[RHES3] Load van tcpdump

[Nitroglycerine]

Op een productiemachine die de administratie van websites en de vhost lokaties bijhoudt, wil de 1e lijns support op aangeven van de fabrikant van de betreffende software, een tcpdump draaien naar het uitgaand verkeer naar ldap servers om zo eventuele problemen te kunnen signaleren.
Hier heb ik zelf geen goed gevoel bij, aangezien het productie is en een week lang tcpdump draaien best wat load met zich mee kan brengen.
Hoe is jullie ervaring hiermee? Zou het moeten kunnen of zal het qua systemload teveel worden?

De omgeving draait in een virtuele omgeving (de enige op die server), op een dual xeon 2.8 GHz met 4 GB aan geheugen en 1 Gbit lan, en draait een aangepaste versie van RHES3.4 .

[axis]

Nitroglycerine schreef op maandag 30 oktober 2006 @ 15:08:
Op een productiemachine die de administratie van websites en de vhost lokaties bijhoudt, wil de 1e lijns support op aangeven van de fabrikant van de betreffende software, een tcpdump draaien naar het uitgaand verkeer naar ldap servers om zo eventuele problemen te kunnen signaleren.
Hier heb ik zelf geen goed gevoel bij, aangezien het productie is en een week lang tcpdump draaien best wat load met zich mee kan brengen.
Hoe is jullie ervaring hiermee? Zou het moeten kunnen of zal het qua systemload teveel worden?

De omgeving draait in een virtuele omgeving (de enige op die server), op een dual xeon 2.8 GHz met 4 GB aan geheugen en 1 Gbit lan, en draait een aangepaste versie van RHES3.4 .

Waar draait het op? ESX? Dan zou je ook als optie de promiscuous mode van de vswitch aan kunnen zetten, een 2e virtuele machine installeren op die host, en die laten sniffen.

[Nitroglycerine]

Het draait op virtuozzo, product van SWSoft (evenals de software die binnen de virtuele omgeving draait)

[Kees]

Wat ik zelf doe om een server /servers te controleren is een monitor port in stellen, en daar enkele / alle poorten heen laten verwijzen. De bak die dan aan die poort hangt kan met tcpdump dan alles sniffen dus zonder load op je normale server (maar met laod op een andere server / en een beejte meer verkeer op je switch)

Maar verder hangt alles af van om hoeveel verkeer het gaat.