Nahrada za fprobe - bylo: fprobe na vetsinu protokolu, vcetne stp, apod

[Ivo Hažmuk]

Ahoj,

Radek Krejča wrote:
>> No ano - fprobe je IP-orientovane a v manualu te upozornuji, ze pouzit
>> ho na neco jineho neni uplne nejlepsi napad. Ale nezakazuji to, takze
>> to
>> asi jde, byt' to nebude zrejme pracovat optimalne.
>
> Cili otazka zni - jakou jinou sondu pouzit? Pozadavky jsou, aby
> umela  posilat data do nfsenu, umela netflow 9. Objevil jsem zatim ng_netflow a
> softflowd. Otazkou je, zda jsou jeste pro FBSD dalsi a dale nejake
> zkusenosti z praktickeho nasazeni.

to jsi mel napsat hned, ze chces IPv6. To bych ti odpovedel, ze
potrebujes Netflow v9 nebo IPFIX. Ja pouzivam softflowd a Netflow V9 a
s vysledky jsem spokojen.

V /etc/rc.conf.local mam nasledujici parametry:
softflowd_enable="YES"
softflowd_interfaces="em1 em2 wlan0 vlan0 vlan1 vlan2 vlan3 vlan4"
softflowd_em1_collector="127.0.0.1:2048"
softflowd_em1_timeouts="-t maxlife=300"
softflowd_em1_max_states="16000"
softflowd_em1_extra_args="-v 9 "
...
nfcapd_enable="YES"
nfcapd_flags="-p 2048 -t 600"

A kdyz se podivam na data nfdumpem,
nfdump -R nfcapd.201410180650:nfcapd.201410182040 "ipv6"

vidim provoz v obou smerech.

Mam drobne obavy, do jakych rychlosti bude softflowd stihat. Nemeril
jsem propustnost, ale zatim jsem si nevsimnul zadnych potizi, ale
vsechno jsou linky do 100Mb/s.

	Ivo Hazmuk