ako na netflow

[jany]

Cital som tu o tom vela, princip je jednoduchy, ale pre mna to bude problem spravit "kazde vytvorene spojenie na MK (zdrojova, cielova IP a zdrojovy. cielovy port a cas spojenia) sa posle do log suboru na nejaky nonstop beziaci stroj"
Nonstop beziaci stroj by som mal (ubuntu server 9.04), ako nastavit MK a ake aplikacie pouzit na linuxe.
Sorry viem, ze je to drzo polozena otazka, ale nejak zacat treba, navod pre lamy sa mi nepodarilo najst nikde, mozno som pouzil na vyhladavanie zle klucove slova...
Pomoze niekto ?

[hapi]

stačí ti nejlépe dabian server uplně bez ničeho a nainstalovat flow tools, nic víc, nic míň. Pak už jenom nastavit netflow a hotovo. Manuál k netflow je na netu.

[jany]

flow-tools by som uz nainstalovany mal, ale nejak sa neviem pohnut dalej, hladam ten manual na netflow, ale nejak sa mi nedari

[hapi]

man flow-control

[jany]

No manual entry for flow-control

[Pintero]

No manual entry for flow-control

A co treba obcas pouzit strejdu Google?? Je to anglicky? Tak se snaz!

Kód: Vybrat vše

http://ensight.eos.nasa.gov/FlowViewer/

[jany]

snazil som sa, ale s anglictinou si zatial moc nerozumiem (i ked je to lepsie ako pre 5 rokamy) zatial pouzivam translator, ale niekedy je to horsie ako original http://translate.google.com/translate?j ... ry_state0= pise sa tam rozbal do vhodneho adresara na web serveri cgi-bin . Neviem kde to ma ist, dal som to do /var/www/flow a co dal
Konfiguracia konfiguraku

$reports_directory = "/htp/htdocs/FlowViewer_3.3.1";
$reports_short = "/FlowViewer_3.3.1";
$graphs_directory = "/htp/htdocs/FlowGrapher_3.3.1";
$graphs_short = "/FlowGrapher_3.3.1";
$tracker_directory = "/htp/htdocs/FlowTracker_3.3.1";
$tracker_short = "/FlowTracker_3.3.1";
$cgi_bin_directory = "/htp/cgi-bin/FlowViewer_3.3.1";
$cgi_bin_short = "/cgi-bin/FlowViewer_3.3.1";
$work_directory = "/htp/cgi-bin/FlowViewer_3.3.1/Flow_Working";
$work_short = "/cgi-bin/FlowViewer_3.3.1/Flow_Working";
$save_directory = "/htp/htdocs/FlowViewer_Saves";
$save_short = "/FlowViewer_Saves";
........

zrejme to nastvit na svoje hodnoty ....
Poradte konkretnejsie ..... Ved ked to niekto prevadzkujete, tak nenechavajte ma trapit sa ...

[hapi]

hodně pochybuju že tohle je konfigurák. KOnfigurák je v /etc/flow-tools/

[jany]

No konfigurak to urcite je, ale z FlowViewera, vobec neviem ako mam postupovat...
hapi ak to vies, tak prosim ta porad mi blizsie

[hapi]

nemáš koukat na konfigurák co tě nezajímá. máš koukat na konfigurák kterej je přesně v /etc/flow-tools/flow-capture.conf

tam stačí podle manuálu změnit jeden blbej řádek, pak samozřejmně restartovat flow-capture a jede to.

V tom konfigu jsou dokonce příklady takže ho stačí jenom upravit.

[jany]

Na MK som si trafic flow nastavil nasledovne http://jany.wz.cz/obrazky/nf.jpg (flow-tools ja na linxe s IP 192.168.1.3)
V flow-capture.conf som si upravil riadok na

Kód: Vybrat vše

-w /var/flow/mikrotik -n 275 0/192.168.1.1/12000

vitvoril som si /var/flow/mikrotik a spustil som to

Kód: Vybrat vše

/etc/init.d/flow-capture start


pre istotu som si vypol firewall. Vytvorili sa mi v /var/flow/mikrotik/2009/2009-08/2009-08-04/ a tam sa mi vytvaraju nejake subory typu

Kód: Vybrat vše

ft-v05.2009-08-04.092308+0200
ft-v05.2009-08-04.092330+0200
ft-v05.2009-08-04.092843+0200
tmp-v05.2009-08-04.093355+0200

a kazdych 5 min sa vytvori dalsi subor (samozrejme tych 5 min je nastavene)
Ale vobec tym suborom nerozumiem, ak si ich otvorim cez F3 tak je to necitatelne

[hapi]

jistě že to je nečitelný, je to nějaká hash aby to bylo menší a snad i nějaká komprese když je zapnutá. Musíš to vyexportovat do čeho chceš.

man flow-export

[jany]

na ten export sa este pozrem, teraz nemam cas, ale este sa ta opytam ako by malo byt nastavene trafic flow settings. Interfaces som vybral ten na ktory je privedena konektivita a cache bolo defaultne 4K, mam to tak nechat ?

[hapi]

jo nech to tam, jo a ten čas co je v "active flow timeout" je čas, po kterym se uzavře spojení. Přesněji řečeno to je čas, po kterym uzavře spojeni v logu a pošle ho na server takže jestli někdo stahuje velkej soubor po dobu jedný hodiny tak to při nastavení 30 minut pošle do logu dvě spojení s délkou 30 minut i když stahování bylo jednim po dobu jedný hodiny.

Cache enties je teoreticky buffer traffic flow a tedy kolik si toho má router udržet v paměti než se spojení uzavře aby to mohl poslat. Takže tam můžeš dát i větší klidně 512k.

[jany]

export do ascii sa podaril, ale subor vyzera nasledovne

Kód: Vybrat vše

#:srcaddr,dstaddr
xxx.xxx.xxx.xxx,192.168.1.7
xxx.xxx.xxx.xxx,192.168.1.4
xxx.xxx.xxx.xxx,192.168.1.7
atd...................

ako tam dostanem napr port a cas, lebo je tam len zdrojova a cielova ip