>>В документации написано:
>>---------------
>>Весь трафик проходит через обработку, однако НЕ IP трафик пропускается прозрачно без
>>учета.
>>---------------
>>что значит "НЕ IP трафик"???
>
>покажите фрагмент текста побольше, и в добавок опцию конфига, которая это делает
>:) вот ссылка на документацию - http://netams.com/doc/kb_netgraph.html#2
вот полный фрагмент :
=================================
Принципы работы
Работа netams в случае использования модуля NETGRAPH (далее-модуль) заключается в установке модуля в ядро (и подключения его к интерфейсу, через который идет трафик), и настройке программы netams (далее-демона) для корректного соединения с модулем.
Модуль и демон могут работать в двух режимах (они должны быть одинаковы в настройках!): tee и divert.
В режиме tee модуль ядра получает пакеты с использованием "дубликатора" ng_tee, который отсылает на обработку "копию" проходящего через интерфейс пакета. Понятное дело, в таком случае фильтрация трафика невозможна. Проходящие через модуль пакеты подвергаются анализу заголовков, формируются записи в хэш-таблице, которые периодически "устаревают" и отправляются на обработку демону. Он получает пакеты с данными о трафике и обрабатывает их примерно так же, как происходит с потоками netflow (работают учет и мониторинг).
В режиме divert модуль ядра подключается непосредственно к ethernet-интерфейсу. Весь трафик проходит через обработку, однако НЕ IP трафик пропускается прозрачно без учета. Каждый пакет также проходит проверку на соответствие с уже имеющимся в системе потоком данных, и:
если соответствующего потока не найдено, т.е. рассматриваемый пакет-первый в потоке данных (начало соединения), то для данного потока создается очередь. пакет помещается в конец очереди. создается запрос вида FWREQUEST, содержащий заголовки пакета, и передается через контрольный сокет демону netams. заметим, что в этот момент оригинальный IP пакет никуда не передается, он "застревает" в модуле. потоку присваивается статус QUEUED.
если поток найден, то проверяется его статус:
QUEUED - рассматриваемый пакет добавляется в конец цепочки пакетов данного потока. при этом делаются проверки на ряд ограничений по количеству потоков/пакетов/байт/очередей, для предотвращения атаки DoS
PASS - пакет передается дальше
DROP - пакет уничтожается
=================================
возможно вопрос и "тупой" и относится к общесетевым знаниям
но в этой области - знаний очень мало...
Вариант для распечатки
OpenNET: Виртуальная конференция (Public)
(??) on 08-Ноя-07, 09:53 
