Forum Debian Users Gang

korni007 · 2016-06-25 01:18:59

Witam,
Potrzebujemy w firmie,transparentnej analizy ruchu ,które byłoby pomiędzy routerem a siecią lan:
|router| -> debian -> sieć lan
Pomyślałem o jakimś transparentnym proxy ,które analizowało by ruch sieciowy z sieci lan do wan, i zapisywało do logów które można by było przeglądać w wygodnym przeglądarkowym GUI (wykresy z danych dat,dni itp.)
Głównie zależy nam na tym,by można było po numerze IP dojśc kto np. dnia dzisiejszego jakie strony odwiedział,albo statystyka,jakie jest generowane obciążenie sieci w stronę wanu, kto pobral najwięcej danych,kto wysłał najwięcej itp.
W związku z tym mam dwa pytania:
Jak skonfigurować taki serwerek? 2 karty sieciowe to na pewno. Dałoby to się załatwić squidem?
I jak uzyskac tak rozbudowane statystyki? Którym web GUI,jeżeli wybór padłby na squida?

Z góry dziękuje za pomoc,oraz pozdrawiam.

Jacekalex · 2016-06-25 01:52:31

NTOP? Darkstat? logowanie zapytań DNS?
Squid?

Do wyboru, do koloru...

Pavlo950 · 2016-06-25 07:23:33

NTOP.

lis6502 · 2016-06-26 03:41:41

Popieram przedmówców, Darkstat robi fajne wykresy, a własny serwer DNS forwardujący zapytania skrobie logi zapytań.
Od siebie dorzucę jeszcze nfdump- czymś takim ISP zbierają logi połączeń po które czasem puka pan bagieta :]
Skoro chcesz też wiedzieć kto, ile, dokąd etc, to jeszcze mrtg.

qluk · 2016-06-27 12:30:02

Hardware:
- jedna karta sieciowa
Sieć:
- port mirror na switchu
Software:
- ntop (można pominąć jeśli dobrze skonfiguruje sie monitoring na switchu lub routerze)
- ELK, analiza i prezentacji, czyli:
- elasticsearch
- logstash
- kibana

korni007 · 2016-07-04 16:41:45

Byłbym wdzięczny,gdybyś @qluk opisał jak skonfigurować kartę sieciową (nadać IP i to wszystko?) oraz jak zainstalować ELK i skonfigurowac by ladnie wszystko wyswietlał?Lub ntop'a (wystarczy instalacja paczki?) Z góry dziekuje za pomoc ;)

Ostatnio edytowany przez korni007 (2016-07-04 16:45:27)

korni007 · 2016-07-05 12:23:37

Zainstalowałem ntopng,komp nasluchuje danego portu na switchu,wszystko fajnie ale...adresy IP widnieją x2 (w vlan0 i vlan1) do tego jest straszny chaos,pełno danych,mało konkretnych rzeczy (np, kto kiedy wszedł na jaką stronę),jest szansa żeby było to bardziej intuicyjne?

qluk · 2016-07-06 19:24:48

Jak masz skonfigurowany switch i siec ?

korni007 · 2016-07-06 19:49:09

siec - fortinet,stale ip, od niego idzie kabelek do switcha hp procurve 2810 do portu 46,mirror portu zrobiony na port 40,gdize podlaczona jest jedna z kart sieciowych debianka,ktora nasluchuje ;) oba maja ten sam vlan.
Mysle ze by sie skusic na squida + sarga,moglbys pomoc?

qluk · 2016-07-11 09:53:21

Na proxy inaczej się to robi bo musisz puscic "poprzez" (czyli niestety dwie karty sieciowe, bo na jednej da się ale to rzeźba straszna). To FortiGate nie ma możliwości logowania takich zdarzeń? Dawno nie pracowałem z ich sprzętem, ale z tym co miałem do czynienia to była taka opcja.
Dziwne z tym vlanem, puszczasz tagowane na fortigate czy nietagowany port? Ja mirroruje port który jest nietagowany na stałe przypisany pod vlan.

Time (s)	Query
0.00016	SET CHARSET latin2
0.00008	SET NAMES latin2
0.00186	SELECT u., g., o.logged FROM punbb_users AS u INNER JOIN punbb_groups AS g ON u.group_id=g.g_id LEFT JOIN punbb_online AS o ON o.ident='3.129.67.26' WHERE u.id=1
0.00103	REPLACE INTO punbb_online (user_id, ident, logged) VALUES(1, '3.129.67.26', 1714606880)
0.00080	SELECT * FROM punbb_online WHERE logged<1714606580
0.00103	DELETE FROM punbb_online WHERE ident='18.190.159.10'
0.00089	DELETE FROM punbb_online WHERE ident='185.191.171.18'
0.00097	DELETE FROM punbb_online WHERE ident='185.191.171.3'
0.00111	DELETE FROM punbb_online WHERE ident='185.191.171.7'
0.00111	DELETE FROM punbb_online WHERE ident='54.36.148.199'
0.00123	DELETE FROM punbb_online WHERE ident='54.36.149.39'
0.00082	SELECT t.subject, t.closed, t.num_replies, t.sticky, f.id AS forum_id, f.forum_name, f.moderators, fp.post_replies, 0 FROM punbb_topics AS t INNER JOIN punbb_forums AS f ON f.id=t.forum_id LEFT JOIN punbb_forum_perms AS fp ON (fp.forum_id=f.id AND fp.group_id=3) WHERE (fp.read_forum IS NULL OR fp.read_forum=1) AND t.id=28736 AND t.moved_to IS NULL
0.00008	SELECT search_for, replace_with FROM punbb_censoring
0.00256	SELECT u.email, u.title, u.url, u.location, u.use_avatar, u.signature, u.email_setting, u.num_posts, u.registered, u.admin_note, p.id, p.poster AS username, p.poster_id, p.poster_ip, p.poster_email, p.message, p.hide_smilies, p.posted, p.edited, p.edited_by, g.g_id, g.g_user_title, o.user_id AS is_online FROM punbb_posts AS p INNER JOIN punbb_users AS u ON u.id=p.poster_id INNER JOIN punbb_groups AS g ON g.g_id=u.group_id LEFT JOIN punbb_online AS o ON (o.user_id=u.id AND o.user_id!=1 AND o.idle=0) WHERE p.topic_id=28736 ORDER BY p.id LIMIT 0,25
0.00090	UPDATE punbb_topics SET num_views=num_views+1 WHERE id=28736
Total query time: 0.01463 s

Forum Debian Users Gang

Ogłoszenie

#1 2016-06-25 01:18:59

korni007 - Użytkownik

Monitoring i analiza ruchu sieciowego - jak i czym?

#2 2016-06-25 01:52:31

Jacekalex - Podobno człowiek...;)

Re: Monitoring i analiza ruchu sieciowego - jak i czym?

#3 2016-06-25 07:23:33

Pavlo950 - człowiek pasjonat :D

Re: Monitoring i analiza ruchu sieciowego - jak i czym?

#4 2016-06-26 03:41:41

lis6502 - Łowca lamerów

Re: Monitoring i analiza ruchu sieciowego - jak i czym?

#5 2016-06-27 12:30:02

qluk - Pan inż. Cyc

Re: Monitoring i analiza ruchu sieciowego - jak i czym?

#6 2016-07-04 16:41:45

korni007 - Użytkownik

Re: Monitoring i analiza ruchu sieciowego - jak i czym?

#7 2016-07-05 12:23:37

korni007 - Użytkownik

Re: Monitoring i analiza ruchu sieciowego - jak i czym?

#8 2016-07-06 19:24:48

qluk - Pan inż. Cyc

Re: Monitoring i analiza ruchu sieciowego - jak i czym?

#9 2016-07-06 19:49:09

korni007 - Użytkownik

Re: Monitoring i analiza ruchu sieciowego - jak i czym?

#10 2016-07-11 09:53:21

qluk - Pan inż. Cyc

Re: Monitoring i analiza ruchu sieciowego - jak i czym?

Stopka forum

Informacje debugowania