https://www.opennet.me/openforum/vsluhforumID3/12869.html Компания НетАП подготовила новую версию коллектора статистики ndsad (http://sourceforge.net/projects/ndsad), бесплатно распространяемого в исходных кодах под лицензией GPL.<br><br><br><br>Коллектор ndsad предназначен для сбора информации по трафику с интерфейсов PC-маршрутизатора и экспорта ее в формате Cisco NetFlow v.5. Поддерживаются Linux, FreeBSD, Windows и другие операционные системы.<br><br><br>В новой версии добавлена поддержка tee/divert сокетов в FreeBSD (при использовании ipfw), поддержка ULOG интерфейса в Linux (при использовании iptables), а так же поддержка интерфейса \Device\NPF_GenericDialupAdapter в Windows 2003 server (данный интерфейс используется при организации VPN-сервера на базе Windows 2003). Добавление этих функций расширяет возможности учета трафика и повышает гибкость конфигурирования. В частности, легко решаются проблемы с дублированием трафика в сложных, распределенных сетях.<br><br><br>Релиз ndsad-1.33 доступен в исходных кодах на сайте проекта sourceforge.net (http://sourceforge.net/projects/ndsad).<br><br> https://www.opennet.me/openforum/vsluhforumID3/12869.html#16 Wed, 26 Apr 2006 08:54:44 GMT А можно конфиг ng_netflow посмотреть? А то лично у меня голова кругом идёт, когда я пытаюсь разобраться с netgraph. Пипец какой-то, все эти хуки, узлы, ребра, и прочая херня... https://www.opennet.me/openforum/vsluhforumID3/12869.html#15 Mon, 05 Dec 2005 03:38:51 GMT Вот сегодня обновил на свою голову ! Ни одного пакета с ng* отловлено не было! Хорошо, что еще остальные iface считал. Указание force_family ng в конфиге ndsad'a ни к чему не привели. Пришлось к старому откатиться. Блин, у нетапа это уже в привычку входит, на каждый релиз 20 последующих багфиксов.<br> https://www.opennet.me/openforum/vsluhforumID3/12869.html#14 Sun, 04 Dec 2005 14:11:15 GMT " Все работает на 5.4, пробовал и на 5.3 -- считает с 600 ng интерфейсов, плюс с обычных. Для всего этого используется _один_ ng_netflow узел. К которому посредством множества связей присоединены все интерфейсы" -- а это как делается? https://www.opennet.me/openforum/vsluhforumID3/12869.html#13 Wed, 30 Nov 2005 19:58:06 GMT mpd4 есть в портах -- ничего патчить не надо https://www.opennet.me/openforum/vsluhforumID3/12869.html#11 Wed, 30 Nov 2005 18:56:14 GMT У меня большие объемы трафика на VPN-серверах (mpd 3.18), userlevel-агенты сильно тормозят систему под такой нагрузкой, с ng_netflow никаких проблем. А еще userleve-агенты часто неправильно определяют ifindex для интерфейсов, а для меня это важно при учете трафика на динамических адресах, когда нельзя привязаться к клиентскому ip-адресу. Да, mpd 3.18 пришлось пропатчить, ну что делать. С 5.4-RELEASE ng_netflow входит в состав базовой системы, так что почти "все из коробки".<br><br>Что касается ng_netflow в 6.0-RELEASE... Его тоже пришлось патчить...<br>Вот патч от Глеба Смирнова:<br>http://www.freebsd.org/cgi/query-pr.cgi?pr=kern/89417<br><br>--- netflow.c.origMon May 16 23:10:08 2005<br>+++ netflow.cMon Nov 28 15:57:31 2005<br>@@ -621,12 +621,9 @@<br> getnanotime(&ts);<br> header-&gt;unix_secs = htonl(ts.tv_sec);<br> header-&gt;unix_nsecs = htonl(ts.tv_nsec);<br>+header-&gt;flow_seq = htonl(atomic_fetchadd_32(&priv-&gt;flow_seq,<br>+ header-&gt;count));<br> header-&gt;count = htons(header-&gt;count);<br>-header-&gt;flow_seq = htonl(atomic_load_acq_ https://www.opennet.me/openforum/vsluhforumID3/12869.html#10 Wed, 30 Nov 2005 18:25:30 GMT &gt; mpd3.18 надо патчить<br>Об том и речь. Не люблю я этого дела. Я привык к Бздишной "основательности" - все работает из коробки (дистро, порты - не важно). Всякие патчи - удел Линукса.... Эти - под mpd - уже внесли в stable? Или вообще куда-нибудь, откуда можно на них проCVSUPиться? Ежели да, то гуд - попробую. А экспериментировать на сервере в продакшене - не особо хочется. Возможно, что я параноик, но это личное мнение. :-)<br>А непосредственно про технологию подключения ng_netflow - я в курсе. :-) https://www.opennet.me/openforum/vsluhforumID3/12869.html#9 Wed, 30 Nov 2005 10:06:19 GMT Все работает на 5.4, пробовал и на 5.3 -- считает с 600 ng интерфейсов, плюс с обычных. Для всего этого используется _один_ ng_netflow узел. К которому посредством множества связей присоединены все интерфейсы. mpd4 умеет вставлять ng_tee узел в граф, к которому уже цепляется ng_netflow, mpd3.18 надо патчить, но патчи на каждом углу валяются -- проблем быть не должно. Интерфейсы, которые надо игнорировать просто не подключаешь к нетфлоу и он их игнорирует 8)<br><br>Впечатления от работы ng_netflow пока только положительные, загрузка процессора невелика, трафик бегает с минимальными задержками, кстати, в случае с userland решением величина задержек сильно возрастает при возрастании load averages. https://www.opennet.me/openforum/vsluhforumID3/12869.html#8 Wed, 30 Nov 2005 07:28:58 GMT 1. Чем оно лучше/хуже ipcad ?<br>2. Скомпилил в линуксе. <br> Собираю статистику flow-capture. <br> Явно даты в flow левые.<br> Вот такие в flow-print -f 5 <br> 0114.05:47:57.909 0114.05:47:57.909 ....<br><br>Кстати, мне показалось, что это не коллектор, а таки сенсор. https://www.opennet.me/openforum/vsluhforumID3/12869.html#7 Tue, 29 Nov 2005 23:15:20 GMT ndsad лучше всех работает с tun. Был бы другой такой же простой коллектор, который с меньше загрузкой нормально тянул бы tun - пользовал бы его. Но пока без альтернатив... А ng_netflow, как это ни удивительно, не всегда получается к ng прикрутить. Сейчас, вроде, что-то там сделали, а раньше (под бздей 5.4 - точно, ибо сам наступал на эти грабли) без патченья нетграфа хер будет на ng (а значит - mpd - а как тогда vpn считать?) ng_netflow садиться... Тип интерфейса ng был неподходящий...<br>В общем, ИМХО, недостаточно ng_netflow еще устаканился - часто то в нем, то в нетграфе меняют. Да и опять же - надо его индивидуально на каждый фейс вешать. А тут: запустил тулзу и она сама считает что надо. Разве что в конфиге поставить надо, какие фейсы игнорировать и какой трафик фильтровать, чтобы он даже не считался (это еще пинок в сторону ng_netflow, который тупо шлет все подряд)...<br>Но, естественно, за все приходится расплачиваться загрузкой проца... Так что... Се ля ви...