NAT забитость канала

nload

Если по клиентам - iptraf

ntop - с веб интерфейсом, простой,
есть сортировка по куче параметров

Ребят, а подскажите как советовали-бы NAT настроить?

Задача: максимально усложнить жизнь в плане торрентов и вирусной активности. - При этом не сильно заморачиваясь (т.е. squid на 30 человек не вижу смысла ставить) оставить icq, skype

Мне видится это так: всё закрыть кроме: 443, 80, 5990, ну что-то в этом духе.

Если и пойдут через внешние http прокси для торрентов, шморентов - пусть ходят и качают годами, лишь бы траф не ели, канал не сажали.

Кто, что скажет?

Ой. ntop шикарен!

Я правильно понимаю, что мне не надо и vnstat и darkstat? Я просто могу его логи ротировать раз в месяц к примеру?

Чтобы оно мне корректно NAT показывало, надо пускать его на внутреннем интерфейсе?

или оно день хранит только. Ну не плохо вроде, главное как оно с NATом будет дружить :)

еще вариант- если юзеры не забивают полосу а только
исчерпывают лимит трансляций -просто повысить этот лимит:

sysctl.conf

net.ipv4.netfilter.ip_conntrack_max=1000000
net.nf_conntrack_max = 1000000

ну и дополнительно можно зарезать каждому полосу через htb
но это уже геморрой
http://www.opennet.ru/base/net/htb_manual.txt.html
хоть и идеологически более правильное решение

Да не, резать не вариант, пусть ходят. Главное чтоб не забивали канал. Не очень приятная ситуация, когда не возможно декларации отправить на таможню, и я еле-еле удалённо могу подключиться, чтоб понять, что происходит. - Задача просто найти того кто запустил торрент, и забыл ограничить потоки. Ну и поглядывать сколько весь офис целиком сожрал траффик за день/неделю - чтоб в случае чего не разбираться кто куда ходил, и кто чего делал, а просто начальству указать на тот факт, что офис много кушает, фирма - много платит денег головная. Необходимо побеседовать с офисом.

Я думаю, что такой вариант демократичен как для ИТ отдела, так и для пользователей. Ну и чтоб примерно представлять сколько мы едим, чтоб примерно сопоставлять со счетами от провайдера.

В общем ntop что-то больно много мути показывает.

А по портам что я решил всё позакрывать, оставить только нужную часть, это верное решение?

А по портам что я решил всё позакрывать, оставить только нужную часть, это верное решение?

чтобы не закрывать всё — настрой шейпер. основные порты — высокоприоритетный трафик, остальные — низкоприорит., соотв.

ну как бы в ntop есть сортировка по столбцу «текущая скорость»

посмотрите скриншот

http://gyazo.com/8b0737069d33878b13afcf2fc85db579

проблему не устраняет, конечно, но понять «кто сожрал канал» дает.

Да, в целом есть, я смотрел вчера, но не очень информативно, оно показывает хост от которого передётся, но толком не показывает кому передаётся. - Там если полазить можно найти и кому, но муторно в целом, вроде как iftop даже более проще _пока_ смотрится. Мне не важно web или не web.

Хм. Тоже в целом можно. Но вопрос всё же: а нужно-ли. Ради торрентов ихних не вижу большого смысла, при лимитированном то трафе, лучше уж призакрыть - понятно дело, что ушлые начнут через http прокси ходить, но это доп. гемморой, и низкая скорость. - Пусть ходят :)

Понял, пасибо за идею, буду иметь ввиду.

а как же вариант, когда исходящий/входящий вэб-трафик тормозит исходящую/входящую почту? вариантов может быть много, всё зависит от того, какие службы используются и какие должны быть приоритетнее других...

весьма неприятная ситуация, когда человек получает важное письмо (скажем pdf'ку со сканом важных документов размером МБ эдак в 80 [и такое бывает]), а остальные сидят на *тьюбе.

Согласен, да сейчас очень много людей пользуют web версию почты, что сами понимаете не лечит... В целом мысль ясна, приоритезация хорошая штука, но на её настройку тоже нужно много времени истратить, что не есть хорошо.