[Sysadmins] циски..или ещё что-то

[Sysadmins] циски..или ещё что-то

[Anton Gorlov]

Вот подумываю..а не завести ли себе для обсчёта траффика циску... Хотя 
не факт что мне её купят..но помечтать та можно.
В общем что народ посоветывал бы в такой ситуации:
Нужно что-то воткнут между свитчем и роутером (он же шлюз)..и получать 
нетфлоу-статистику... Так как с самого свитча не снять..хотя он 
иуправляемый..на роутере что-то тоже не очень развернёшься.
так же очень хотелось бы что бы эта железяка понимала вланы.

-- 
   np: silence

Re: [Sysadmins] циски..или ещё что-то

[Шенцев Алексей Владимирович]

В сообщении от Четверг 05 Январь 2006 12:34 Anton Gorlov написал(a):
> Вот подумываю..а не завести ли себе для обсчёта траффика циску... Хотя
> не факт что мне её купят..но помечтать та можно.
> В общем что народ посоветывал бы в такой ситуации:
> Нужно что-то воткнут между свитчем и роутером (он же шлюз)..и получать
> нетфлоу-статистику... Так как с самого свитча не снять..хотя он
> иуправляемый..на роутере что-то тоже не очень развернёшься.
> так же очень хотелось бы что бы эта железяка понимала вланы.
iptables умеет считать тарфик, netams неплохая штучка. И это всё можно сделать 
на самом шлюзе ... ;)
-- 
С уважением, Шенцев Алексей (AShen)

Re: [Sysadmins] циски..или ещё что-то

[Evgenii Terechkov]

Шенцев Алексей Владимирович писал:

>>Вот подумываю..а не завести ли себе для обсчёта траффика циску... Хотя
>>не факт что мне её купят..но помечтать та можно.
>>В общем что народ посоветывал бы в такой ситуации:
>>Нужно что-то воткнут между свитчем и роутером (он же шлюз)..и получать
>>нетфлоу-статистику... Так как с самого свитча не снять..хотя он
>>иуправляемый..на роутере что-то тоже не очень развернёшься.
>>так же очень хотелось бы что бы эта железяка понимала вланы.
> 
> iptables умеет считать тарфик, netams неплохая штучка. И это всё можно сделать 
> на самом шлюзе ... ;)

Если на самом шлюзе, то логичней было бы flow-tools и сенсор какой-нить. 
Но человек указал же - не на шлюзе.

P.S.: сам только начал с этим разбираться, но на шлюзе :-)

Re: [Sysadmins] циски..или ещё что-то

[Шенцев Алексей Владимирович]

В сообщении от Четверг 05 Январь 2006 12:49 Evgenii Terechkov написал(a):
> Если на самом шлюзе, то логичней было бы flow-tools и сенсор какой-нить.
								^^^^^^^^^^^^^^^^^
Про них я забыл упоминуть ... ;)
> Но человек указал же - не на шлюзе.
А вот тут наверное ему надо воткнуть что-то между шлюзом и свичем, то ли ещё 
один роутер, то ли сделать ethrernet-мост и на них считать, но зачем такое 
излишество, если это можно сделать на самом шлюзе, непонимаю.
-- 
С уважением, Шенцев Алексей (AShen)

Re: [Sysadmins] циски..или ещё что-то

[Anton Gorlov]

Шенцев Алексей Владимирович пишет:

> iptables умеет считать тарфик, netams неплохая штучка. И это всё можно сделать 
> на самом шлюзе ... ;)

iptables не устрнаивают..так как правила частенько меняются и.. 
следовательно всё что они насчитали теряется.
-- 
   np: silence

Re: [Sysadmins] циски..или ещё что-то

[Anton Gorlov]

Evgenii Terechkov пишет:

>> iptables умеет считать тарфик, netams неплохая штучка. И это всё можно 
>> сделать на самом шлюзе ... ;)
> Если на самом шлюзе, то логичней было бы flow-tools и сенсор какой-нить. 
> Но человек указал же - не на шлюзе.
Ещё б знать какой сенсор..тот что я пробовал -libpcap (кажется) - грузит 
камень и при большой нагрузке трафф теряется..
> 
> P.S.: сам только начал с этим разбираться, но на шлюзе :-)


-- 
   np: silence

Re: [Sysadmins] циски..или ещё что-то

[Evgenii Terechkov]

Anton Gorlov писал:

> Ещё б знать какой сенсор..тот что я пробовал -libpcap (кажется) - грузит 
> камень и при большой нагрузке трафф теряется..

У нас сейчас стойт fprobe-ulog, тестируем пока (ставил другой админ, я 
его не смотрел сильно).

Re: [Sysadmins] циски..или ещё что-то

[Peter Volkov]

[-- Attachment #1: Type: text/plain, Size: 2104 bytes --]

On Чтв, 2006-01-05 at 12:34 +0300, Anton Gorlov wrote:
> Вот подумываю..а не завести ли себе для обсчёта траффика циску... Хотя 
> не факт что мне её купят..но помечтать та можно.
> В общем что народ посоветывал бы в такой ситуации:
> Нужно что-то воткнут между свитчем и роутером (он же шлюз)..и получать 
> нетфлоу-статистику... Так как с самого свитча не снять..хотя он 
> иуправляемый..на роутере что-то тоже не очень развернёшься.
> так же очень хотелось бы что бы эта железяка понимала вланы.

Сделайте бридж и включите у него iptables.

Чтобы не терять пакеты используйте вместо libpcap, как вам уже
советовали, ulog (для экспорта с уровня ядра в уровень приложений).
Можно как-то так:
iptables -A FORWARD -j ULOG --ulog-nlgroup 1

На уровне приложений ловите эти пакеты с помощью ipcad или ndsad и этими
же демонами экспортируйте в netflow. Настройка обоих не должна у вас
занять и 5 минут... :)

Вроде, если большая нагрузка, то лучше использовать ndsad. Но ipcad
более распространён. :)

А вот с netams наверняка не стоит заморачиваться. Когда я это пробовал
(два года назад) это вообще было что-то не подъёмное, не понятное и
[слухи]говорят, что без автора там не обойтись :)[/слухи]. Впрочем
конечно, вы можете попробовать.

Peter.



[-- Attachment #2: This is a digitally signed message part --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [Sysadmins] циски..или ещё что-то

[Eugene Prokopiev]

Anton Gorlov пишет:
> Шенцев Алексей Владимирович пишет:
> 
>> iptables умеет считать тарфик, netams неплохая штучка. И это всё можно 
>> сделать на самом шлюзе ... ;)
> 
> 
> iptables не устрнаивают..так как правила частенько меняются и.. 
> следовательно всё что они насчитали теряется.

и это единственная претензия?

ну так загляните в ulog-acctd из backports, там есть и пример биллинга

идея примера: создаем несколько собственных цепочек для разных категорий 
трафика (например то что можно пропустить и то, что нельзя), внутри 
цепочек используем ULOG, а в основных правилах вместо ACCEPT/DROP/REJECT 
используем наши цепочки

как по мне, так получающееся в результате содержимое БД значительно 
удобнее того, что предлагает netams :)

-- 
С уважением, Прокопьев Евгений

Re: [Sysadmins] ��

[Anton Gorlov]

А всё таки насчёт цисок.. прост оради спортивного интереса хотелось бы 
попрбоовать выбрать модель..а там мож и купят. :-)
В общем присмотрел себе парочку... только вот в описании что-то не вижу 
netflow. Речь идёт об Сisco 1710 Security Access Router и Cisco 1711 and 
1712 Security Access Routers.
Вопрос - все ли циски умеют нетфлоу..или тоже не все?

Re: [Sysadmins] ��

[Sergey S. Skulachenko]

On Mon, 09 Jan 2006 10:59:59 +0300
Anton Gorlov wrote:

> В общем присмотрел себе парочку... только вот в описании
> что-то не вижу netflow. Речь идёт об Сisco 1710 Security
> Access Router и Cisco 1711 and 1712 Security Access Routers.
> Вопрос - все ли циски умеют нетфлоу..или тоже не все?

По-моему, это тот случай, когда не в лист рассылки надо
обращаться, а к "золотому" партнёру Cisco, а именно,
http://www.amt.ru/
Обращайтесь в их тех. поддержку - расскажут, научат. Только
чётко изложите свою задачу. Если захотите, личным письмом сообщу
Вам пару имён, действительно, золотых специалистов.

-- 
С уважением,
С.С.Скулаченко

Re: [Sysadmins] ��

[Anton Gorlov]

Sergey S. Skulachenko пишет:

>>В общем присмотрел себе парочку... только вот в описании
>>что-то не вижу netflow. Речь идёт об Сisco 1710 Security
>>Access Router и Cisco 1711 and 1712 Security Access Routers.
>>Вопрос - все ли циски умеют нетфлоу..или тоже не все?
> По-моему, это тот случай, когда не в лист рассылки надо
> обращаться,

да подумалось что может народ знает. :-)

> а к "золотому" партнёру Cisco, а именно,
> http://www.amt.ru/
> Обращайтесь в их тех. поддержку - расскажут, научат. Только
> чётко изложите свою задачу.
Правильно поставленный вопрос - ключ к успеху!

> Если захотите, личным письмом сообщу
> Вам пару имён, действительно, золотых специалистов.

давайте на всякий случай.. вдруг пригодится..хотя сначала такие 
попытаюсь через переднюю дверь войти

-- 
   np: L'Ame Immortelle - Ich Gab Dir Alles

Re: [Sysadmins] циски..или ещё что-то

[Alexei Takaseev]

On Thu, 05 Jan 2006 12:34:53 +0300
Anton Gorlov wrote:

> Вот подумываю..а не завести ли себе для обсчёта траффика циску... Хотя
> 
> не факт что мне её купят..но помечтать та можно.
> В общем что народ посоветывал бы в такой ситуации:
> Нужно что-то воткнут между свитчем и роутером (он же шлюз)..и получать
> 
> нетфлоу-статистику... Так как с самого свитча не снять..хотя он 
> иуправляемый..на роутере что-то тоже не очень развернёшься.
> так же очень хотелось бы что бы эта железяка понимала вланы.

На роутере что стоит? Линуха? То может имеет смысл обратить внимание на
ipcad.

Re: [Sysadmins] циски..или ещё что-то

[Alexei Takaseev]

On Thu, 05 Jan 2006 13:30:51 +0300
Anton Gorlov wrote:

> Evgenii Terechkov пишет:
> 
> >> iptables умеет считать тарфик, netams неплохая штучка. И это всё
> >можно  > сделать на самом шлюзе ... ;)
> > Если на самом шлюзе, то логичней было бы flow-tools и сенсор
> > какой-нить.  Но человек указал же - не на шлюзе.
> Ещё б знать какой сенсор..тот что я пробовал -libpcap (кажется) -
> грузит  камень и при большой нагрузке трафф теряется..

ipcad + ipq и никаких потерь пакетов.

Re: [Sysadmins] циски..или ещё что-то

[Anton Gorlov]

Alexei Takaseev пишет:

> ipcad + ipq и никаких потерь пакетов.

А нагрузка большая? В смысле вообще на сервер.какой срдний траффик за 
месяц\день?

-- 
   np: silence

Re: [Sysadmins] циски..или ещё что-то

[Alexei Takaseev]

On Tue, 31 Jan 2006 18:22:03 +0300
Anton Gorlov wrote:

> Alexei Takaseev пишет:
> 
> > ipcad + ipq и никаких потерь пакетов.
> 
> А нагрузка большая? В смысле вообще на сервер.какой срдний траффик за 
> месяц\день?

Что-то около 10Г в день.