The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

В OpenBSD появилась возможность экспорта статистики PF в виде Netflow v5 потока

09.09.2008 21:31

"NetFlow support with pflow(4)" - в OpenBSD-current добавлена поддержка экспорта статистики пакетного фильтра PF в виде Netflow v5 потока.

Пример настройки:


Настройка псевдо-интерфейса для экспорта Netflow:

     sudo ifconfig pflow0 create
     sudo ifconfig pflow0 flowsrc 10.0.0.200 flowdst 10.0.0.1:1234
     ifconfig pflow0
     
     pflow0: flags=41 mtu 1464
            pflow: sender: 10.0.0.200 receiver: 10.0.0.1:1234
            groups: pflow

В PF определяем информацию о каком трафике экспортировать:

    pass out inet proto icmp keep state (pflow)

Проверяем статистику по экспорту данных:

    sudo pfctl -vss | grep -B2 pflow | head -3

    all tcp 10.0.0.200:38336 -> 38.68.100.209:22       ESTABLISHED:ESTABLISHED
       [3825225521 + 17376] wscale 0  [3569953586 + 16384] wscale 0
       age 00:32:58, expires in 23:59:57, 888:894 pkts, 75601:180313 bytes, pflow



  1. Главная ссылка к новости (http://undeadly.org/cgi?action...)
Лицензия: CC-BY
Тип: английский / К сведению
Короткая ссылка: https://opennet.ru/17815-pf
Ключевые слова: pf, netflow, traffic
Поддержать дальнейшую публикацию новостей на OpenNET.


Обсуждение (40) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, mitiok (??), 23:49, 09/09/2008 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    ждём порта на фряху. явно симпатичнее чем pfflowd
     
     
  • 2.8, RedRat (ok), 13:18, 10/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    Чем ng_netflow не устраивает?
     
  • 2.19, Кукушка (?), 17:20, 10/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    +1
     

  • 1.2, ragus (?), 23:56, 09/09/2008 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    откройте для себя ng_netflow наконец :)
     
     
  • 2.4, ReWire (??), 09:37, 10/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    А в опенбзд тоже есть нетграф?
     
  • 2.18, Кукушка (?), 17:16, 10/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    а чем ng_netflow лучше pfflowd?
     
     
  • 3.20, ragus (?), 11:17, 11/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    тем, что ничего не гоняется в userspace. Да и последняя версия pfflowd вышла в 2006 году.
     
     
  • 4.21, Кукушка (?), 12:19, 12/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    Действительно.. в 2006 году... на два года позже последнего релиза ng_netflow...

    С сайта sourceforge.net

    Latest   ng_netflow-0.2.5 Notes (2004-08-27 20:00)


     
     
  • 5.22, nuclight (ok), 12:38, 12/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >Действительно.. в 2006 году... на два года позже последнего релиза ng_netflow...
    >
    >С сайта sourceforge.net
    >
    >Latest   ng_netflow-0.2.5 Notes (2004-08-27 20:00)

    Действительно, он с тех пор в базовой системе и обновляется вместе с ней, в отличие от pfflowd.

     
     
  • 6.25, Кукушка (?), 12:58, 12/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    Угу... аж до января 2006 года %)
     
     
  • 7.26, nuclight (ok), 13:12, 12/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >Угу... аж до января 2006 года %)

    Странно, у меня почему-то май 2008. Вы наверное где-то в прошлом застряли.

     
     
  • 8.28, Кукушка (?), 14:21, 12/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    Сори до января 2007 опечатался Интересно откуда взята цифра - май 2008 г... текст свёрнут, показать
     
     
  • 9.30, nuclight (ok), 15:19, 12/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    FreeBSD src sys netgraph netflow netflow c,v 1 29 2008 05 09 23 02 57 julian E... текст свёрнут, показать
     
     
  • 10.32, Кукушка (?), 15:27, 12/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    FreeBSD src sys netgraph netflow netflow c,v 1 15 2 4 2007 01 25 21 39 00 gleb... текст свёрнут, показать
     
  • 10.33, Кукушка (?), 15:29, 12/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    RELENG_7 как то не хочется пока на серваке юзать ... текст свёрнут, показать
     
     
  • 11.34, nuclight (ok), 15:34, 12/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    gt оверквотинг удален Это всё не отменяет того факта, что ng_netflow - поддерж... текст свёрнут, показать
     
     
  • 12.35, Кукушка (?), 15:45, 12/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    gt оверквотинг удален Убедили еще было бы интересно взглянуть на changelog,... текст свёрнут, показать
     

  • 1.3, Аноним (3), 06:18, 10/09/2008 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Молодцы! Красиво.
     
  • 1.5, Аноним (3), 11:11, 10/09/2008 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Ждём порта под Linux (ни одной вменяемой стандартной netflow-probe нет под Linux, которая бы не pcap-based и не ULOG-based).
     
     
  • 2.6, pavel_simple (??), 11:39, 10/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >Ждём порта под Linux (ни одной вменяемой стандартной netflow-probe нет под Linux,
    >которая бы не pcap-based и не ULOG-based).

    спорим?
    ipcad (ulog,pcap, _IPQ_)
    а ещё... http://sourceforge.net/projects/ipt-netflow/

    а ещё -- лучше жевать, когда не уверен.

     
     
  • 3.7, pavel_simple (??), 11:41, 10/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >>Ждём порта под Linux (ни одной вменяемой стандартной netflow-probe нет под Linux,
    >>которая бы не pcap-based и не ULOG-based).
    >
    >спорим?
    >ipcad (ulog,pcap, _IPQ_)
    >а ещё... http://sourceforge.net/projects/ipt-netflow/
    >
    >а ещё -- лучше жевать, когда не уверен.

    для желающих очень быстро
    http://www.few.vu.nl/~wdb/streamline/

     
  • 3.9, greyork (??), 14:01, 10/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    На всякий случай...

    > ipcad (ulog,pcap, _IPQ_)

    What is libnetfilter_queue?
    libnetfilter_queue is a userspace library providing an API to packets that have been queued by the kernel packet filter. It is is part of a system that deprecates the old ip_queue / libipq mechanism.
    (Цитата с http://www.netfilter.org/projects/libnetfilter_queue/index.html)
    Попытка выяснить поддерживает ли libnetfilter_queue Netflow экспорт успехом не увенчалась.

    Поиск ipt-netflow по репозиторию пакетов Debian успехом не увенчался.

    Выходит так, что экспорт Netflow решается далеко не штатными средствами и, IMHO, не так гладко, как хотелось бы. Но ничего на корню отрицать не берусь, поскольку сам не пробовал. Если есть информация поделитесь ей.

     
  • 3.10, Аноним (3), 14:02, 10/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >а ещё... http://sourceforge.net/projects/ipt-netflow/

    почему его нет на netfilter.org?

     
     
  • 4.11, pavel_simple (??), 14:17, 10/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >>а ещё... http://sourceforge.net/projects/ipt-netflow/
    >
    >почему его нет на netfilter.org?

    товарищам выше посвящается

    упор делать можно на разное -- я сделал на "вменяемой" -- Вы на "стандартной" -- не буду спорить о том у кого какие стандарты -- скажу всем хорошо известной поговоркой -- "Кто хочет - ищет способ, кто не хочет - причину" (C) Народная Мудрось.

     
     
  • 5.12, Аноним (3), 14:34, 10/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >товарищам выше посвящается

    Ты меня не понял. Видно что ipt_netflow очень свежая вешь. Понятно что в стабильном дебиане его быть не может. Но в репозитории netfilter где располагаются модули iptables, и где их все ищут, этой вещи самое место.

     
     
  • 6.13, pavel_simple (??), 14:44, 10/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >>товарищам выше посвящается
    >
    >Ты меня не понял. Видно что ipt_netflow очень свежая вешь. Понятно что
    >в стабильном дебиане его быть не может. Но в репозитории netfilter
    >где располагаются модули iptables, и где их все ищут, этой вещи
    >самое место.

    ну видимо нет у человека сил бороться с netfilter.org -- там в POM то попасть сложно.

     
     
  • 7.14, pavel_simple (??), 14:45, 10/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >>>товарищам выше посвящается
    >>
    >>Ты меня не понял. Видно что ipt_netflow очень свежая вешь. Понятно что
    >>в стабильном дебиане его быть не может. Но в репозитории netfilter
    >>где располагаются модули iptables, и где их все ищут, этой вещи
    >>самое место.
    >
    >ну видимо нет у человека сил бороться с netfilter.org -- там в
    >POM то попасть сложно.

    P.S. судя по ipt_account

     
  • 7.31, User294 (ok), 15:26, 12/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >ну видимо нет у человека сил бороться с netfilter.org -- там в
    >POM то попасть сложно.

    Зато видимо есть силы самому колупаться с -CURRENT версией системы, указанной в новости?Ну да, наверное это проще :))

     
  • 3.15, Аноним (3), 15:10, 10/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    Видимо, придётся жевать вам, так как: http://www.free-it.de/archiv/talks_2005/paper-11076/paper-11076.html

    Статья была представлена на Linux Симпозиуме 2005 года и с тех пор (!!!) не было сделано ни одной работающей версии, как говорится "правильно".

     
     
  • 4.16, pavel_simple (??), 15:47, 10/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >Видимо, придётся жевать вам, так как: http://www.free-it.de/archiv/talks_2005/paper-11076/paper-11076.html
    >
    >Статья была представлена на Linux Симпозиуме 2005 года и с тех пор
    >(!!!) не было сделано ни одной работающей версии, как говорится "правильно".
    >

    версии чего?
    -- что вы пытаетесь доказать? что НЕТ ни одного работающего стабильного инструмента для решения поставленной задачи (без ULOG, без PCAP) ? -- так ведь я вроде конкретные ссылки даже указал -- или Вам удобнее найти статью 2005 года выпуска ? что, не удалось найти старее?

     
     
  • 5.17, Аноним (3), 16:07, 10/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >версии чего?
    > -- что вы пытаетесь доказать?

    Это обьяснение почему этих вещей нет в PoM.

    Команда netfilter считает что с учёт трафика должен делать conntrack. А для получения данных в userspace, conntrack нужно обложить хуками и забирать из него данные.

    Но видимо conntrack постоянно радикально переделывают, что с ним связыватся никто не хочет. А может просто нравятся велосипеды и процесс написание модулей ядра? :)

     
  • 3.23, nuclight (ok), 12:47, 12/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >>Ждём порта под Linux (ни одной вменяемой стандартной netflow-probe нет под Linux,
    >>которая бы не pcap-based и не ULOG-based).
    >
    >спорим?
    >ipcad (ulog,pcap, _IPQ_)
    >а ещё... http://sourceforge.net/projects/ipt-netflow/
    >
    >а ещё -- лучше жевать, когда не уверен.

    Ну и какое же оно вменяемое, если оно userspace? Речь шла о ядре, а что ULOG, что PCAP, что IPQ - все отправляют в userland сами пакеты, а не уже готовый netflow.

     
     
  • 4.24, pavel_simple (??), 12:50, 12/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >[оверквотинг удален]
    >>
    >>спорим?
    >>ipcad (ulog,pcap, _IPQ_)
    >>а ещё... http://sourceforge.net/projects/ipt-netflow/
    >>
    >>а ещё -- лучше жевать, когда не уверен.
    >
    >Ну и какое же оно вменяемое, если оно userspace? Речь шла о
    >ядре, а что ULOG, что PCAP, что IPQ - все отправляют
    >в userland сами пакеты, а не уже готовый netflow.

    если для вас вменяемое == !юзерспайс предлагаю выкинуть у вас из системы(какая она у вас там)всё кроме ядра.
    а по делу -> http://web.yl.is.s.u-tokyo.ac.jp/~tosh/kml/

     
     
  • 5.27, nuclight (ok), 13:16, 12/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >[оверквотинг удален]
    >>>а ещё... http://sourceforge.net/projects/ipt-netflow/
    >>>
    >>>а ещё -- лучше жевать, когда не уверен.
    >>
    >>Ну и какое же оно вменяемое, если оно userspace? Речь шла о
    >>ядре, а что ULOG, что PCAP, что IPQ - все отправляют
    >>в userland сами пакеты, а не уже готовый netflow.
    >
    >если для вас вменяемое == !юзерспайс предлагаю выкинуть у вас из системы(какая
    >она у вас там)всё кроме ядра.

    Ну идите, заведите это на гигабите с 100kpps на механизмах с негарантированной доставкой в юзерлэнд. Потом передергивайте себе на здоровье дальше.

    >а по делу -> http://web.yl.is.s.u-tokyo.ac.jp/~tosh/kml/

    Сами-то пробовали завести эту связку с netflow или так, теоретизируете?

     
     
  • 6.29, pavel_simple (??), 14:50, 12/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >>[оверквотинг удален]
    >>>>а ещё... http://sourceforge.net/projects/ipt-netflow/
    >>>>
    >>>>а ещё -- лучше жевать, когда не уверен.
    >>>
    >>>Ну и какое же оно вменяемое, если оно userspace? Речь шла о
    >>>ядре, а что ULOG, что PCAP, что IPQ - все отправляют
    >>>в userland сами пакеты, а не уже готовый netflow.

    и не сами пакеты -- а только метаинформацию о них (по желанию)
    >>
    >>если для вас вменяемое == !юзерспайс предлагаю выкинуть у вас из системы(какая
    >>она у вас там)всё кроме ядра.
    >
    >Ну идите, заведите это на гигабите с 100kpps на механизмах с негарантированной

    ошибочка -- старый ipq и новый netlink_ipq -- строго через, строго гарантируемая
    >доставкой в юзерлэнд. Потом передергивайте себе на здоровье дальше.
    >
    >>а по делу -> http://web.yl.is.s.u-tokyo.ac.jp/~tosh/kml/
    >
    >Сами-то пробовали завести эту связку с netflow или так, теоретизируете?

    а что там пробовать -- железно работает -- благо на задачах по подсчёту обычно нет каких-то других сервисов и сильно заботиться о безопасности оных не нужно

     
     
  • 7.38, Lessless (?), 12:57, 25/06/2009 [^] [^^] [^^^] [ответить]  
  • +/
    netlink_ipq - Google об этом не знает. А зависимость LInux'оидов на каждом угле выписывать как у них там - это паталогическая склонность к решению проблем детским путем, видимо в школе прогуливали и жить не научились :)
    умывайтесь на здоровье.
     
  • 4.37, DK (??), 20:10, 07/12/2008 [^] [^^] [^^^] [ответить]  
  • +/
    gt оверквотинг удален ipt_netflow это _не_ юзерспейс это модуль кернела с у... большой текст свёрнут, показать
     
     
  • 5.39, Lessless (?), 13:10, 25/06/2009 [^] [^^] [^^^] [ответить]  
  • +/
    >[оверквотинг удален]
    > 0  0      0 556540 216552
    >1268516    0    0  
    >  0     0    
    >0  1144  3 61 36  0
    >
    >При этом на машине живет NAT и per-ip HTB (htb_hashiz) в обе
    >стороны (через IMQ) для 3-х сетей: /19 /20 /22. Машина под
    >debian 4.0, правда лично я не поклонник, просто так получилось.
    >
    >Всем удачи, я сюда случайно зашел =)

    да пожалуйста :)

     
  • 2.36, yason (?), 23:33, 17/09/2008 [^] [^^] [^^^] [ответить]  
  • +/
    >Ждём порта под Linux (ни одной вменяемой стандартной netflow-probe нет под Linux,
    >которая бы не pcap-based и не ULOG-based).

    его никогда не будет, ибо pf и netgraph сугубо ядреные фичи bsd.
    может быть только аналогичная реализация.

     
     
  • 3.40, TiFFolk (ok), 01:59, 02/02/2010 [^] [^^] [^^^] [ответить]  
  • +/
    netgraph портирован под линукс
     
     Добавить комментарий
    Имя:
    E-Mail:
    Текст:
    При перепечатке указание ссылки на opennet.ru обязательно



    Спонсоры:
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2021 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру