Zeek使用手册翻译——集群架构

Zeek不是多线程的，因此，一旦达到单个处理器内核的限制，当前唯一的选择就是将工作负载分散到许多内核甚至许多物理计算机上。 Zeek的集群部署方案是构建这些较大系统的当前解决方案。 Zeek附带的工具和脚本提供了一种结构，可以轻松地管理许多Zeek进程，以检查数据包并进行关联活动，但它们充当的是一个单一的，具有凝聚力的实体。 本文档介绍Zeek群集体系结构。 有关如何配置Zeek群集的信息，请参阅ZeekControl文档。

0x01结构

分路器
分路器是一种机制，用于拆分数据包流，以使副本可用于检查。示例包括交换机上的监视端口和光纤网络上的光分路器。

前端
前端是一种离散的硬件设备或主机技术，可将流量分为许多流或流。 Zeek二进制文件不执行此工作。有多种方法可以完成此任务，下面的“前端选项”中介绍了其中的一些方法。

管理器
管理区是一个Zeek流程，有两个主要任务。它使用Zeek通信协议从群集的其余节点接收日志消息和通知（请注意，如果使用单独的记录器节点，则记录器将接收所有日志，而不是管理器）。结果是单个日志，而不是必须以某种方式与后期处理结合的许多离散日志。管理器还支持其他功能和分析，这些功能和分析需要事件或数据的集中全局视图。

记录仪
记录器是一个可选的Zeek进程，它使用Zeek通信协议从群集中其余节点接收日志消息。让记录器代替管理器接收日志的目的是减轻管理器的负担。如果不需要记录器，则管理器将改为接收日志。

代理