Netgraph ipfw и гибкий учет трафика через netflow

[norguhtar]

В linux:

modprobe ipt_NETFLOW hashsize=65536 active_timeout=300
iptables -A FORWARD -s 192.168.0.0/24 -j NETFLOW

[LMik]

А у меня в сарае аэроплан. Я про BSD писал.

А как через iptables только половину трафа в нетфлоу отправить?

[norguhtar]

Через настройку правил. Что не понятно? Модуль добавляет специальную задачу для лить в netflow.

[LMik]

А покажите пример, интересно, я немного далек от iptables.

[norguhtar]

В написанном выше примере, в netflow отправляется весь исходящий транзитный трафик от адресов сети 192.168.0.0/24

[LMik]

А половину как отправить? Я ж об этом спрашиваю.

[norguhtar]

Половину чего и зачем.

[nicolnx]

iptables -A FORWARD -i ppp+ -o eth0 -j NETFLOW
iptables -A FORWARD -o ppp+ -i eth0 -j NETFLOW

для трафика междy ppp-интерфейсами

iptables -A FORWARD -i ppp+ -o ppp+ -j NETFLOW

Ну, дополнительные условия по вкусу.

Всегда поражала тяга бздишников к усложнению простых вещей.

[nicolnx]

про половину — мы считаем в цепочке FORWARD — трафик проходит через нее один раз поэтому отсеивать дубликаты методом костылей и подпорок не нужно

[LMik]

Не, просто для BSDшников это простые вещи.

[nicolnx]

27 команд вместо 3 — то же какое-то нездоровое красноглазие ;)

[LMik]

У всего свои плюсы и минусы. Я привел пример использования и сборки модулей, цель заставить людей делать именно так не преследую.

[LMik]

Возьмите лучше к себе на работу на пол ставочки ;)

[norguhtar]

СОРМ четать? ;)

[LMik]

А больше заниматься нечем? СОРМ читать можно вон индусов нанять :D.

[norguhtar]

На полставки только чтение СОРМ :]

[LMik]

ыы, и скока платят?

[norguhtar]

это секретная информация :]

[LMik]

Понятно, значит копейки :(

[huze]

Мигалку бы дали, можно и за копейки СОРМ читать…

[parta]

в BSD есть pf, который с pflow/pfflowd экспортит нетфлоу, можно легко выбирать какой трафик учитывать, а какой нет правилами. так что наброс про иптаблес мимо тазика, «простые» варианты есть и в BSD.

[norguhtar]

А он равзе там модулем ядра это делает? К тому же насколько я помню у pf с производительностью было как-то не очень хорошо.

[parta]

pflow — ядерный, pfflowd — нет, но последнему это не мешает выполнять свою работу. а сведения о производительности это часом не от источника ОБС (ОднаБабкаСказала)?

[norguhtar]

Интернет можно считать за ОБС. Вообще если у вас есть подтверждение что оно работает хотя бы не хуже netgraph я с удовольствием почитаю.

[oleg_bunin]

Коллега, а Вы не хотите сделать доклад на РИТ++ (http://www.ritconf.ru/)?
Если интересно, то я могу выслать подробную информацию.

[LMik]

Нет, извиняйте, не готов к такому :)