[Comm] netams

[Comm] netams

[Sergey Zazhigaev]

Приветствую Вас, All!

Кто настраивал (удачно) netams в ALM2.4 отзовитесь, уже неделю бьюсь, а воз и 
ныне там... :(

-- 
С уважением, Сергей.

Re: [Comm] netams

[Dmitry Chernyakov]

Dear Sergey,

reply:Sunday, May 15, 2005

SZ> Приветствую Вас, All!

SZ> Кто настраивал (удачно) netams в ALM2.4 отзовитесь, уже неделю бьюсь, а воз и 
SZ> ныне там... :(

Задавайте вопросы.

Для примера работающая конфигурация:

Секция processor файла /etc/netams/netams.conf :

service processor 0
lookup-delay 20
flow-lifetime 120
policy acct oid 14643C name ip target ip
policy acct oid 14643D name icmp target icmp
policy acct oid 14753D name tcp target tcp
policy acct oid 14753E name udp target udp
restrict all pass local pass
unit group oid 021949 name NETWORK
unit net oid 022AE8 name LAN ip 192.168.1.0 mask 255.255.255.0 no-local-pass
unit host oid 026255 name server ip 192.168.1.88 parent NETWORK acct-policy ip
unit user oid 02238E name host1 ip 192.168.1.23 parent NETWORK acct-policy ip
unit user oid 0246E8 name host2 ip 192.168.1.118 parent NETWORK acct-policy ip
== остальные адреса вырезаны ==
storage 1 all

Секция data-source этого же файла:

service data-source 1
type ip-traffic
rule 1 "INPUT -p all -j QUEUE"
rule 2 "FORWARD -p all -j QUEUE"
rule 3 "OUTPUT -p all -j QUEUE"

Остальные секции настраивайте согласно документации.
Перед копипастом удалите "oid XXXXXX" в каждой строке. У вас они будут
другие и сохранятся после команды save в админском интерфейсе
(telnet localhost 20001)

Сервер имеет Интранет адрес 192.168.1.88, .23, .118 - рабочие станции

Секция nat файла /etc/sysconfig/iptables :

*nat
:PREROUTING ACCEPT [0:0]
:POSTROUTING ACCEPT [0:0]
:OUTPUT ACCEPT [0:0]
-A POSTROUTING -s 192.168.1.23 -o eth0 -j SNAT --to-source ХХ.ХХ.ХХ.ХХ
-A POSTROUTING -s 192.168.1.118 -o eth0 -j SNAT --to-source ХХ.ХХ.ХХ.ХХ

где ХХ.ХХ.ХХ.ХХ - Интернет адрес сервера
eth0 - интерфейс Интернет-карты (в случае модема/ADSL может быть ppp0)

Хочу обратить внимание, что строки
INPUT -p all -j QUEUE и т.п.
в /etc/sysconfig/iptables не прописываются. Их ставит сам netams.

Возможно также, что в некоторых случаях NAT через netams включается не
мгновенно, а через несколько секунд после его запуска.

---
yours truly, CDS

Re: [Comm] netams

[Sergey Zazhigaev]

В сообщении от 16 Май 2005 06:05 Dmitry Chernyakov написал(a):

DC> Задавайте вопросы.
DC> Для примера работающая конфигурация:
Вот за пример конфига большое спасибо!

DC> rule 1 "INPUT -p all -j QUEUE"
DC> rule 2 "FORWARD -p all -j QUEUE"
DC> rule 3 "OUTPUT -p all -j QUEUE"
Вот она проблема!
В документации описание rule довольно расплывчато я и оставил его как было в 
конфиге по дефолту.

DC> Секция nat файла /etc/sysconfig/iptables :
NAT не использую, но настроен маскарадинг.

DC> Хочу обратить внимание, что строки
DC> INPUT -p all -j QUEUE и т.п.
DC> в /etc/sysconfig/iptables не прописываются. Их ставит сам netams.
Кстати этот момент в документации также не оговорен (по крайней мере я не 
встречал)

DC> Возможно также, что в некоторых случаях NAT через netams включается не
DC> мгновенно, а через несколько секунд после его запуска.
Спасибо большое за столь обширный ответ.

-- 
С уважением, Сергей.

Re: [Comm] netams

[Sergey]

В Пнд, 16/05/2005 в 18:17 +0400, Sergey Zazhigaev пишет:

> DC> Хочу обратить внимание, что строки
> DC> INPUT -p all -j QUEUE и т.п.
> DC> в /etc/sysconfig/iptables не прописываются. Их ставит сам netams.
> Кстати этот момент в документации также не оговорен (по крайней мере я не 
> встречал)
они там появятся при service iptables save


Я предпочитаю использовать QUEUE только для трафика из цепочки FORWARD,
чтобы при падении netams не потерять контроль над всей машиной. При этом
правила добавляются не самим нетамс, а прописаны уже в скрипте firewall:
$IPTABLES -A FORWARD -i $LAN_IFACE -j QUEUE
Единственный минус при такой конфигурации - нефозможно учитывать трафик
непосредственно с машины, где установлен нетамс, но если это очень
нужно, то можно использовать второй data-source с libcap, например.


-- 
С уважением, Сергей.

Re[2]: [Comm] netams

[Dmitry Chernyakov]

Dear Sergey,

reply:Monday, May 16, 2005

>> DC> Хочу обратить внимание, что строки
>> DC> INPUT -p all -j QUEUE и т.п.
>> DC> в /etc/sysconfig/iptables не прописываются. Их ставит сам netams.
>> Кстати этот момент в документации также не оговорен (по крайней мере я не 
>> встречал)
S> они там появятся при service iptables save

Кстати где-то в доке написано что эти строки (-j QUEUE) самому
выставлять не надо (service iptables save). Их должен включать netams
в нужный для него момент.

---
yours truly, CDS

Re[3]: [Comm] netams

[Сергей Зажигаев]

Здравствуйте, Dmitry.

Вот пообщался на форуме netams, не знаю теперь, что и делать...
http://www.netams.com/ubb/cgi-bin/ultimatebb.cgi?ubb=get_topic&f=2&t=001403


-- 
С уважением, Сергей Зажигаев                          mailto:steely@bk.ru

Re[4]: [Comm] netams

[Dmitry Chernyakov]

Dear Сергей,

reply:Wednesday, May 18, 2005

СЗ> Вот пообщался на форуме netams, не знаю теперь, что и делать...
СЗ> http://www.netams.com/ubb/cgi-bin/ultimatebb.cgi?ubb=get_topic&f=2&t=001403

Я тоже по первой около недели пытался заставить его работать, пару раз
приходилось "подбегать" к консоли (на другой конец города)

С опытом пришло понимание, что netams - штука капризная, левых сборок
не использую, на чистом, нулёвом ALM2.4 правлю 2 файла и всё работает.
Проверено уже раза 3 (новые инсталяции).

---
yours truly, CDS

Re[5]: [Comm] netams

[Сергей Зажигаев]

Здравствуйте, Dmitry.

Вы писали 19 мая 2005 г., 8:02:27:

DC> Dear Сергей,

DC> reply:Wednesday, May 18, 2005

СЗ>> Вот пообщался на форуме netams, не знаю теперь, что и делать...
СЗ>> http://www.netams.com/ubb/cgi-bin/ultimatebb.cgi?ubb=get_topic&f=2&t=001403

DC> Я тоже по первой около недели пытался заставить его работать, пару раз
DC> приходилось "подбегать" к консоли (на другой конец города)

DC> С опытом пришло понимание, что netams - штука капризная, левых сборок
DC> не использую, на чистом, нулёвом ALM2.4 правлю 2 файла и всё работает.
DC> Проверено уже раза 3 (новые инсталяции).
Может все дело в этом:
================================
"Если использовать скрипт сборки АМСА то потом надо проверить Makefile, просто при генерации скрипт
почемуто коментарит испольщование ipq.
Следуя из этого надо после того как скрипт сборки отработал подправить в Makefile пути до ipq
и откоментарить использование ipq.
Просто я на этом попался при переходе с 3.1.х на 3.2.х версию."
================================
??


-- 
С уважением, Сергей Зажигаев                          mailto:steely@bk.ru

Re[6]: [Comm] netams

[Dmitry Chernyakov]

Dear Сергей,

reply:Thursday, May 19, 2005

СЗ> Может все дело в этом:
СЗ> ================================
СЗ> "Если использовать скрипт сборки АМСА то потом надо проверить
СЗ> Makefile, просто при генерации скрипт
СЗ> ??

Повторюсь: моя конфигурация распространяется только на тот netams, что
идёт с АЛМ2.4
netams-3.1.1829-alt1.1

Ввиду капризности этой софтины чужие сборки я не использую.

---
yours truly, CDS

Re[7]: [Comm] netams

[Сергей Зажигаев]

Здравствуйте, Dmitry.

Вы писали 19 мая 2005 г., 13:08:06:

DC> Повторюсь: моя конфигурация распространяется только на тот netams, что
DC> идёт с АЛМ2.4
DC> netams-3.1.1829-alt1.1
DC> Ввиду капризности этой софтины чужие сборки я не использую.
Пакет netams 3.2.2 доступен в Сизифе.
Кстати, вполне рабочий, хотя через ipq мне его так и не удалось
запустить, но заработал через libpcap, тут возник другой вопрос - у
меня настроен прокси (сквид), и если считать траффик на внешнем
интерфейсе, то считается только общий траффик, а если считать на
внутреннем, то в статистику попадают "лишние" данные (например
локального jabber сервера, ssh-соединения и т.п.). Как отсеять лишний
траффик?


-- 
С уважением, Сергей Зажигаев                          mailto:steely@bk.ru

[Comm] Re: netams

[Michael Shigorin]

On Mon, May 16, 2005 at 06:17:41PM +0400, Sergey Zazhigaev wrote:
> DC> Для примера работающая конфигурация:
> Вот за пример конфига большое спасибо!

Может, стоит повесить FR на пакет, предложив такой sample?

> DC> rule 1 "INPUT -p all -j QUEUE"
> DC> rule 2 "FORWARD -p all -j QUEUE"
> DC> rule 3 "OUTPUT -p all -j QUEUE"
> Вот она проблема!  В документации описание rule довольно
> расплывчато я и оставил его как было в конфиге по дефолту.

И это в какой README добавить.

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Comm] netams

[Sergey Zazhigaev]

В сообщении от 16 Май 2005 06:05 Dmitry Chernyakov написал(a):

Вдогонку. :)

DC> Секция data-source этого же файла:
DC>
DC> service data-source 1
DC> type ip-traffic
а source отсутствует совсем?

DC> rule 1 "INPUT -p all -j QUEUE"
DC> rule 2 "FORWARD -p all -j QUEUE"
DC> rule 3 "OUTPUT -p all -j QUEUE"
Что-то после установки этих правил блокируется весь траффик (модуль ip_queue 
загружен).

-- 
С уважением, Сергей.

Re[2]: [Comm] netams

[Dmitry Chernyakov]

Dear Sergey,

reply:Monday, May 16, 2005

DC>> service data-source 1
DC>> type ip-traffic
SZ> а source отсутствует совсем?

source и есть -- ip-traffic

DC>> rule 1 "INPUT -p all -j QUEUE"
DC>> rule 2 "FORWARD -p all -j QUEUE"
DC>> rule 3 "OUTPUT -p all -j QUEUE"
SZ> Что-то после установки этих правил блокируется весь траффик (модуль ip_queue 
SZ> загружен).

Наверно потому что не прописаны правила для iptables или
service processor прописан не так как у меня =)

---
yours truly, CDS

Re[3]: [Comm] netams

[Сергей Зажигаев]

Здравствуйте, Dmitry.

Вы писали 17 мая 2005 г., 6:09:44:

DC> Dear Sergey,

DC> reply:Monday, May 16, 2005

DC>>> service data-source 1
DC>>> type ip-traffic
SZ>> а source отсутствует совсем?
DC> source и есть -- ip-traffic

DC>>> rule 1 "INPUT -p all -j QUEUE"
DC>>> rule 2 "FORWARD -p all -j QUEUE"
DC>>> rule 3 "OUTPUT -p all -j QUEUE"
SZ>> Что-то после установки этих правил блокируется весь траффик (модуль ip_queue
SZ>> загружен).
DC> Наверно потому что не прописаны правила для iptables или
DC> service processor прописан не так как у меня =)
=================
service processor
lookup-delay 20
flow-lifetime 120
policy oid 0EE45A name ip target proto ip    
policy oid 0E7B9A name www target proto tcp ports 80 81 8080 3128 
policy oid 083414 name mail target proto tcp ports 25 110 
restrict all pass local pass
unit group oid 077423 name CLIENTS acct-policy ip www mail 
unit host oid 024B07 name server bw 160K in 1K out acct-policy ip www mail 
unit user oid 07CEE9 name Steely ip 192.168.0.200 email steely@almaz.local parent CLIENTS acct-policy ip www mail 
unit net oid 0B51CD name LAN ip 192.168.0.0 mask 255.255.255.0 acct-policy ip www mail
storage 1 all

service storage 1
type mysql

service login 0
storage 1

service data-source 1
type ip-traffic
rule 1 "FORWARD -p all -j QUEUE"
=================



-- 
С уважением, Сергей Зажигаев                          mailto:steely@bk.ru

Re[4]: [Comm] netams

[Dmitry Chernyakov]

Dear Сергей,

reply:Tuesday, May 17, 2005

СЗ> service data-source 1
СЗ> type ip-traffic
СЗ> rule 1 "FORWARD -p all -j QUEUE"
СЗ> =================

А INPUT и OUTPUT?

---
yours truly, CDS

Re[5]: [Comm] netams

[Сергей Зажигаев]

Здравствуйте, Dmitry.

Вы писали 17 мая 2005 г., 13:19:40:

СЗ>> service data-source 1
СЗ>> type ip-traffic
СЗ>> rule 1 "FORWARD -p all -j QUEUE"
СЗ>> =================
DC> А INPUT и OUTPUT?
Поначалу прописал, но получил полную блокировку машины - пришлось
идти, отключать ее, тащить к себе и с консоли отключать эти правила.

А FORWARD оставляет возможность доступа к машине удаленно, для отладки
я думаю его должно быть достаточно, когда заработает - подключу и
другие цепочки.

-- 
С уважением, Сергей Зажигаев                          mailto:steely@bk.ru

Re[3]: [Comm] netams

[Сергей Зажигаев]

Здравствуйте, Dmitry.

Вы писали 17 мая 2005 г., 6:09:44:

DC>>> service data-source 1
DC>>> type ip-traffic
SZ>> а source отсутствует совсем?
DC> source и есть -- ip-traffic
Понял.
DC>>> rule 1 "INPUT -p all -j QUEUE"
DC>>> rule 2 "FORWARD -p all -j QUEUE"
DC>>> rule 3 "OUTPUT -p all -j QUEUE"
SZ>> Что-то после установки этих правил блокируется весь траффик (модуль ip_queue
SZ>> загружен).
DC> Наверно потому что не прописаны правила для iptables или
Не совсем понял, так в iptables все же нужно что-то руками дописывать?
Cvjnhtk? xnj получается на машине по iptables-save, netams просто
добавляет строки из rule в самое начало соответствующих цепочек.
DC> service processor прописан не так как у меня =)
Да вроде бы не так уж и сильно отличаются. По крайней мере ничего
сещественного я не вижу.
=================
service processor
lookup-delay 20
flow-lifetime 120
policy oid 0EE45A name ip target proto ip    
policy oid 0E7B9A name www target proto tcp ports 80 81 8080 3128 
policy oid 083414 name mail target proto tcp ports 25 110 
restrict all pass local pass
unit group oid 077423 name CLIENTS acct-policy ip www mail 
unit host oid 024B07 name server bw 160K in 1K out acct-policy ip www mail 
unit user oid 07CEE9 name Steely ip 192.168.0.200 email steely@almaz.local parent CLIENTS acct-policy ip www mail 
unit net oid 0B51CD name LAN ip 192.168.0.0 mask 255.255.255.0 acct-policy ip www mail
storage 1 all

service storage 1
type mysql

service login 0
storage 1

service data-source 1
type ip-traffic
rule 1 "FORWARD -p all -j QUEUE"
=================


PS. Сорри, предыдущее письмо ушло случаянно недописанным.
-- 
С уважением, Сергей Зажигаев                          mailto:steely@bk.ru

Re: [Comm] netams

[Andrey Rybak]

Dmitry Chernyakov wrote:

>Dear Sergey,
>
>reply:Sunday, May 15, 2005
>
>SZ> Приветствую Вас, All!
>
>SZ> Кто настраивал (удачно) netams в ALM2.4 отзовитесь, уже неделю бьюсь, а воз и 
>SZ> ныне там... :(
>
>Задавайте вопросы.
>
>
>  
>

>type ip-traffic
>rule 1 "INPUT -p all -j QUEUE"
>rule 2 "FORWARD -p all -j QUEUE"
>rule 3 "OUTPUT -p all -j QUEUE"
>  
>
а не дадите ли минимальную конфигурацию для type libpcap?

>Остальные секции настраивайте согласно документации.
>Перед копипастом удалите "oid XXXXXX" в каждой строке.
>
oid задается произвольно или по как-нибудь генеряться?

> У вас они будут
>другие и сохранятся после команды save в админском интерфейсе
>(telnet localhost 20001)
>
>Сервер имеет Интранет адрес 192.168.1.88, .23, .118 - рабочие станции
>
>  
>

>Секция nat файла /etc/sysconfig/iptables :
>
>*nat
>:PREROUTING ACCEPT [0:0]
>:POSTROUTING ACCEPT [0:0]
>:OUTPUT ACCEPT [0:0]
>-A POSTROUTING -s 192.168.1.23 -o eth0 -j SNAT --to-source ХХ.ХХ.ХХ.ХХ
>-A POSTROUTING -s 192.168.1.118 -o eth0 -j SNAT --to-source ХХ.ХХ.ХХ.ХХ
>
>  
>
Т.е надо еще и iptables руками править?
В документации по netams про запись правил в iptables ничего не говорится.

>  
>

Re[2]: [Comm] netams

[Dmitry Chernyakov]

Dear Andrey,

reply:Monday, May 16, 2005

AR> а не дадите ли минимальную конфигурацию для type libpcap?

Пусть отзовутся те, у кого оно работает, ибо теории здесь не место.

AR> oid задается произвольно или по как-нибудь генеряться?

Он генерится самим netams'ом.

AR> Т.е надо еще и iptables руками править?
AR> В документации по netams про запись правил в iptables ничего не говорится.

Там говорится про конфигурацию шлюза, в котором может стоять не только
Линух и не только iptables.

---
yours truly, CDS

Re: [Comm] netams

[Aleksey Avdeev]

Dmitry Chernyakov пишет:
> Dear Andrey,
> 
> reply:Monday, May 16, 2005
> 
> AR> а не дадите ли минимальную конфигурацию для type libpcap?
> 
> Пусть отзовутся те, у кого оно работает, ибо теории здесь не место.

Цитата из моего рабочего /etc/netams/netams.conf:

+++++++

service data-source 0
type libpcap
source eth0

++++++

-- 

С уважением. Алексей.

Re: [Comm] netams

[Sergey]

В Вск, 15/05/2005 в 16:02 +0400, Sergey Zazhigaev пишет:
> Приветствую Вас, All!
> 
> Кто настраивал (удачно) netams в ALM2.4 отзовитесь, уже неделю бьюсь, а воз и 
> ныне там... :(

С чем именно бьётесь? 
Очень советую почитать документацию на netams.com и уяснить принципы его
работы. 
Кстати в мастере нетамс не самый свежий и судя по документации на сайте
- в новой ветке несколько изменился синтаксис конфигов.
-- 
С уважением, Сергей.

Re[2]: [Comm] netams

[Григорий Коган]

Здравствуйте, Sergey.

да, документашку надо почитать - факт. если конкретные вопросы -
задавайте, у меня вроде работает даже :)

--
С уважением,
 Григорий Коган
 Апекс Компьютерные Системы
 mailto:gregory@apex.msk.ru

Вы писали 16 мая 2005 г., 10:55:35:

S> В Вск, 15/05/2005 в 16:02 +0400, Sergey Zazhigaev пишет:
>> Приветствую Вас, All!
>> 
>> Кто настраивал (удачно) netams в ALM2.4 отзовитесь, уже неделю бьюсь, а воз и
>> ныне там... :(

S> С чем именно бьётесь? 
S> Очень советую почитать документацию на netams.com и уяснить принципы его
S> работы. 
S> Кстати в мастере нетамс не самый свежий и судя по документации на сайте
S> - в новой ветке несколько изменился синтаксис конфигов.

Re[2]: [Comm] netams

[Сергей Зажигаев]

Здравствуйте, Sergey.

Вы писали 16 мая 2005 г., 10:55:35:

S> В Вск, 15/05/2005 в 16:02 +0400, Sergey Zazhigaev пишет:
>> Приветствую Вас, All!
>> 
>> Кто настраивал (удачно) netams в ALM2.4 отзовитесь, уже неделю бьюсь, а воз и
>> ныне там... :(
S> С чем именно бьётесь?
Стартует, демон висит, html отчеты сохраняет, но отчеты пустые - у
всех пользователей по нулям.
======netams.conf======
service data-source 1
type ip-traffic
source eth0
rule 11 "ip"
======netams.conf======
======rc.firewall======
$IPTABLES -A INPUT -p ALL -i $INET_IFACE -m state --state ESTABLISHED,RELATED -j QUEUE
======rc.firewall======

ПРобовал и через ulog - результат тот же.
======rc.firewall======
$IPTABLES -A INPUT -p ALL -i $INET_IFACE -m state --state ESTABLISHED,RELATED -j ULOG --ulog-nlgroup1
======rc.firewall======
S> Очень советую почитать документацию на netams.com и уяснить принципы его
S> работы. 
Зачитал уже до дыр на винте... :(
S> Кстати в мастере нетамс не самый свежий и судя по документации на сайте
S> - в новой ветке несколько изменился синтаксис конфигов.
Ставил из сырцов последний стабильный netams 3.2.2.

-- 
С уважением, Сергей Зажигаев                          mailto:steely@bk.ru