Прозрачный анализатор трафика

либо libpcap либо iptables на предмет действий LOG и ULOG и ещё чего-нить такого.

а дальше логи->БД->веб морда и т.д. и т.п.

А какой канал максимум на libpcap можно обсчитать? Опять же имена хостов получить достаточно хитрая задачка... Получается нужно из пробегающих dns-пакетов извлекать пары имя-хост и потом подставлять куда надо, ибо реверс-dns зачастую выдаёт совсем не то или вообще ничего не выдаёт.

>ибо реверс-dns зачастую выдаёт совсем не то или вообще ничего не выдаёт.

на ип адрес может быть повешено дофига всяких разных имён, я возьму и в hosts пропишу нужное днс имя, которого больше нет нигде... ученье свет короче

netflow: fprobe, flow-tools, ЛЮБАЯ_БД.

Сделать прозрачный прокси для некоторых протоколов (http, https), это тебе даст список посещенных веб-сайтов. Для других протоколов будет только список IP и протоколов (udp, tcp и тд) и по типу трафика (по портам) можно рассортировать.

netams

вполне симпатичненько.

https через прозрачный прокси не ходит

>https через прозрачный прокси не ходит

если подменять на прокси сертификаты то ходит)

лучше скрестить из вышеперечисленного: прозрачный прокси где возможно + netflow (я всегда юзал ipcad + flow-tools).

> netams
> вполне симпатичненько.

Читал но не пробовал. Скажем в месяц будет гигов 10 сжатых netflow-данных (а это несколько сотен миллионов потоков). Как оно в базе будет храниться и какой перформанс получится при этом на отчётах? Если эти отчёты юзерам отдать через веб они же одним-двумя запросами базу нафиг положат... Насколько грамотно netams в табличках это хранит? Секционирование по времени или куча динамически создаваемых?

Пока промежуточная идея такая. Обрабатывать flow-файлы по мере их получения коллектором и на их основе обновлять некие счётчики в базе. Таблицы секционировать (если база позволяет) либо создавать их динамически (дофига, на каждого юзера и день по одной). В конкретной таблице хранить отдельно входящие и исходящие хосты и суммировать количество байтиков по ним. Reverse-DNS резолвить скриптом в несколько тредов и результат кэшировать в memcached (либо положиться на кэш самого DNS).

Пока не понятно как показывать протокол (порт), ибо придётся сопоставлять входящие и исходящие потоки и выделять из них отдельные двунаправленные соединения а затем определять кто их инициировал. Без этого получим белиберду из случайно выбираемых портов отправителя. Грубо говоря, если мы упрощенно рассматриваем tcp соединение как независимые входящие и исходящие пакеты, то юзер в детализации своего входящего трафика увидит кучу входящих соединений на абстрактные и не понятные для него порты, а хотелось бы чтобы показался к примеру входящий трафик протокола http или ICQ. Определять по порту отправителя можно, но не совсем надёжно, т.к. соединение теоретически могло быть инициировано удалённым хостом с well known 80 или 5190 порта на какой-нибудь открытый у юзера сервис и это действительно входящий трафик.

>если подменять на прокси сертификаты то ходит)

А как такое сделать? Что-то никогда о таком не думал.