流量分析 NTOP/NTOP NG/ Cacti [UNIX]

[NINJA]

Linux Proxy(Squid) + 監控(Sarg)
https://sourceforge.net/projects/sarg/files/sarg/

NfSen 可看出目前誰流量最大
http://nfsen.sourceforge.net
介紹 http://www.shunze.info/forum/thread.php?...c9b&page=1


Ntop NG 只有付費版才有單人流量下載/上傳排名

Notp NG 介紹
http://www.shunze.info/forum/thread.php?...4847ee7e82

建立 ntop.repo
vi /etc/yum.repos.d/ntop.repo

程式碼:

[ntop]
name=ntop packages
baseurl=http://rpm.ntop.org/$releasever/$basearch/
enabled=1

建立 epel.repo
vi /etc/yum.repos.d/epel.repo

程式碼:

name=Extra Packages for Enterprise Linux 6 - $basearch
#baseurl=http://download.fedoraproject.org/pub/epel/6/$basearch
mirrorlist=https://mirrors.fedoraproject.org/metalink?repo=epel-6&arch=$basearch
failovermethod=priority
enabled=1
gpgcheck=1
gpgkey=file:///etc/pki/rpm-gpg/RPM-GPG-KEY-EPEL-6

(正常yum裝不到的套件可以在 epel 自動安裝)

把KEY放到etc/pki/rpm-gpg/
wget http://ftp.jaist.ac.jp/pub/Linux/Fedora/...KEY-EPEL-6

安裝前先更新yum

程式碼:

yum clean all
yum update

安裝 redis 和 ntopng

yum install redis ntopng
啟動redis ntopng
redis-server
ntopng -i eth0 (-U ntop 但不一定要)



==================================================================================
http://www.ntop.org/news.php
http://sourceforge.net/projects/ntop/files/ntop/
可以看到區域網路內的即時流量狀況
免費版,Unix

CentOS 文字模式 安裝 NTOP
由於 ntop 5.0 需從網路安裝 nDPI (OpenDPI封包分析功能)
所以網路要能上網,而且要關掉防火牆(預設會擋)CentOS 啟用網卡,停用SELinux,iptables

程式碼:

yum install libtool wget svn libpcap-devel gdbm-devel zlib-devel rrdtool-devel python python-devel

svn 或 subversion ,兩個是一樣的東西,只是yum名字不同
libpcap-devel 在光碟片2, libpcap 在光碟片1, 所以用光碟就先裝libpcap再換片裝libpcap-devel
gdbm-devel 在光碟片2 , gdbm 已裝
zlib-devel ,zlib 已裝
rrdtool-devel 在光碟2, rrdtool 在光碟片1, 所以用光碟就先裝rrdtool再換片裝rrdtool-devel

CentOS 的yum不能裝 GeoIP,要另外下載安裝

程式碼:

wget http://pkgs.repoforge.org/geoip/geoip-1.4.6-1.el6.rf.i686.rpm
wget http://pkgs.repoforge.org/geoip/geoip-devel-1.4.6-1.el6.rf.i686.rpm
rpm -ivh geoip-1.4.6-1.el6.rf.i686.rpm
rpm -ivh geoip-devel-1.4.6-1.el6.rf.i686.rpm

編譯Ntop

程式碼:

./autogen.sh
make
make install

執行Ntop

程式碼:

ntop -i "eth0" -u ntop -d -L -M -m "172.17.0.0/23" -o -g -c

註:-m -g 要搭配 -o 才有效

==========================================
NTOP 第一次安裝要建立使用者
useradd -M -s /sbin/nologin -r ntop
註:RHEL5需 su - 才能用這指令
===========================================
Fedora 如果使用 yum install ntop 會自動建立帳號
===========================================

===========================================
NTOP流量記在記憶體裡,清空資料可以到admin的reset status

Fedora 檔案容量分析程式
baobab

Fedora 首頁 /var/www/html
===========================================
//安裝 geoip geoip-devel ,nogpgcheck 不檢查gpg簽名 localinstall從本機rpm安裝
yum -y --nogpgcheck localinstall GeoIP-*.el5.i386.rpm
//安裝 ettercap ettercap-common
yum -y --nogpgcheck localinstall ettercap-*.rpm
//通常是devel沒安裝
yum -y install zlib zlib-devel gdbm gdbm-devel libpcap libpcap-devel rrdtool rrdtool-devel

解壓縮 tar zxvf ntop-4.0.1.tar.gz
執行./autogen.sh -> 找出缺少的程式 並安裝

./autogen.sh
make
make install

//如果執行ntop出現找不到程式的訊息就要做個連結
ln -s /usr/local/bin/ntop ntop

chown -R ntop:ntop /usr/local/share/ntop <-這目錄user和群組都是ntop , -R 讓ntop管理這目錄
chown -R ntop:ntop /usr/local/var/ntop

設定ntop網頁登入密碼(帳號admin)
ntop -A

以Demon執行ntop
ntop -i eth0 -d -L -u ntop

開機自動執行ntop
echo '/usr/local/bin/ntop -i "eth0" -d -L' >> /etc/rc.local

ntop的參數

-a --access-log-file	(default) (nil)	指定http的登入access的log檔案的路徑, ps:與apache的log差異是ntop多了一行ntop回應需求的時間
-b --disable-decoders	(default) No	不處理具解譯功能的protocol,ex:dns,netbios ps:當網路繁忙時可用，但ftp的封包仍會被解析出來
-c --sticky-hosts	(default) No	鎖定某一台主機,該主機的資訊不會被週期性地清除
-d --daemon	No	將ntop變成daemon在背景執行 ps:-L參數需指定,否則ntop的資料會被列出並丟棄
-e --max-table-rows	(default) 128	顯示web上的最大表格數
-f --traffic-dump-file	(default) (nil)	從特定的檔案讀取資料,通常讀取tcpdump所產生的檔案 ps:在debug時會用到
-g --track-local-hosts	(default) Track all hosts	指定區網主機資訊追蹤,適合在ntop在gateway上用 ps:當網路繁忙時可用,或有太多外網host時
-o --no-mac	(default) Trust MAC Addresses	不信任特定的mac address
-i --interface	(effective) eth0	指定要分析的界面,ex:-i eth0,ppp0 ps,-M可將各網卡資訊分開
-j --create-other-packets	(default) Disabled	幫other網路流量製成一檔案,此檔案路徑由-O指定 ps:此檔對了解未被標準化的封包有幫助
-k --filter-expression-in-extra-frame		ntop的報告製作時日,版本資訊,使用中網卡可在額外看見
-l --pcap-log	(default) (nil)	將截取到的流量以pcap的格式存放,或以tcpdump的格式作出一個檔案,檔案目錄路徑由-O指定
-m --local-subnets (effective)	(default) (nil)	指定區網中特定的子網路流量分析,會將指定網路視做local看待 ex:-m 192.168.10.0/24,10.1.2.3/8
-n --numeric-ip-addresses	(default) No	以ip位置代替dns ps:可省略dns省詢的時間
-p --protocols	(default) internal list	指定特定的tcp/udp port監控,格式有以下三種 name=port1|port2 ex:-p WWW=http|https 監控http和https的port，並以WWW標示 name=port1-port2 ex:-p other=1024-32767 監控1024到32767的port，並以other標示 filepath ex:-p net.list 將上述的格式寫進net.list，並以此檔內的說明監控
-q --create-suspicious-packets	(default) Disabled	用pcap格式儲存可疑封包資訊到新檔案 ps:此檔案會放在-O指定目錄下
-r --refresh-time	(default) 120	顯示網頁更新時間
-s --no-promiscuous	(default) No	將雜亂模式關閉
-t --trace-level	(default) 3	啟動後所顯示的訊息等級，值越低訊息越少
-u --user	nobody(uid=99, gid=99)	指定使用者執行,但不可root執行
-w --http-server	(default) Active, all interfaces, port 3000	指定登入時的port號 ex:http://localhost:3000
-z --disable-sessions	(default) No	不顯示tcp session的追蹤，可有較好的效能
-A --set-admin-password		設定管理員密碼
-B --filter-expression	(default) none	加上過濾敘述，與tcpdump相同 ex:只要abc.com.tw的資訊 -B src host abc.com.tw
-D --domain	com.tw	指定域名來做分析，會辦認本地端的domain
-F --flow-spec	(default) none
-K --enable-debug	(default) No	啟動除錯模式，訊息在show configuration頁底下
-L --use-syslog	daemon	指定輸出的訊息要放到系統的log，不再另輸出檔案
-M --no-interface-merge (effective)	(default) (Merging Interfaces) Yes	不要將各介面資訊合併
-N --wwn-map	(default) (nil)
-O --pcap-file-path	(default) /var/ntop	設定各類log存在指定路徑下
-P --db-file-path	/tmp	指定存放db檔的路徑
-Q --spool-file-path	/tmp
-U --mapper	(default) (nil)	顯示主機的位置
-W --https-server	Uninitialized	指定登入時的port號,並有加密功能
-X	32768

=====
Fedora 13 輸入法 ibus 安裝 dayi
下載 dayi.cin or dayi3.cin
安裝ibus-devel
ibus-table-createdb -s dayi3.cin
cp dayi3.db /usr/share/ibus-table/tables
===
開機時 sendmail/sm-client 停很久(約5-10分鐘)
因為安裝Linux時未設定主機名(預設 localhost.localdomain)
所以開機時會去查 localhost.localdomain 這個domain

解決方法:
/etc/hosts裡面127.0.0.1 local.domainname這筆記錄.
sendmail跟sm-client會試著去解local.domainname
留127.0.0.1只對應localhost就好

若上述不行就用下面的方法

將 /etc/sysconfig/network 檔案中
HOSTNAME=localhost.localdomain （改回來 localhost.localdomain)
這樣就可以

或 停用 SendMail [Fedora 13有界面模式,RHEL無)
====================================
Fedora 開放root登入

gedit /etc/pam.d/gdm-password
auth required pam_succeed_if.so user!=root quiet 註解掉即可
======================================

[NINJA]

Untangle
http://www.untangle.com/Download-Untangle
calasoft
http://www.colasoft.com/products/network-tools.php
http://www.colasoft.com/download/
http://www.colasoft.com/download/nChronos_free.zip
http://www.colasoft.com/download/capsa_free.exe
===========================================
Cacti
http://www.cacti.net/index.php

Debian: apt-get install cacti
Fedora: yum install cacti



Fedora 13 LiveCD
建一個unix user : cactiuser
useradd -r -M cactiuser

1.yum -y install cacti net-snmp-utils snmp++-devel (自動裝 snmp++ ,需啟動服務 service snmpd start)
2.不明原因沒有cacti.sql ,所以到官網下載最新版,再用匯入cacti.sql
3.安裝 phpmyadmin
yum install phpmyadmin
裝完要重開httpd

2.更改mysql root密碼
mysql -u root
mysql> update mysql.user set password=PASSWORD("密碼") where User="root";
mysql> flush privileges;
mysql> quit

3. http://localhost/phpMyAdmin
gedit /etc/phpMyAdmin/config.inc.php
用phpmyadmin 把cacti資料庫的user改成 config.inc.php 裡的設定,權限打開
dbname:cacti
dbuser:cactiuser
dbpass:cactiuser

4.修改 /etc/httpd/conf.d/cacti.conf
測試時
#Deny from all
#Allow from 127.0.0.1
Allow from all
重新啟動httpd

http://localhost/cacti
Next->New Install->NET-SNMP 5.X /RRDTool 1.3.X->Finish
admin:admin->改密碼(還是可以用admin:admin)->登入網頁成功

5. CronJob 執行 [用cactiuser執行,權限要看一下 chown -R cactiuser:cactiuser /usr/share/cacti]
crontab -e 或 gedit /etc/crontab
*/5 * * * * cactiuser php /usr/share/cacti/poller.php > /dev/null 2>&1

===
gedit
nautilus