<off-iphdr>, <off-udpdr>)
260    TCP checksum:            csumtcp(<off-iphdr>, <off-tcphdr>)
261    UDP checksum (IPv6):     csumudp6(<off-ip6hdr>, <off-udpdr>)
262    TCP checksum (IPv6):     csumtcp6(<off-ip6hdr>, <off-tcphdr>)
264 .B iii) Multibyte functions, compile-time expression evaluation:
266    const8(<content>), c8(<content>), const16(<content>), c16(<content>),
267    const32(<content>), c32(<content>), const64(<content>), c64(<content>)
269    These functions write their result in network byte order into the packet
270 configuration, e.g. const16(0xaa) will result in ''00 aa''. Within c*()
271 functions, it is possible to do some arithmetics: -,+,*,/,%,&,|,<<,>>,^
272 E.g. const16((((1<<8)+0x32)|0b110)*2) will be evaluated to ''02 6c''.
274 .B iv) Protocol header functions:
275 .in +4
276 The protocol header functions allow to fill protocol header fields by
277 using following generic syntax:
279 .in +4
280 <proto>(<field>=<value>,<field2>=<value2>,...,<field3>,...)
281 .in -4
283 .in -4
284 .in +4
285 If a field is not specified, then a default value will be used (usually 0).
286 Protocol fields might be set in any order. However, the offset of the fields in
287 the resulting packet is according to the respective protocol.
289 Each field might be set with a function which generates field value at runtime by
290 increment or randomize it. For L3/L4 protocols the checksum is calculated automatically
291 if the field was changed dynamically by specified function.  The following field
292 functions are supported:
293 .in +4
295 .B dinc
296 - increment field value at runtime. By default increment step is '1'.
297 .B min
299 .B max
300 parameters are used to increment field only in the specified range, by default original
301 field value is used. If the field length is greater than 4 then last 4 bytes are
302 incremented only (useful for MAC and IPv6 addresses):
303 .in +4
305 <field> = dinc() | dinc(min, max) | dinc(min, max, step)
306 .in -4
308 .B drnd
309 - randomize field value at runtime.
310 .B min
312 .B max
313 parameters are used to randomize field only in the specified range:
314 .in +4
316 <field> = drnd() | drnd(min, max)
317 .in -4
319 Example of using dynamic functions:
322 .in +2
323     eth(saddr=aa:bb:cc:dd:ee:ff, saddr=dinc()),
324     ipv4(saddr=dinc()),
325     udp(sport=dinc(1, 13, 2), dport=drnd(80, 100))
326 .in -2
329 .in -4
332 All required lower layer headers will be filled automatically if they were not
333 specified by the user. The headers will be filled in the order they were
334 specified. Each header will be filled with some mimimum required set of fields.
335 .in -4
337 .in +4
338 Supported protocol headers:
340 .I Ethernet
342 .B eth(da=<mac>, sa=<mac>, type=<number>)
344 .in +4
345 .B da|daddr
346 - Destination MAC address (default: 00:00:00:00:00:00)
348 .B sa|saddr
349 - Source MAC address (default: device MAC address)
351 .B etype|type|prot|proto
352 - Ethernet type (default: 0)
353 .in -4
356 .I PAUSE (IEEE 802.3X)
358 .B pause(code=<number>, time=<number>)
360 .in +4
361 .B code
362 - MAC Control opcode (default: 0x0001)
364 .B time
365 - Pause time (default: 0)
367 By default Ethernet header is added with a fields:
368 .in +4
370 Ethernet type - 0x8808
372 Destination MAC address - 01:80:C2:00:00:01
373 .in -4
375 .in -4
378 .I PFC
380 .B pfc(pri|prio(<number>)=<number>, time(<number>)=<number>)
382 .in +4
383 .B code
384 - MAC Control opcode (default: 0x0101)
386 .B pri|prio
387 - Priority enable vector (default: 0)
389 .B pri|prio(<number>)
390 - Enable/disable (0 - disable, 1 - enable) pause for priority <number> (default: 0)
392 .B time(<number>)
393 - Set pause time for priority <number> (default: 0)
395 By default Ethernet header is added with a fields:
396 .in +4
398 Ethernet type - 0x8808
400 Destination MAC address - 01:80:C2:00:00:01
401 .in -4
403 .in -4
404 .I VLAN
406 .B vlan(tpid=<number>, id=<number>, dei=<number>, tci=<number>, pcp=<number>, 1q, 1ad)
408 .in +4
409 .B tpid|prot|proto
410 - Tag Protocol Identifier (TPID) (default: 0x8100)
412 .B tci
413 - Tag Control Information (TCI) field (VLAN Id + PCP + DEI) (default: 0)
415 .B dei|cfi
416 - Drop Eligible Indicator (DEI), formerly Canonical Format Indicator (CFI) (default: 0)
418 .B pcp
419 - Priority code point (PCP) (default: 0)
421 .B id
422 - VLAN Identifier (default: 0)
424 .B 1q
425 - Set 802.1q header (TPID: 0x8100)
427 .B 1ad
428 - Set 802.1ad header (TPID: 0x88a8)
430 .in -4
431 By default, if the lower level header is Ethernet, its EtherType is set to
432 0x8100 (802.1q).
435 .I MPLS
437 .B mpls(label=<number>, tc|exp=<number>, last=<number>, ttl=<number>)
439 .in +4
440 .B label|lbl
441 - MPLS label value (default: 0)
443 .B tclass|tc|exp
444 - Traffic Class for QoS field (default: 0)
446 .B last
447 - Bottom of stack S-flag (default: 1 for most last label)
449 .B ttl
450 - Time To Live (TTL) (default: 0)
452 .in -4
453 By default, if the lower level header is Ethernet, its EtherType is set to
454 0x8847 (MPLS Unicast). S-flag is set automatically to 1 for the last label and
455 resets to 0 if the lower MPLS label was added after.
458 .I ARP
460 .B arp(htype=<number>, ptype=<number>, op=<request|reply|number>, request,
461 .B reply, smac=<mac>, sip=<ip4_addr>, tmac=<mac>, tip=<ip4_addr>)
463 .in +4
464 .B htype
465 - ARP hardware type (default: 1 [Ethernet])
467 .B ptype
468 - ARP protocol type (default: 0x0800 [IPv4])
470 .B op
471 - ARP operation type (request/reply) (default: request)
473 .B req|request
474 - ARP Request operation type
476 .B reply
477 - ARP Reply operation type
479 .B smac|sha
480 - Sender hardware (MAC) address (default: device MAC address)
482 .B sip|spa
483 - Sender protocol (IPv4) address (default: device IPv4 address)
485 .B tmac|tha
486 - Target hardware (MAC) address (default: 00:00:00:00:00:00)
488 .B tip|tpa
489 - Target protocol (IPv4) address (default: device IPv4 address)
490 .in -4
492 By default, the ARP operation field is set to request and the Ethernet
493 destination MAC address is set to the broadcast address (ff:ff:ff:ff:ff:ff).
495 .I IPv4
497 .B ip4|ipv4(ihl=<number>, ver=<number>, len=<number>, csum=<number>,
498 .B ttl=<number>, tos=<number>, dscp=<number>, ecn=<number>,
499 .in +16
500 .B id=<number>, flags=<number>, frag=<number>, df, mf, da=<ip4_addr>, sa=<ip4_addr>,
501 .B prot[o]=<number>)
502 .in -16
504 .in +4
505 .B ver|version
506 - Version field (default: 4)
508 .B ihl
509 - Header length in number of 32-bit words (default: 5)
511 .B tos
512 - Type of Service (ToS) field (default: 0)
514 .B dscp
515 - Differentiated Services Code Point (DSCP, DiffServ) field (default: 0)
517 .B ecn
518 - Explicit Congestion Notification (ECN) field (default: 0)
520 .B len|length
521 - Total length of header and payload (calculated by default)
523 .B id
524 - IPv4 datagram identification (default: 0)
526 .B flags
527 - IPv4 flags value (DF, MF) (default: 0)
529 .B df
530 - Don't fragment (DF) flag (default: 0)
532 .B mf
533 - More fragments (MF) flag (default: 0)
535 .B frag
536 - Fragment offset field in number of 8 byte blocks (default: 0)
538 .B ttl
539 - Time to live (TTL) field (default: 0)
541 .B csum
542 - Header checksum (calculated by default)
544 .B sa|saddr
545 - Source IPv4 address (default: device IPv4 address)
547 .B da|daddr
548 - Destination IPv4 address (default: 0.0.0.0)
550 .B prot|proto
551 - IPv4 protocol number (default: 0)
552 .in -4
554 By default, if the lower level header is Ethernet, its EtherType field is set to
555 0x0800 (IPv4). If the lower level header is IPv4, its protocol field is set to
556 0x4 (IP-in-IP).
558 .I IPv6
560 .B ip6|ipv6(ver=<number>, class=<number>, flow=<number> len=<number>,
561 .B nexthdr=<number>, hoplimit=<number>,
562 .in +16
563 .B da=<ip6_addr>, sa=<ip6_addr>)
564 .in -16
566 .in +4
567 .B ver|version
568 - Version field (default: 6)
570 .B tc|tclass
571 - Traffic class (default: 0)
573 .B fl|flow
574 - Flow label (default: 0)
576 .B len|length
577 - Payload length (calculated by default)
579 .B nh|nexthdr
580 - Type of next header, i.e. transport layer protocol number (default: 0)
582 .B hl|hoplimit|ttl
583 - Hop limit, i.e. time to live (default: 0)
585 .B sa|saddr
586 - Source IPv6 address (default: device IPv6 address)
588 .B da|daddr
589 - Destination IPv6 address (default: 0:0:0:0:0:0:0:0)
590 .in -4
592 By default, if the lower level header is Ethernet, its EtherType field is set to
593 0x86DD (IPv6).
595 .I ICMPv4
597 .B icmp4|icmpv4(type=<number>, code=<number>, echorequest, echoreply,
598 .B csum=<number>, mtu=<number>, seq=<number>, id=<number>, addr=<ip4_addr>)
600 .in +4
601 .B type
602 - Message type (default: 0 - Echo reply)
604 .B code
605 - Message code (default: 0)
607 .B echorequest
608 - ICMPv4 echo (ping) request (type: 8, code: 0)
610 .B echoreply
611 - ICMPv4 echo (ping) reply (type: 0, code: 0)
613 .B csum
614 - Checksum of ICMPv4 header and payload (calculated by default)
616 .B mtu
617 - Next-hop MTU field used in 'Datagram is too big' message type (default; 0)
619 .B seq
620 - Sequence number used in Echo/Timestamp/Address mask messages (default: 0)
622 .B id
623 - Identifier used in Echo/Timestamp/Address mask messages (default: 0)
625 .B addr
626 - IPv4 address used in Redirect messages (default: 0.0.0.0)
628 .in -4
629 Example ICMP echo request (ping):
630 .in +4
632 { icmpv4(echorequest, seq=1, id=1326) }
633 .in -4
635 .I ICMPv6
637 .B icmp6|icmpv6(type=<number>, echorequest, echoreply, code=<number>,
638 .B csum=<number>)
640 .in +4
641 .B type
642 - Message type (default: 0)
644 .B code
645 - Code (default: 0)
647 .B echorequest
648 - ICMPv6 echo (ping) request
650 .B echoreply
651 - ICMPv6 echo (ping) reply
653 .B csum
654 - Message checksum (calculated by default)
655 .in -4
657 By default, if the lower level header is IPv6, its Next Header field is set to
658 58 (ICMPv6).
660 .I UDP
662 .B udp(sp=<number>, dp=<number>, len=<number>, csum=<number>)
664 .in +4
665 .B sp|sport
666 - Source port (default: 0)
668 .B dp|dport
669 - Destination port (default: 0)
671 .B len|length
672 - Length of UDP header and data (calculated by default)
674 .B csum
675 - Checksum field over IPv4 pseudo header (calculated by default)
677 .in -4
678 By default, if the lower level header is IPv4, its protocol field is set to
679 0x11 (UDP).
681 .I TCP
683 .B tcp(sp=<number>, dp=<number>, seq=<number>, aseq|ackseq=<number>, doff|hlen=<number>,
684 .B cwr, ece|ecn, urg, ack, psh, rst, syn, fin, win|window=<number>, csum=<number>,
685 .B urgptr=<number>)
687 .in +4
688 .B sp|sport
689 - Source port (default: 0)
691 .B dp|dport
692 - Destination port (default: 0)
694 .B seq
695 - Sequence number (default: 0)
697 .B aseq|ackseq
698 - Acknowledgement number (default: 0)
700 .B doff|hlen
701 - Header size (data offset) in number of 32-bit words (default: 5)
703 .B cwr
704 - Congestion Window Reduced (CWR) flag (default: 0)
706 .B ece|ecn
707 - ECN-Echo (ECE) flag (default: 0)
709 .B urg
710 - Urgent flag (default: 0)
712 .B ack
713 - Acknowledgement flag (default: 0)
715 .B psh
716 - Push flag (default: 0)
718 .B rst
719 - Reset flag (default: 0)
721 .B syn
722 - Synchronize flag (default: 0)
724 .B fin
725 - Finish flag (default: 0)
727 .B win|window
728 - Receive window size (default: 0)
730 .B csum
731 - Checksum field over IPv4 pseudo header (calculated by default)
733 .B urgptr
734 - Urgent pointer (default: 0)
736 .in -4
737 By default, if the lower level header is IPv4, its protocol field is set to
738 0x6 (TCP).
740 Simple example of a UDP Echo packet:
742 .in +5
743    {
744      eth(da=11:22:33:44:55:66),
745      ipv4(daddr=1.2.3.4)
746      udp(dp=7),
747      "Hello world"
748    }
749 .in -5
751 Furthermore, there are two types of comments in trafgen configuration files:
753   1. Multi-line C-style comments:        /* put comment here */
754   2. Single-line Shell-style comments:   #  put comment here
756 Next to all of this, a configuration can be passed through the C preprocessor
757 before the trafgen compiler gets to see it with option \-\-cpp. To give you a
758 taste of a more advanced example, run ''trafgen \-e'', fields are commented:
760    /* Note: dynamic elements make trafgen slower! */
761    #include <stddef.h>
763    {
764      /* MAC Destination */
765      fill(0xff, ETH_ALEN),
766      /* MAC Source */
767      0x00, 0x02, 0xb3, drnd(3),
768      /* IPv4 Protocol */
769      c16(ETH_P_IP),
770      /* IPv4 Version, IHL, TOS */
771      0b01000101, 0,
772      /* IPv4 Total Len */
773      c16(59),
774      /* IPv4 Ident */
775      drnd(2),
776      /* IPv4 Flags, Frag Off */
777      0b01000000, 0,
778      /* IPv4 TTL */
779      64,
780      /* Proto TCP */
781      0x06,
782      /* IPv4 Checksum (IP header from, to) */
783      csumip(14, 33),
784      /* Source IP */
785      drnd(4),
786      /* Dest IP */
787      drnd(4),
788      /* TCP Source Port */
789      drnd(2),
790      /* TCP Dest Port */
791      c16(80),
792      /* TCP Sequence Number */
793      drnd(4),
794      /* TCP Ackn. Number */
795      c32(0),
796      /* TCP Header length + TCP SYN/ECN Flag */
797      c16((8 << 12) | TCP_FLAG_SYN | TCP_FLAG_ECE)
798      /* Window Size */
799      c16(16),
800      /* TCP Checksum (offset IP, offset TCP) */
801      csumtcp(14, 34),
802      /* TCP Options */
803      0x00, 0x00, 0x01, 0x01, 0x08, 0x0a, 0x06,
804      0x91, 0x68, 0x7d, 0x06, 0x91, 0x68, 0x6f,
805      /* Data blob */
806      "gotcha!",
807    }
809 Another real-world example by Jesper Dangaard Brouer [1]:
811    {
812      # --- ethernet header ---
813      0x00, 0x1b, 0x21, 0x3c, 0x9d, 0xf8,  # mac destination
814      0x90, 0xe2, 0xba, 0x0a, 0x56, 0xb4,  # mac source
815      const16(0x0800), # protocol
816      # --- ip header ---
817      # ipv4 version (4-bit) + ihl (4-bit), tos
818      0b01000101, 0,
819      # ipv4 total len
820      const16(40),
821      # id (note: runtime dynamic random)
822      drnd(2),
823      # ipv4 3-bit flags + 13-bit fragment offset
824      # 001 = more fragments
825      0b00100000, 0,
826      64, # ttl
827      17, # proto udp
828      # dynamic ip checksum (note: offsets are zero indexed)
829      csumip(14, 33),
830      192, 168, 51, 1, # source ip
831      192, 168, 51, 2, # dest ip
832      # --- udp header ---
833      # as this is a fragment the below stuff does not matter too much
834      const16(48054), # src port
835      const16(43514), # dst port
836      const16(20),    # udp length
837      # udp checksum can be dyn calc via csumudp(offset ip, offset tcp)
838      # which is csumudp(14, 34), but for udp its allowed to be zero
839      const16(0),
840      # payload
841      'A',  fill(0x41, 11),
842    }
844    [1] https://marc.info/?l=linux-netdev&m=135903630614184
846 The above example rewritten using the header generation functions:
848    {
849      # --- ethernet header ---
850      eth(da=00:1b:21:3c:9d:f8, da=90:e2:ba:0a:56:b4)
851      # --- ip header ---
852      ipv4(id=drnd(), mf, ttl=64, sa=192.168.51.1, da=192.168.51.2)
853      # --- udp header ---
854      udp(sport=48054, dport=43514, csum=0)
855      # payload
856      'A',  fill(0x41, 11),
857    }
859 .SH USAGE EXAMPLE
861 .SS trafgen --dev eth0 --conf trafgen.cfg
862 This is the most simple and, probably, the most common use of trafgen. It
863 will generate traffic defined in the configuration file ''trafgen.cfg'' and
864 transmit this via the ''eth0'' networking device. All online CPUs are used.
866 .SS trafgen -e | trafgen -i - -o lo --cpp -n 1
867 This is an example where we send one packet of the built-in example through
868 the loopback device. The example configuration is passed via stdin and also
869 through the C preprocessor before trafgen's packet compiler will see it.
871 .SS trafgen --dev eth0 --conf fuzzing.cfg --smoke-test 10.0.0.1
872 Read the ''fuzzing.cfg'' packet configuration file (which contains drnd()
873 calls) and send out the generated packets to the ''eth0'' device. After each
874 sent packet, ping probe the attacked host with address 10.0.0.1 to check if
875 it's still alive. This also means, that we utilize 1 CPU only, and do not
876 use the TX_RING, but sendto(2) packet I/O due to ''slow mode''.
878 .SS trafgen --dev wlan0 --rfraw --conf beacon-test.txf -V --cpus 2
879 As an output device ''wlan0'' is used and put into monitoring mode, thus we
880 are going to transmit raw 802.11 frames through the air. Use the
881  ''beacon-test.txf'' configuration file, set trafgen into verbose mode and
882 use only 2 CPUs.
884 .SS trafgen --dev em1 --conf frag_dos.cfg --rand --gap 1000us
885 Use trafgen in sendto(2) mode instead of TX_RING mode and sleep after each
886 sent packet a static timegap for 1000us. Generate packets from ''frag_dos.cfg''
887 and select next packets to send randomly instead of a round-robin fashion.
888 The output device for packets is ''em1''.
890 .SS trafgen --dev eth0 --conf icmp.cfg --rand --num 1400000 -k1000
891 Send only 1400000 packets using the ''icmp.cfg'' configuration file and then
892 exit trafgen. Select packets randomly from that file for transmission and
893 send them out via ''eth0''. Also, trigger the kernel every 1000us for batching
894 the ring frames from user space (default is 10us).
896 .SS trafgen --dev eth0 --conf tcp_syn.cfg -u `id -u bob` -g `id -g bob`
897 Send out packets generated from the configuration file ''tcp_syn.cfg'' via
898 the ''eth0'' networking device. After setting up the ring for transmission,
899 drop credentials to the non-root user/group bob/bob.
901 .SS trafgen --dev eth0 '{ fill(0xff, 6), 0x00, 0x02, 0xb3, rnd(3), c16(0x0800), fill(0xca, 64) }' -n 1
902 Send out 1 invaid IPv4 packet built from command line to all hosts.
904 .SH NOTE
906 trafgen can saturate a Gigabit Ethernet link without problems. As always,
907 of course, this depends on your hardware as well. Not everywhere where it
908 says Gigabit Ethernet on the box, will you reach almost physical line rate!
909 Please also read the netsniff-ng(8) man page, section NOTE for further
910 details about tuning your system e.g. with tuned(8).
912 If you intend to use trafgen on a 10-Gbit/s Ethernet NIC, make sure you
913 are using a multiqueue tc(8) discipline, and make sure that the packets
914 you generate with trafgen will have a good distribution among tx_hashes
915 so that you'll actually make use of multiqueues.
917 For introducing bit errors, delays with random variation and more, there
918 is no built-in option in trafgen. Rather, one should reuse existing methods
919 for that which integrate nicely with trafgen, such as tc(8) with its
920 different disciplines, i.e. netem.
922 For more complex packet configurations, it is recommended to use high-level
923 scripting for generating trafgen packet configurations in a more automated
924 way, i.e. also to create different traffic distributions that are common for
925 industrial benchmarking:
927     Traffic model              Distribution
929     IMIX                       64:7,  570:4,  1518:1
930     Tolly                      64:55,  78:5,   576:17, 1518:23
931     Cisco                      64:7,  594:4,  1518:1
932     RPR Trimodal               64:60, 512:20, 1518:20
933     RPR Quadrimodal            64:50, 512:15, 1518:15, 9218:20
935 The low-level nature of trafgen makes trafgen rather protocol independent
936 and therefore useful in many scenarios when stress testing is needed, for
937 instance. However, if a traffic generator with higher level packet
938 descriptions is desired, netsniff-ng's mausezahn(8) can be of good use as
939 well.
941 For smoke/fuzz testing with trafgen, it is recommended to have a direct
942 link between the host you want to analyze (''victim'' machine) and the host
943 you run trafgen on (''attacker'' machine). If the ICMP reply from the victim
944 fails, we assume that probably its kernel crashed, thus we print the last
945 sent packet together with the seed and quit probing. It might be very unlikely
946 to find such a ping-of-death on modern Linux systems. However, there might
947 be a good chance to find it on some proprietary (e.g. embedded) systems or
948 buggy driver firmwares that are in the wild. Also, fuzz testing can be done
949 on raw 802.11 frames, of course. In case you find a ping-of-death, please
950 mention that you were using trafgen in your commit message of the fix!
952 .SH BUGS
953 For old trafgen versions only, there could occur kernel crashes: we have fixed
954 this bug in the mainline and stable kernels under commit 7f5c3e3a8 (''af_packet:
955 remove BUG statement in tpacket_destruct_skb'') and also in trafgen.
957 Probably the best is if you upgrade trafgen to the latest version.
959 .SH LEGAL
960 trafgen is licensed under the GNU GPL version 2.0.
962 .SH HISTORY
963 .B trafgen
964 was originally written for the netsniff-ng toolkit by Daniel Borkmann. It
965 is currently maintained by Tobias Klauser <tklauser@distanz.ch> and Daniel
966 Borkmann <dborkma@tik.ee.ethz.ch>.
968 .SH SEE ALSO
969 .BR netsniff-ng (8),
970 .BR mausezahn (8),
971 .BR ifpps (8),
972 .BR bpfc (8),
973 .BR flowtop (8),
974 .BR astraceroute (8),
975 .BR curvetun (8)
977 .SH AUTHOR
978 Manpage was written by Daniel Borkmann.
980 .SH COLOPHON
981 This page is part of the Linux netsniff-ng toolkit project. A description of the project,
982 and information about reporting bugs, can be found at http://netsniff-ng.org/.