Не совсем понял вопрос. Что значит для обработки трафика? Берешь коммутатор с гигабитным интерфейсом, подключаешь к нему свою гигабитную линию, а остальные порты 100 мегабитные.
Интересуюсь -> допустим канал широкий и я не успеваю дамп снять. Вижу вариант попытаться разбить его и потом по отдельности каждую нитку засниферить, но чем разбить?
nester, объясни смысл своих действий, что ты конкретно хочешь снефирить? может фильтры проще настроить?
может еще и ключи от квартиры?! нужен полный дамп широкого канала. слышал про какие-то мультиплексоры...
ну дык, # tcpdump -i eth0 -s 0 -w collected.pcap где eth0 - гигибитный интерфейс collected.pcap - файл с собранным дампом В чём проблемма-то? И причём здесь мультиплексоры?
Tcpdump не пойдет, слишком тяжелый. Дамп 1 Гб с легкостью через netflow можно сделать. Клик . Полный дамп на транке из 2-х гигабитных портов на вход/выход ловлю - скорость 10МБ/c записи на диск, фряха справляется играючи. Если очень хочется изврата, делай транк - на шлюзе разбирай, на сервере собирай. PS Система-то хоть какая или военная тайна? =)
Мультиплексор - устройство которое объединяет несколько каналов в один, а не разбивает. Короче раз нормально не объясняешь, могу лишь предложить пустить трафик между двумя свитчами, используя аггрегирование портов. Таким образом, к примеру, 10 кабелей между двумя коммутаторами будут являться одним каналом. Минус в том что трафик будет идти абсолютно рандомно. То есть 1 и 2 порты коммутатора могут быть загружены на 100% в то время как 3 и 4 свободны. Ну а дальше ты уже сам придумывай. p.s. ключи от квартиры не нужно. кажется это ты просишь помощи, а не я. соответственно элементарная вежливость не помешает. p.s.s. Не обязательно коммутатор, можешь поискать как настраивать между другими устройствами.
Дорогие мои, никого не хотел обидеть. Сетка самая обыкновенная, но шустрая; муниципального учреждения. Хочу отработать возможности отработки и анализа трафика по таким канала с целью самозащиты. Персональные данные и прочие заморочки... На счет мультиплексоров - мне кто-то рассказывал сказки, что есть устройство которое может гигабитный канал разбить на несколько 100-ок. Название значит неправильное. Но все равно любопытно. freelsd, нельзя ли по подробней как "фряхой" снять дамп транкового канала, пожалуйста?
Собственно не знаю как это осуществляется на фряхе, но если есть желание и финансы, а я так понял если компании нужно, то обеспечат, то можно все осуществить следующим образом. (Метод не зависит от используемого шлюза и операционных систем): На коммутатор приходит канал в 1 гигабит. Настраиваешь Port Aggregation на десять 100 мбит интерфейсов. На втором коммутаторе принимаемый трафик (так же на десять интерфейсов объединенных при помощи Port Aggregation) дублируем при помощи Port Mirroring на десять назначаемых тобой интерфейсов, к которым подключаешь либо одну машинку с десятью сетевухами, либо две с пятью и так далее. И на этой машинке следишь за трафиком с каждого интерфейса. На всякий случай начертил.
Ты смотришь, но не видишь. Тебе не надо разрезать канал, используй softflowd, Гиг для него - игрушки. Ссылка была выше. Ответ на вопрос: Ничего сложного в снятии дампа транкового канала нет - интерйесы разные, а значит и снимаешь с каждого интерфейса. При установке механизма агрегации IP-source-to-destination траффик 50/50 идет практически. Вот как выглядит это дело: Code: admin@freelsd_board /usr/home/admin]$ ifconfig em0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500 options=19b<RXCSUM,TXCSUM,VLAN_MTU,VLAN_HWTAGGING,VLAN_HWCSUM,TSO4> ether 00:30:48:30:78:1a media: Ethernet autoselect (1000baseTX <full-duplex>) status: active lagg: laggdev lagg1 em1: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500 options=19b<RXCSUM,TXCSUM,VLAN_MTU,VLAN_HWTAGGING,VLAN_HWCSUM,TSO4> ether 00:30:48:30:78:1a media: Ethernet autoselect (1000baseTX <full-duplex>) status: active lagg: laggdev lagg1 em2: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500 options=19b<RXCSUM,TXCSUM,VLAN_MTU,VLAN_HWTAGGING,VLAN_HWCSUM,TSO4> ether 00:15:17:cf:36:f8 media: Ethernet autoselect (1000baseTX <full-duplex>) status: active lagg: laggdev lagg0 em3: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500 options=19b<RXCSUM,TXCSUM,VLAN_MTU,VLAN_HWTAGGING,VLAN_HWCSUM,TSO4> ether 00:15:17:cf:36:f8 media: Ethernet autoselect (1000baseTX <full-duplex>) status: active lagg: laggdev lagg0 lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> metric 0 mtu 16384 inet6 fe80::1%lo0 prefixlen 64 scopeid 0x5 inet6 ::1 prefixlen 128 inet 127.0.0.1 netmask 0xff000000 lagg0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500 options=19b<RXCSUM,TXCSUM,VLAN_MTU,VLAN_HWTAGGING,VLAN_HWCSUM,TSO4> ether 00:15:17:cf:36:f8 inet *****58 netmask 0xfffffffc broadcast ***** media: Ethernet autoselect status: active laggproto lacp laggport: em3 flags=1c<ACTIVE,COLLECTING,DISTRIBUTING> laggport: em2 flags=1c<ACTIVE,COLLECTING,DISTRIBUTING> lagg1: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> metric 0 mtu 1500 options=19b<RXCSUM,TXCSUM,VLAN_MTU,VLAN_HWTAGGING,VLAN_HWCSUM,TSO4> ether 00:30:48:30:78:1a inet ****64.1 netmask 0xffffe000 broadcast ****95.255 inet ****80.1 netmask 0xfffff800 broadcast ****87.255 inet ****88.1 netmask 0xfffff800 broadcast ****95.255 media: Ethernet autoselect status: active laggproto lacp laggport: em1 flags=1c<ACTIVE,COLLECTING,DISTRIBUTING> laggport: em0 flags=1c<ACTIVE,COLLECTING,DISTRIBUTING> Запускаешь tcpdump на em0, а во втором потоке tcpdump на em1, lagg жто общий интерфейс.
Я тоже картинку для наглядности нарисовал, правда как можете заметить воздухозаборник слегка загроможден и в мамке пара новых дырок появилось для устойчивости конструкции.
