У нас трафик собирается с двух удаленных шлюзов с установленным ipcad. Все приходит на шлюз с билинговой системой. Мне необходимо с помощью пакета flow-tools вытащить информацию, сколько прошло трафика через один шлюз, а сколько через другой. Как мне это сделать? Я пробовал вот такую цепочку, но ничего не получилось, выдает пустую строку.flow-cat /flow/2006/2006-03/2006-03-02/ | flow-nfilter -Fip-exporter -v ADDR=xxx.xxx.xxx.xxx | flow-stat 2>/dev/null | grep "Total Octets"
>У нас трафик собирается с двух удаленных шлюзов с установленным ipcad. Все
>приходит на шлюз с билинговой системой. Мне необходимо с помощью пакета
>flow-tools вытащить информацию, сколько прошло трафика через один шлюз, а сколько
>через другой. Как мне это сделать? Я пробовал вот такую цепочку,
>но ничего не получилось, выдает пустую строку.
>
>flow-cat /flow/2006/2006-03/2006-03-02/ | flow-nfilter -Fip-exporter -v ADDR=xxx.xxx.xxx.xxx | flow-stat 2>/dev/null | grep "Total Octets"Может лучше запустить два процесса flow-capture и писать в две разные директории?
>Может лучше запустить два процесса flow-capture и писать в две разные директории?
>
Физически конечно можно, но требует дополнительных изменений в рабочую систему. Просто не хотелось бы экспериментировать как говорится наживую... Но за совет спасибо большое, если не получится как я планирую, то возможно придется делать так, как вы предлагаете.
>У нас трафик собирается с двух удаленных шлюзов с установленным ipcad. Все
>приходит на шлюз с билинговой системой. Мне необходимо с помощью пакета
>flow-tools вытащить информацию, сколько прошло трафика через один шлюз, а сколько
>через другой. Как мне это сделать? Я пробовал вот такую цепочку,
>но ничего не получилось, выдает пустую строку.
>
>flow-cat /flow/2006/2006-03/2006-03-02/ | flow-nfilter -Fip-exporter -v ADDR=xxx.xxx.xxx.xxx | flow-stat 2>/dev/null | grep "Total Octets"Проверь определение ip-exporter в конфигурации фильтров. Скорее всего оно отсутствует.
>Проверь определение ip-exporter в конфигурации фильтров. Скорее всего оно отсутствует.Вот отрывок файла filter.cfg:
filter-primitive ip-exp
type ip-address
permit @{ADDR:-0.0.0.0}filter-definition ip-exporter
match ip-exporter-address ip-exp
Вот что заметил... Пытаюсь посмотреть IP-адреса Экспортеров, мне вот какая информация выдается[root@flow /]# flow-cat /flow/2006/2006-03/ | flow-stat -f27
# --- ---- ---- Report Information --- --- ---
#
# Fields: Total
# Symbols: Disabled
# Sorting: None
# Name: Exporter IP
#
# Args: flow-stat -f27
#
#
# IPaddr flows octets packets
#
127.0.0.1 5797233 18706151212 63055069Я считал, что Экспортер - это шлюз, который собирает трафик и отправляет его коллектору.... Или я чего-то не понимаю?
>Вот что заметил... Пытаюсь посмотреть IP-адреса Экспортеров, мне вот какая информация выдается
>
>
>[root@flow /]# flow-cat /flow/2006/2006-03/ | flow-stat -f27
># --- ---- ---- Report Information --- --- ---
>#
># Fields: Total
># Symbols: Disabled
># Sorting: None
># Name: Exporter IP
>#
># Args: flow-stat -f27
>#
>#
># IPaddr flows octets packets
>#
>127.0.0.1 5797233 18706151212 63055069
>
Не хочу тебя расстраивать, но IPCAD не имеет поля exaddr (Exporter IP), поэтому flow-capture заполнил его 127.0.0.1>Я считал, что Экспортер - это шлюз, который собирает трафик и отправляет
>его коллектору.... Или я чего-то не понимаю?Совершенно верно
>Не хочу тебя расстраивать, но IPCAD не имеет поля exaddr (Exporter IP),
>поэтому flow-capture заполнил его 127.0.0.1
>
>>Я считал, что Экспортер - это шлюз, который собирает трафик и отправляет
>>его коллектору.... Или я чего-то не понимаю?
>
>Совершенно верно
т.е. в моем случае единственный вариант различить трафик по Экспортерам - это запустить два разных flow-capture? Или использовать вместо IPCAD другую утилиту, которая имеет поле exaddr?
>т.е. в моем случае единственный вариант различить трафик по Экспортерам - это
>запустить два разных flow-capture? Или использовать вместо IPCAD другую утилиту, которая
>имеет поле exaddr?В последней версии IPCAD (а возможно и не только) добавлены новые опции в ipcad.conf:
netflow engine-type 73; # v5 engine_type; 73='I' for "IPCAD"
netflow engine-id 1; # Useful to differentiate multiple ipcads.Если на разных шлюзах выставить разные значения engine-id, то разделить трафик будет задачей тривиальной.
Единственное, НО! Это справедливо лишь для Netflow-формата 5 версии.
>Если на разных шлюзах выставить разные значения engine-id, то разделить трафик будет
>задачей тривиальной.
>Единственное, НО! Это справедливо лишь для Netflow-формата 5 версии.
Спасибо большое, все получилось.