使用nprobe+ntopng监控上百个路由器流量

艾体宝IT

于 2021-11-26 15:55:46 发布

阅读量950

点赞数 1

分类专栏：网络流量监控网络流量分析网络安全与可视化文章标签：网络异常流量突发网络突发burst 网络性能监控网络流量监控 ntopng

本文链接：https://blog.csdn.net/HongkeTraining/article/details/121562157

版权

网络安全与可视化同时被 3 个专栏收录

170 篇文章 7 订阅

订阅专栏

网络流量监控

106 篇文章 10 订阅

订阅专栏

网络流量分析

61 篇文章 5 订阅

订阅专栏

在具有数百个路由器的大型网络上收集流十分具有挑战性。除了要达到收集的流量数量之外，另一个关键点是能够以简单而有效的方式将信息可视化。ntopng 允许您创建多达 32 个虚拟流收集接口，可用于避免合并收集的流：然而，当从 100 多个路由器收集流时，还是不够。在最新的 ntopng 和 nProbe 开发版本（即将发布稳定版）中，我们实现了观察点的概念，在IPFIX 中，它被定义为网络中可以观察到数据包的位置。

我们要解决的问题是：如何对来自同一站点的流进行聚类，而不管发起它们的探测 IP 如何，避免将它们与来自其他站点的流合并，但仍然有能力将它们作为一个整体查看收集流的接口级别。每个 nProbe 实例都可以配置为为唯一标识站点的观察点 Id 设置一个数值。根据站点大小，一个站点可以有一个或多个探针。在 nProbe 中，观察点使用 -E 标志设置，如下所示：

罗马站点：

nprobe -E 0:1234 --zmq tcp://192.168.1.100:1234 --zmq-probe-mode -i eth1
nprobe -E 0:1234 --zmq tcp://192.168.1.100:1234 --zmq-probe-mode -i eth2
nprobe -E 0:1234 --zmq tcp://192.168.1.100:1234 --zmq-probe-mode -i eth3

巴黎站点：

nprobe -E 0:1235 --zmq tcp://192.168.1.100:1234 --zmq-probe-mode -i eno1

柏林站点：

nprobe -E 0:1236 --zmq tcp://192.168.1.100:1234 --zmq-probe-mode -i enp2s0f0
nprobe -E 0:1236 --zmq tcp://192.168.1.100:1234 --zmq-probe-mode -i enp2s0f1

中央流量收集器

ntopng -i tcp://92.168.1.100:1234c

当流由 nProbe 发送时，它们被唯一标记为观察点 ID，在流收集期间由 ntopng 处理并在 Web 界面中报告。

在顶部菜单栏中，ntopng 在下拉菜单中列出了所有已知的观察点 ID：这样网络分析师可以选择他想要可视化的观察点，同时隐藏来自不同观察点的流。在左侧边栏的 Probes 菜单上，可以列出所有已知的观察点 ID，单击滚轮图标设置自定义名称，并单击图表图标可视化流量统计信息。

当流保持分离时，主机、AS、网络等流量在接口级别合并，而不管发起它的观察点 Id 是什么。当来自不同观察点的主机在一起交谈时，此选择允许统计数据不重复。例如，如果来自罗马站的主机正在与 www.google.com 通话，而来自柏林的主机也在与 www.google.com 通话，则 ntopng 将在内存中保留一个 www.google.com 主机条目，计算总的流量。当流存储在 nIndex 上时，它们都具有观察点 ID 和导出它的探测 IP 地址：这使网络分析师能够深入分析问题（例如，使用 ntopng 生成的警报报告）的流量来源。