The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

форумы  помощь  поиск  регистрация  майллист  ВХОД  слежка  RSS
"Netflow по субинтерфейсам"
Вариант для распечатки Архивированная нить - только для чтения! 
Пред. тема | След. тема 
Форумы Маршрутизаторы CISCO и др. оборудование. (Public)
Изначальное сообщение [Проследить за развитием треда]

"Netflow по субинтерфейсам" 
Сообщение от tom Найти другие сообщения данного автораПоместить сообщение в закладки. См. нижнее поле навигации. on 03-Апр-03, 09:36  (MSK)
Есть 4 субинтерфейса: ser0.1, ser0.2, ser0.3 и ser0.4.
на основном интерфейсе ser0 прописано ip route-cache flow.

также прописано куда сливать логи:
ip flow-export version 5
ip flow-export destination ip-адрес_linux_сервера 9991

на линуксе висит коллектор netflow и слушает порт 9991 (порт могу любой указать).

трабла в том, что в файлик (plain text) пишется общий лог по всем субинтерфейсам. Подскажите идею, как можно разнести запись логов отдельно по каждому из 4 субинтерфейсов?

  Рекомендовать в FAQ | Cообщить модератору | Наверх

 Оглавление

Индекс форумов | Темы | Пред. тема | След. тема
Сообщения по теме

1. "Netflow по субинтерфейсам" 
Сообщение от A Clockwork Orange Найти другие сообщения данного автораПоместить сообщение в закладки. См. нижнее поле навигации. on 03-Апр-03, 10:07  (MSK)
>Есть 4 субинтерфейса: ser0.1, ser0.2, ser0.3 и ser0.4.
>на основном интерфейсе ser0 прописано ip route-cache flow.
>
>также прописано куда сливать логи:
>ip flow-export version 5
>ip flow-export destination ip-адрес_linux_сервера 9991
>
>на линуксе висит коллектор netflow и слушает порт 9991 (порт могу любой
>указать).
>
>трабла в том, что в файлик (plain text) пишется общий лог по
>всем субинтерфейсам. Подскажите идею, как можно разнести запись логов отдельно по
>каждому из 4 субинтерфейсов?


1. Посмотреть коллектор, может ли он это делать.
2. Писать коллектор самому.
3. Обрабатывать полученную информацию.

  Рекомендовать в FAQ | Cообщить модератору | Наверх

2. "Netflow по субинтерфейсам" 
Сообщение от tom Найти другие сообщения данного автораПоместить сообщение в закладки. См. нижнее поле навигации. on 03-Апр-03, 11:06  (MSK)
>1. Посмотреть коллектор, может ли он это делать.
>2. Писать коллектор самому.
>3. Обрабатывать полученную информацию.

коллектор я перепишу. его исходник есть.
только я не понимаю, как узнать с какого субинтерфейса слился трафик?

  Рекомендовать в FAQ | Cообщить модератору | Наверх

3. "Netflow по субинтерфейсам" 
Сообщение от A Clockwork Orange Найти другие сообщения данного автораПоместить сообщение в закладки. См. нижнее поле навигации. on 03-Апр-03, 11:11  (MSK)
>>1. Посмотреть коллектор, может ли он это делать.
>>2. Писать коллектор самому.
>>3. Обрабатывать полученную информацию.
>
>коллектор я перепишу. его исходник есть.
>только я не понимаю, как узнать с какого субинтерфейса слился трафик?


Наверное следует посмотреть на формат flow.
Но все же это геморройнее чем обрабатывать полученное после.

  Рекомендовать в FAQ | Cообщить модератору | Наверх

4. "Netflow по субинтерфейсам" 
Сообщение от tom Найти другие сообщения данного автораПоместить сообщение в закладки. См. нижнее поле навигации. on 03-Апр-03, 11:40  (MSK)
>Наверное следует посмотреть на формат flow.
формат такой:
typedef struct {
    ipaddrtype srcaddr;    /* Source IP Address */
    ipaddrtype dstaddr;    /* Destination IP Address */
    ipaddrtype nexthop;    /* Next hop router's IP Address */
    ushort input;          /* Input interface index */
    ushort output;         /* Output interface index */

    ulong dPkts;           /* Packets sent in Duration */
    ulong dOctets;         /* Octets sent in Duration. */
    ulong First;           /* SysUptime at start of flow */
    ulong Last;            /* and of last packet of flow */

    ushort srcport;        /* TCP/UDP source port number or equivalent */
    ushort dstport;        /* TCP/UDP destination port number or equivalent */
    uchar  pad;
    uchar  tcp_flags;      /* Cumulative OR of tcp flags */
    uchar  prot;           /* IP protocol, e.g., 6=TCP, 17=UDP, ... */
    uchar  tos;            /* IP Type-of-Service */
    ushort src_as;         /* originating AS of source address */
    ushort dst_as;         /* originating AS of destination address */
    uchar  src_mask;       /* source address prefix mask bits */
    uchar  dst_mask;       /* destination address prefix mask bits */
    ushort reserved;
} IPFlow5Stat;

в общем логе в поле Input interface index стоит 74. В поле Output interface index стоит либо 3, либо 0.
из этого сделал вывод, что это не номер субинтерфейса. скорее SNMP-индекс.
у меня подключение к провайдеру по FR и каждому субинтерфейсу присвоен свой DLCI.

>Но все же это геморройнее чем обрабатывать полученное после.
Предлагаешь разделять трафик по субинтерфейсам через SQL-запросы?
Вот это очень геморно.
Провайдер выделил мне блок из 60 IP-адресов. Такие у нас запросы.

  Рекомендовать в FAQ | Cообщить модератору | Наверх


Удалить

Индекс форумов | Темы | Пред. тема | След. тема
Пожалуйста, прежде чем написать сообщение, ознакомьтесь с данными рекомендациями.




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру