Dotaz: monitorovani trafficu TCP spojeni?

[Franta Hanzlík]

Zdravím, potřeboval bych na Linuxu monitorovat (alespoň počet paketů od začátku session) IPv4 TCP spojení (tj. dvojici SrcAddr:SrcPort <-> DstAddr:DstPort, jedna strana je pevná (daemon služby, tady na tom stroji to chci monitorovat) a druhá-client je cokoliv v lokální /24 síti a náhodný port)).

Data chci získat nějakou command-line utilitou - pro script, který by vůbec/málo aktivní spojení resetnul. A nějak nemohu najít nic vhodného... Iptables by musely obsáhnout všechny kombinace klientIP:klientPort, což se mi moc šikovné nezdá. Využít údaje z utility conntrack n. /proc/net/nf_conntrack by bylo pěkné, ale ty neobsahují údaje o počtu paketů/bytů (a popravdě nevím, jestli je u spojení eviduje kernel). Netuším, zda to lze provést např. pomocí conntrackd nebo ulogd...

Takže zatím jediné, co mne napadá nejschůdnějšího, je nějakou dobu chytat pakety na portu služby tcpdumpem a následně je rozdělit na jednotlivá spojení a ta vyhodnotit.
Nicméně - neví/nenapadne někoho něco elegantnějšího? Díky předem

Odpovědi

[Franta Hanzlík]

Teď jsem našel tcpflow, zdá se, že pro tenhle účel má výstup oproti tcpdump lepší v tom, že už sám rozdělí jednotlivá spojení. Jestě prozkoumám blíž.

[NN]

To vypada jako slow loris problem? Mozna ntop, ipt-netflow..