Dotaz: Sledování síťového provozu přes netflow

[vasek]

Ahoj. Chci na linuxovém routeru sledovat co jím kdy a kam teklo. Našel jsem projekt ipt_NETFLOW, který by měl nějakému cíli posílat netflow statistiky. Přímo v README je uvedeno:

4. Example of directing all traffic into module:
   # iptables -A FORWARD -j NETFLOW
   # iptables -A INPUT -j NETFLOW
   # iptables -A OUTPUT -j NETFLOW

Nejsem si ale jistý rychlostí tohoto řešení. Přes router tečou data z/do internetu rychlostí 64 MBit/s a mezi lokální sítí a DMZ rychlostí max 100 Mbit/s. Jak je tohle monitorování náročné na zdroje (CPU, RAM, využití sítě)? Netflow data chci posílat dalšímu serveru k analýze. Nepředpokládám, že netflow posílá byte po bytu vše co zachytil, ale jak moc využívá linku?

Odpovědi

[NN]

V projektu se pise:

Ipt-netflow is very fast and effective Netflow exporting module for Linux kernel (up to 2.6.37). Designed for Linux router with heavy network load..

takze bych se toho nebal.. detaily nevim.

NN

[SPM]

NetFlow ty data agreguje do toků - např. když někdo stáhne nějaký soubor přes HTTP, tak by z toho měl vzniknout jeden tok - odkud kam, jaké porty, kolik paketů a bajtů. Náročné na přenos dat to tedy tak moc není. Horší je náročnost na ostatní systémové prostředky, protože to zkoumání dat a agregace něco stojí. Ale těžko se odhaduje, co to udělá, asi to budeš muset vyzkoušet. Na větších sítích jsou ty sondy dedikované - tedy do dedikovaného serveru se přivedou data (port mirror na switchi, optický hranol, ...) a tenhle server jenom vytváří netflow toky... to hádám ale asi úplně nechceš.