NTOP in switched network

[Straphka]

Beste mensen,

Ik zit hier met het volgende probleem:

Ik wil mbv NTOP een produktienetwerk monitoren (ntop draait hier op RH 9.0 Enterprise). Het probleem is dus dan, zoals de titel al suggereert, de machines direkt in een unmanaged switch hangen (een netgear 2724 GB switch) waar dus geen "monitoorpoort" op zit. Nu wil ik dus wel weten hoeveel verkeer er van machine naar machine gaat etc. Ik kan wel op elke machine mbv tcpdump (degene waar linux op draait dan) eea uitvogelen, maar dit moet toch beter kunnen (mijn baas word ook wel vrolijk van mooie ntop-grafiekjes

Ik dacht erover om op elke linux server tcpdump naar een fifo bestand te laten schrijven op een nfs share (van de ntop machine) en dat bestand vervolgens uit te lezen met ntop. Maar volgens mij moet dat dus makkelijker kunnen en ik weet ook niet of ntop met meerdere tcpdumps overweg kan.

Suggesties zijn welkom.

[FatalError]

Volgens mij is dat vrijwel niet te doen met deze switch.
Ik denk dat de aanschaf van een switch met netflow of sflow functionaliteit (b.v. diverse Cisco, Foundry en Extreme Networks switches) en dan een-of-andere Netflow monitor (zoals NTOP ) de makkelijkste en misschien wel de enige oplossing is.

[Verwijderd]

Volgens mij werken fifo's niet over NFS...

Zowiezo zit je met het probleem dat dan dus al het verkeer nóg een keer over het netwerk gaat en dus ook weer opduikt in je trace.

Kan je niet iets doen met Netcat?

[Straphka]

Daar was ik dus al bang voor....
Ik hoop nog steeds dat ik iets heel simpels over het hoofd zie, maar deze hoop begint nu wel langzaam af te nemen

Oh well, dan maar proberen de baas te overtuigen van het nut van een nieuwe switch

[it0]

waarom instaleer je dan niet op alle machines SNMP daemons zodat je die info kan uitlezen/bijhouden

[Straphka]

Verwijderd schreef op maandag 22 november 2004 @ 10:31:
Volgens mij werken fifo's niet over NFS...

Zowiezo zit je met het probleem dat dan dus al het verkeer nóg een keer over het netwerk gaat en dus ook weer opduikt in je trace.

Kan je niet iets doen met Netcat?

Huh? Hoe bedoel je "iets met netcat"?
Iets als

code:

 tcpdump -i eth0 | netcat monitoorserver 5000

ofzo?
Maar ik weet dus niet zeker of tcpdump wel met meerdere dumpfiles overweg kan (ik denk het eigenlijk niet).

Ik ga eens kijken of ik iets van netflow of sflow clients (als dat zo heet, ik ken het niet) installen op de linux machines in het netwerk. Dan kan ik die tenminste monitoren...

[Verwijderd]

Je zou natuurlijk al je hosts kunnen arpspoofen naar je monitorings server. Echter moet je dan wel ip relayers gaan draaien op deze bak en performance wise gezien zul je ook eea moeten inboeten.

[Straphka]

Hmmm....da's niet eens zo'n slecht idee....ik ben echter wel benieuwd naar het performance verlies. Een aantal van de servers heeft een gigabit netwerkkaart en als er dus meerdere servers tegelijk met ongerveer 100MB/sec lopen te blazen, denk ik niet dat mijn monitoorbakkie dat bij gaat houden.
Ik ga het iig uitzoeken.
Bedankt alvast!

[fetcher]

Op een cisco switch zou je dan de sniff interface in een span port moeten hangen al kan je dan nog maar 1 VLAN tergelijkertijd sniffen.

[Verwijderd]

> al kan je dan nog maar 1 VLAN tergelijkertijd sniffen.

Nee toch? Volgens mij niet. Zie http://www.cisco.com/warp/public/473/41.html ; ligt aan het type.

[Straphka]

Mja, da's misschien wel waar, maar alle te monitoren servers zitten dus direct in de 2724 Netgear switch, en deze hangt weer aan een Cisco router. Nu kan ik misschien wel alle verkeer van en naar die router monitoren, maar ik wil dus ook weten wat en hoeveel die servers onderling uitwisselen, en dat gaat dus niet zonder een monitoorpoort of iets dergelijks op de netgear switch.

[Verwijderd]

Er is toch al een oplossing aangedragen: SNMP. En dan MRTG alle netwerkverkeer uit laten lezen. Heb ik op m'n werk ook neergezet. Werkt op Window en Linux, dus zeer goed te gebruiken.

[DaRoot]

Inderdaad, SNMP icm. MRTG, volgens mij kom je daar een heel eind mee.
Ik ben zelf hier op de zaak ook met iets dergelijks bezig, althans, de eerste opzet. Ik heb al her en der rond gekeken, en ik heb ook Nagios als tip meegekregen. Nagios dient als soort van verzamelpunt voor allerlei data, afkomstig van NRPE icm. plugins op de te monitoren servers. Er zijn mogelijkheden te over naar ik begrepen heb, waaronder zelf-gedefinieerde tresholds voor alarmeringen, en deze alarmeringen zou je zelfs via SMS of mail kunnen sturen. Het schijnt hierbij wel voor een aardig deel aan te komen op de handigheid zelf scripts te kunnen schrijven.

[Straphka]

Ik gebruik snmp nu ook, maar ik vind toch dat ik daar minder uit kan halen dan uit ntop. Je kunt met ntop bv zien waar het verkeer vandaan kwam, welk protocol er gebruikt werd etc.
Misschien kan dat met mrtg ook wel, ik ben het iig nog niet tegengekomen. Nagios draait hier idd ook (is een bitch om te configgen) en het is wel erg hip dat ik een sms'je krijg als een volume vol loopt, maar ik wil dus ook graag kunnen zien welke sessie waarheen hoeveel data genereert. Dit kan waarschijnlijk ook wel met nagios, alleen is ntop makkelijker in gebruik imho.